5.4. Web コンソールで SSH ログイン用のスマートカード認証を設定する

手順

1. Terminal ページで、Web コンソールがユーザーセッション内に Service for User to Proxy (S4U2proxy) Kerberos チケットを作成したことを確認します。

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 委任ルールがアクセスできるターゲットホストのリストを作成します。

   1. サービス委任ターゲットを作成します。

      $ ipa servicedelegationtarget-add cockpit-target

   2. 委任ターゲットに対象ホストを追加します。

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

3. サービス委任ルールを作成し、HTTP サービスの Kerberos プリンシパルを追加することで、cockpit セッションが対象ホストのリストにアクセスできるようにします。

   1. サービス委任ルールを作成します。

      $ ipa servicedelegationrule-add cockpit-delegation

   2. Web コンソールクライアントを委任ルールに追加します。

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 委任ターゲットを委任ルールに追加します。

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

4. remote.idm.example.com ホストで Kerberos 認証を有効にします。

   1. root として SSH 経由で remote.idm.example.com に接続します。
   2. /etc/ssh/sshd_config ファイルに GSSAPIAuthentication yes 行を追加します。

5. 変更がすぐに有効になるように、remote.idm.example.com の sshd サービスを再起動します。

   $ systemctl try-restart sshd.service