ман по slapo-ppolicy оверлею утверждает что оно умеет.

в freeipa возможность ограничения учетки есть из коробки?

да

если кому-нибудь будет интересно, я нашел как ограничить одни разом смену пароля юзером:
атрибут pwdMinAge

pwdMinAge=3600
Данный атрибут управляет минимальным временем (в секундах) между сменами пароля. В приведённом выше примере пароль может изменяться не чаще чем раз в час (3600 секунд). Попытки изменить пароль до истечения этого времени будут отклоняться. Значение по умолчанию — 0 позволяет производить смену пароля в любое время с момента последнего изменения.

т.е. ставим
pwdMinAge=3600
pwdMaxAge=3600
и за весь срок (1 час) пользователь сможет поменять свой пароль только один раз.

Доброе утро
Вопрос смежный с ldap и freeipa

Существует ли способ запускать браузер с keytab сгенерированным на стороне freeipa ?

У меня есть linux десктоп, который не подключен к freeipa
В конечном итоге я хочу, не подключая десктоп к домену, запускать браузер, который "подключен" к домену ))

Какая задача решается?

Есть лаба состояшая из
1) виртуалка freeipa kdc обслуживающий домен ololo.test
2) виртуалка, клиент freeipa + керберизованный веб сервис (апач)
3) два тестовых пользователя в домене ololo.test
4) ноут, на котором работаю

Нужно протестировать сквозную аутенфикацию пользователей из домена ololo.test на вебсерве с ноута, не делая ноут клиентом freeipa

Основная идея, каким то образом получить keytab для пользователя и использовать его для запуска броузера на ноуте и дальнейшие действия в этом браузере.

Ну LDAP тут точно самый последний в очереди. Это больше к Kerberos и прочему.

Вот:

...With Integrated Authentication, Chrome can authenticate the user to an Intranet server or proxy without prompting the user for a username or password. It does this by using cached credentials which are established when the user initially logs in to the machine that the Chrome browser is running on. Integrated Authentication is supported for Negotiate and NTLM challenges only.....

согласен )

нет ли чата по linux adm где обсуждают вопросы подобного рода?

Не видел, увы. Вообще у тебя сам подход несколько странный. Браузеры берут тикеты кербероса из локального кэша, где те генерятся после первичного входа в систему. Если первчиный вход был без генерации тикетов, то как браузер будет логиниться?....

вот и у меня возникли сомнения в реализации, но я предположил, что я могу ошибаться и не знаю какого то метода )

спасибо за уточнения
сделаю клиентскую виртуалку на стенде и буду оттуда тестировать

Браузеру не нужен keytab. Делаешь kinit, интегрируешь браузер с krb5 и вперёд.
Keytab нужен там, где нет пользователя, а ходить в kerberos нужно (веб-сервер, sssd и т.д)

Другими словами, keytab - это сервисный/роботный тикет.

Чтобы сделать kinit нужно чтобы машина была настроена определенным образом , чего я и хотел избежать 😁

А keytab не отменяет необходимости в такой настройке

согласен
это все лень меня гнала простые пути найти ☺

Всем привет, кто-нибудь с АД на ОпенЛДАП съезжал? есть советы, опыт или там ссылки на гайды и тулзы

А какая задача-то? Иметь базу для аутентификации юзеров на linux-серверах, вести учет налогоплательщиков в национальном масштабе, подключать в домен виндовые ноуты?