7.4. Utiliser Ansible pour configurer les clients IdM pour l'authentification par carte à puce

Procédure

1. Si vos certificats d'autorité de certification sont stockés dans des fichiers d'un format différent, tel que DER, convertissez-les au format PEM:

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Le certificat de l'autorité de certification IdM est au format PEM et se trouve dans le fichier /etc/ipa/ca.crt.

2. En option, utilisez l'utilitaire openssl x509 pour visualiser le contenu des fichiers au format PEM et vérifier que les valeurs Issuer et Subject sont correctes :

   # openssl x509 -noout -text -in root-ca.pem | more

3. Sur votre nœud de contrôle Ansible, naviguez jusqu'à votre répertoire ~/MyPlaybooks/ répertoire :

   $ cd ~/MyPlaybooks/

4. Créez un sous-répertoire dédié aux certificats d'autorité de certification :

   $ mkdir SmartCard/

5. Pour plus de commodité, copiez tous les certificats requis dans le répertoire ~/MyPlaybooks/SmartCard/, par exemple :

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. Dans votre fichier d'inventaire Ansible, spécifiez ce qui suit :

   • Les clients IdM que vous souhaitez configurer pour l'authentification par carte à puce.
   • Le mot de passe de l'administrateur de l'IdM.

   • Les chemins d'accès aux certificats des autorités de certification dans l'ordre suivant :

     • Le fichier du certificat de l'autorité de certification racine
     • Les fichiers des certificats de l'autorité de certification intermédiaire
     • Le fichier du certificat de l'autorité de certification IdM

   Le fichier peut se présenter comme suit :

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. Créez un playbook install-smartcard-clients.yml avec le contenu suivant :

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. Enregistrer le fichier.

9. Exécutez le playbook Ansible. Spécifiez le playbook et les fichiers d'inventaire :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   Le rôle ipasmartcard_client Ansible effectue les actions suivantes :

   • Il configure le démon de la carte à puce.
   • Il définit la réserve de confiance du système.
   • Il configure le System Security Services Daemon (SSSD) pour permettre aux utilisateurs de s'authentifier soit avec leur nom d'utilisateur et leur mot de passe, soit avec leur carte à puce. Pour plus de détails sur les options de profil SSSD pour l'authentification par carte à puce, voir Options d'authentification par carte à puce dans RHEL.