Chapitre 10. Configuration de l'authentification avec un certificat stocké sur le bureau d'un client IdM
En configurant la gestion des identités (IdM), les administrateurs du système IdM peuvent permettre aux utilisateurs de s'authentifier auprès de l'interface web IdM et de l'interface de ligne de commande (CLI) à l'aide d'un certificat qu'une autorité de certification (CA) a délivré aux utilisateurs.
Le navigateur web peut fonctionner sur un système qui ne fait pas partie du domaine IdM.
Cette histoire d'utilisateur fournit des instructions sur la manière de configurer et de tester efficacement la connexion à l'interface utilisateur Web et à la CLI de Identity Management avec un certificat stocké sur le bureau d'un client IdM. En suivant cette histoire d'utilisateur,
- vous pouvez ignorer la demande d'un nouveau certificat utilisateur et son exportation vers le client si l'utilisateur que vous souhaitez authentifier à l'aide d'un certificat dispose déjà d'un certificat ;
- vous pouvez ne pas vous assurer que le certificat et l'utilisateur sont liés si le certificat de l'utilisateur a été émis par l'autorité de certification IdM.
Seuls les utilisateurs de la gestion des identités peuvent se connecter à l'interface web à l'aide d'un certificat. Les utilisateurs d'Active Directory peuvent se connecter avec leur nom d'utilisateur et leur mot de passe.
10.1. Configuration du serveur de gestion des identités pour l'authentification par certificat dans l'interface Web
En tant qu'administrateur de la gestion des identités (IdM), vous pouvez autoriser les utilisateurs à utiliser des certificats pour s'authentifier dans votre environnement IdM.
Procédure
En tant qu'administrateur de la gestion des identités :
Sur un serveur de gestion des identités, obtenez les privilèges d'administrateur et créez un script shell pour configurer le serveur.
Exécutez la commande
ipa-advise config-server-for-smart-card-authet enregistrez son résultat dans un fichier, par exempleserver_certificate_script.sh:# kinit admin # ipa-advise config-server-for-smart-card-auth >
server_certificate_script.shAjoutez des autorisations d'exécution au fichier à l'aide de l'utilitaire
chmod:# chmod x
server_certificate_script.sh
Sur tous les serveurs du domaine Identity Management, exécutez le script
server_certificate_script.shavec le chemin du certificat de l'autorité de certification IdM,
/etc/ipa/ca.crt, comme entrée si l'autorité de certification IdM est la seule autorité de certification qui a émis les certificats des utilisateurs pour lesquels vous voulez activer l'authentification par certificat :#
./server_certificate_script.sh/etc/ipa/ca.crtavec en entrée les chemins d'accès aux certificats d'autorité de certification concernés si différentes autorités de certification externes ont signé les certificats des utilisateurs pour lesquels vous souhaitez activer l'authentification par certificat :
#
./server_certificate_script.sh/tmp/ca1.pem/tmp/ca2.pem
N'oubliez pas d'exécuter le script sur chaque nouvelle réplique que vous ajouterez au système à l'avenir si vous souhaitez que l'authentification par certificat des utilisateurs soit activée dans l'ensemble de la topologie.
