43.2. Configuración de la asignación de certificados para los usuarios almacenados en IdM

Haga clic en Add.

Figura 43.1. Añadir una nueva regla de asignación de certificados en la interfaz web de IdM

Introduzca la regla de asignación. Por ejemplo, para que el IdM busque las entradas Issuer y Subject en cualquier certificado que se le presente, y base su decisión de autenticar o no en la información encontrada en estas dos entradas del certificado presentado:

(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})

Introduzca la regla de coincidencia. Por ejemplo, para permitir sólo los certificados emitidos por la Smart Card CA de la organización EXAMPLE.ORG para autenticar a los usuarios en el IdM:

<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG

Figura 43.2. Introducción de los detalles de una regla de asignación de certificados en la interfaz web de IdM

El demonio de servicios de seguridad del sistema (SSSD) relee periódicamente las reglas de asignación de certificados. Para forzar que la regla recién creada se cargue inmediatamente, reinicie SSSD:

# systemctl restart sssd

Obtenga las credenciales del administrador:

# kinit admin

Introduzca la regla de asignación y la regla de coincidencia en la que se basa la regla de asignación. Por ejemplo, para hacer que IdM busque las entradas Issuer y Subject en cualquier certificado presentado, y base su decisión de autenticar o no en la información encontrada en estas dos entradas del certificado presentado, reconociendo sólo los certificados emitidos por el Smart Card CA de la organización EXAMPLE.ORG:

# ipa certmaprule-add rule_name --matchrule '<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG' --maprule '(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})'
-------------------------------------------------------
Added Certificate Identity Mapping Rule "rule_name"
-------------------------------------------------------
  Rule name: rule_name
  Mapping rule: (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})
  Matching rule: <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG
  Enabled: TRUE

El demonio de servicios de seguridad del sistema (SSSD) relee periódicamente las reglas de asignación de certificados. Para forzar que la regla recién creada se cargue inmediatamente, reinicie SSSD:

# systemctl restart sssd