7.2. Utiliser Ansible pour configurer le serveur IdM pour l'authentification par carte à puce

Procédure

1. Si vos certificats d'autorité de certification sont stockés dans des fichiers d'un format différent, tel que DER, convertissez-les au format PEM:

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard

   Le certificat de l'autorité de certification IdM est au format PEM et se trouve dans le fichier /etc/ipa/ca.crt.

2. En option, utilisez l'utilitaire openssl x509 pour visualiser le contenu des fichiers au format PEM et vérifier que les valeurs Issuer et Subject sont correctes :

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard

3. Naviguez jusqu'à votre répertoire ~/MyPlaybooks/ répertoire :

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

4. Créez un sous-répertoire dédié aux certificats d'autorité de certification :

   $ mkdir SmartCard/

   Copy to Clipboard

5. Pour plus de commodité, copiez tous les certificats requis dans le répertoire ~/MyPlaybooks/SmartCard/:

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard

6. Dans votre fichier d'inventaire Ansible, spécifiez ce qui suit :

   • Les serveurs IdM que vous souhaitez configurer pour l'authentification par carte à puce.
   • Le mot de passe de l'administrateur de l'IdM.

   • Les chemins d'accès aux certificats des autorités de certification dans l'ordre suivant :

     • Le fichier du certificat de l'autorité de certification racine
     • Les fichiers des certificats de l'autorité de certification intermédiaire
     • Le fichier du certificat de l'autorité de certification IdM

   Le fichier peut se présenter comme suit :

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard

7. Créez un playbook install-smartcard-server.yml avec le contenu suivant :

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

   Copy to Clipboard
8. Enregistrer le fichier.

9. Exécutez le playbook Ansible. Spécifiez le fichier du livre de jeu, le fichier contenant le mot de passe protégeant le fichier secret.yml et le fichier d'inventaire :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   Copy to Clipboard

   Le rôle ipasmartcard_server Ansible effectue les actions suivantes :

   • Il configure le serveur HTTP Apache de l'IdM.
   • Il active la cryptographie à clé publique pour l'authentification initiale dans Kerberos (PKINIT) sur le centre de distribution de clés (KDC).
   • Il configure l'interface Web IdM pour qu'elle accepte les demandes d'autorisation de carte à puce.

10. En option, si l'autorité de certification qui a émis le certificat utilisateur ne fournit pas de répondeur OCSP (Online Certificate Status Protocol), il peut être nécessaire de désactiver la vérification OCSP pour l'authentification à l'IdM Web UI :

    1. Se connecter au serveur IdM en tant que root:

       ssh root@ipaserver.idm.example.com

       Copy to Clipboard

    2. Définissez le paramètre SSLOCSPEnable à off dans le fichier /etc/httpd/conf.d/ssl.conf:

       SSLOCSPEnable off

       Copy to Clipboard

    3. Redémarrez le démon Apache (httpd) pour que les modifications prennent effet immédiatement :

       # systemctl restart httpd

       Copy to Clipboard
    Avertissement

    Ne désactivez pas le contrôle OCSP si vous n'utilisez que des certificats d'utilisateur émis par l'autorité de certification IdM. Les répondeurs OCSP font partie de l'IdM.

    Pour savoir comment maintenir la vérification OCSP activée, tout en empêchant un certificat d'utilisateur d'être rejeté par le serveur IdM s'il ne contient pas les informations relatives à l'emplacement où l'autorité de certification qui a délivré le certificat d'utilisateur écoute les demandes de service OCSP, voir la directive SSLOCSPDefaultResponder dans les options de configuration de Apache mod_ssl.