7.5. スマートカードユーザー向けにパスワードなしの sudo 認証を有効にする

手順

1. チケットがアクセスできるホストをリストアップする制約委譲ルールを設定します。

   • 次の委譲を作成します。

     • 特定のルールがアクセスできるターゲットマシンのリストを追加するには、次のコマンドを入力します。

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • Web コンソールセッション (HTTP/プリンシパル) がホストリストにアクセスできるようにするには、次のコマンドを使用します。

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 対応するサービスで GSS 認証を有効にします。

   1. sudo の場合、/etc/sssd/ sssd.conf ファイルで pam_sss_gss モジュールを有効にします。

      1. root として、/etc/sssd/sssd.conf 設定ファイルにドメインのエントリーを追加します。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. /etc/pam.d/sudo ファイルの 1 行目でモジュールを有効にします。

         auth sufficient pam_sss_gss.so

   2. SSH の場合、/etc/ssh/sshd_config ファイルの GSSAPIAuthentication オプションを yes に更新します。

      警告

      委譲された S4U チケットが、Web コンソールからリモートの SSH ホストに接続するときに転送されません。チケットを使用してリモートホスト上で sudo を認証することはできません。

検証

1. スマートカードを使用して Web コンソールにログインします。
2. [制限付きアクセス ] ボタンをクリックします。
3. スマートカードを使用して認証を行います。
4. または、SSH を使用して別のホストに接続してみます。