第10章 SSSD を使用した GDM での認証メカニズム選択の有効化
管理対象ユーザーに対してパスワードレスの GDM 認証を有効にすることで、組織のセキュリティーを強化します。従来のパスワードベースの認証を、外部アイデンティティープロバイダー (EIdP)、パスキーデバイス、またはスマートカードに置き換え、GNOME Display Manager のログイン画面でこれらの方法を切り替えます。
パスワードなしの GDM は、テクノロジープレビュー機能のみです。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat では、実稼働環境での使用を推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。
10.1. GDM における集中管理ユーザー向けのパスワードレス認証 リンクのコピーリンクがクリップボードにコピーされました!
パスワード不要の GDM 認証は、従来のパスワードを使用せずに GNOME Display Manager (GDM) 経由でログインするための複数の方法を提供するテクノロジープレビュー機能です。
システム設定によっては、以下の認証方法を使用できます。
- 外部アイデンティティープロバイダー (EIdP)
- 統一されたログイン体験を実現するには、Keycloak、Google、Microsoft、GitHub などのプロバイダーを利用できます。
- パスキーデバイス
- YubiKey などの FIDO2 互換のデバイスを使用すれば、パスワードなしの認証が可能です。
- スマートカード
- 物理的なスマートカードを使用できます。
管理者がユーザーに対して複数の認証方法を設定すると、ユーザーは GDM ログイン画面でこれらの方法を切り替えることができます。
10.1.1. 現在の制限 リンクのコピーリンクがクリップボードにコピーされました!
これらの認証方法を使用する場合、ユーザーは次のような動作に遭遇する可能性があります。
- EIdP はパスキーよりも優先される
- 管理者がユーザーに対して EIdP とパスキーの両方を設定している場合、IdM サーバー (具体的には KDC) は EIdP のみを通知します。そのため、GDM のログイン画面には EIdP オプションのみが表示され、パスキーは表示されません。
- パスキーデバイスに対する PIN 入力
- GDM は、パスキー自体が PIN を要求しない場合であっても、パスキーの使用時に常に PIN の入力を求めます。このような場合、デバイスへのタッチだけで認証は完了します。この PIN 入力を求めるプロンプトは、認証の短い有効期限が切れる前に、ユーザーがデバイスにタッチできる状態を確保するためのものです。また、インターフェイスには PIN の入力試行回数の残り回数が表示されません。
- IdM 以外の環境におけるパスキーの利用可能性
- システムが IdM ドメインに登録されていない場合、SELinux セキュリティーポリシーによってパスキーサービスが起動しない可能性があります。このような環境では、パスキー認証方式は機能せず、GDM ログイン画面にそのオプションは表示されません。
- スマートカード検出
- スマートカードのログインオプションは、ユーザーが自分のアカウント専用の有効な証明書を含むスマートカードをリーダーに挿入した場合にのみ、GDM メニューに表示されます。