20.8. Activation de l'authentification GSSAPI et application des indicateurs d'authentification Kerberos pour sudo sur un client IdM

Procédure

1. Ouvrez le fichier de configuration /etc/sssd/sssd.conf.

2. Ajoutez les entrées suivantes à la section [domain/<domain_name>] les entrées suivantes.

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

3. Enregistrez et fermez le fichier /etc/sssd/sssd.conf.

4. Redémarrez le service SSSD pour charger les modifications de configuration.

   [root@idmclient ~]# systemctl restart sssd

5. Ouvrez le fichier de configuration PAM de /etc/pam.d/sudo.

6. Ajoutez l'entrée suivante comme première ligne de la section auth dans le fichier /etc/pam.d/sudo.

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. Enregistrez et fermez le fichier /etc/pam.d/sudo.
8. Ouvrez le fichier de configuration PAM de /etc/pam.d/sudo-i.

9. Ajoutez l'entrée suivante comme première ligne de la section auth dans le fichier /etc/pam.d/sudo-i.

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. Enregistrez et fermez le fichier /etc/pam.d/sudo-i.

Verification steps

1. Connectez-vous à l'hôte en tant que compte idm_user et authentifiez-vous à l'aide d'une carte à puce.

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

2. Vérifiez que vous disposez d'un ticket d'attribution de billets en tant qu'utilisateur de la carte à puce.

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

3. Affiche les règles sudo que le compte idm_user est autorisé à appliquer.

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

4. Redémarrez la machine à l'aide de sudo, sans spécifier de mot de passe.

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot