7.5. スマートカードユーザーに対するパスワードレス sudo 認証の有効化

手順

1. チケットがどのホストにアクセスできるかを指定するために、制約付き委任ルールを設定します。

   • 次の委任を作成します。

     • 次のコマンドを入力して、特定のルールがアクセスできるターゲットマシンのリストを追加します。

       # ipa servicedelegationtarget-add cockpit-target

       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • Web コンソールセッション (HTTP/プリンシパル) がそのホストリストにアクセスできるように、次のコマンドを使用します。

       # ipa servicedelegationrule-add cockpit-delegation

       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM

       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 該当するサービスで GSS 認証を有効にします。

   1. sudo の場合、/etc/sssd/sssd.conf ファイルで pam_sss_gss モジュールを有効にします。

      1. root として、/etc/sssd/sssd.conf 設定ファイルにドメインのエントリーを追加します。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. /etc/pam.d/sudo ファイルの 1 行目でモジュールを有効にします。

         auth sufficient pam_sss_gss.so

   2. SSH の場合、/etc/ssh/sshd_config ファイルの GSSAPIAuthentication オプションを yes に更新します。

      警告

      Web コンソールからリモート SSH ホストに接続するときに、委任された S4U チケットはそのホストに転送されません。チケットを使用して、リモートホスト上で sudo の認証を行うことはできません。

検証

1. スマートカードを使用して Web コンソールにログインします。
2. Limited access ボタンをクリックします。
3. スマートカードを使用して認証を行います。
4. または、SSH を使用して別のホストへの接続を試みます。