8.7. IdM クライアントでの sudo の GSSAPI 認証の有効化

手順

1. /etc/sssd/sssd.conf 設定ファイルを開きます。

2. [domain/<domain_name>] セクションに以下のエントリーを追加します。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

3. /etc/sssd/sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@idmclient ~]# systemctl restart sssd

5. オプション: sssd authselect プロファイルを選択したかどうかを確認します。

   # authselect current
   Profile ID: sssd

6. sssd authselect プロファイルが選択されている場合は、GSSAPI 認証を有効にします。

   # authselect enable-feature with-gssapi

7. sssd authselect プロファイルが選択されていない場合は、それを選択して GSSAPI 認証を有効にします。

   # authselect select sssd with-gssapi

検証

1. idm_user アカウントとしてホストにログインします。

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

2. idm_user アカウントで Ticket-Granting Ticket があることを確認します。

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

3. オプション: idm_user アカウントの Kerberos 認証情報がない場合は、現在の Kerberos 認証情報を削除し、正しい認証情報を要求します。

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

4. パスワードを指定せずに sudo を使用してマシンを再起動します。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot