2.4. Ansible を使用したスマートカード認証用の IdM クライアント設定

手順

1. CA 証明書が DER などをはじめとする別の形式のファイルに保存されている場合、それらを PEM 形式に変換します。

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM CA 証明書は PEM 形式で、/etc/ipa/ca.crt ファイルにあります。

2. オプション: openssl x509 ユーティリティーを使用して PEM 形式のファイルの内容を表示し、Issuer と Subject の値が正しいことを確認します。

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. Ansible コントロールノードで、~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. CA 証明書専用のサブディレクトリーを作成します。

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 便宜上、必要なすべての証明書を ~/MyPlaybooks/SmartCard/ ディレクトリーにコピーします。以下はその例です。

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. Ansible インベントリーファイルで、以下を指定します。

   • スマートカード認証用に設定する IdM クライアント。
   • IdM 管理者パスワード。

   • CA の証明書へのパス (次の順序に従う)。

     • ルート CA 証明書ファイル
     • 中間 CA 証明書ファイル
     • IdM CA 証明書ファイル

   ファイルは次のようになります。

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 次の内容で install-smartcard-clients.yml playbook を作成します。

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

   Copy to Clipboard Toggle word wrap
8. ファイルを保存します。

9. Ansible Playbook を実行します。Playbook とインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_client Ansible ロールは、次のアクションを実行します。

   • スマートカードデーモンを設定する。
   • システム全体のトラストストアを設定します。

   • System Security Services Daemon (SSSD) を設定して、ユーザーがユーザー名とパスワード、またはスマートカードで認証できるようにします。スマートカード認証用の SSSD プロファイルオプションの詳細は、RHEL のスマートカード認証オプション を参照してください。

     これで、インベントリーファイルの ipaclients セクションにリストされているクライアントがスマートカード認証用に設定されました。

   注記

   --mkhomedir オプションを使用して IdM クライアントをインストールしている場合、リモートユーザーはホームディレクトリーにログインできます。それ以外の場合、デフォルトのログイン場所はディレクトリー構造のルート / です。