RHEL 8 で Web コンソールを使用したシステムの管理

手順

1. Web コンソールがインストールバリアントにデフォルトでインストールされていない場合は、cockpit パッケージを手動でインストールします。

   # yum install cockpit

2. 必要に応じて、Web サーバーを実行する cockpit.socket サービスを有効にして起動します。

   # systemctl enable --now cockpit.socket

3. Web コンソールがインストールバリアントにデフォルトでインストールされておらず、カスタムのファイアウォールプロファイルを使用している場合は、cockpit サービスを firewalld に追加して、ファイアウォールの 9090 番ポートを開きます。

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

手順

1. Web ブラウザーに次のアドレスを入力して Web コンソールにアクセスします。

   https://localhost:9090

   注記

   これにより、ローカルマシン上で Web コンソールログインが可能になります。リモートシステムの Web コンソールにログインする場合、「リモートマシンから Web コンソールへの接続」 を参照してください。

   自己署名証明書を使用する場合は、ブラウザーに警告が表示されます。証明書を確認し、セキュリティー例外を許可して、ログインを続行します。

   コンソールは /etc/cockpit/ws-certs.d ディレクトリーから証明書をロードし、アルファベット順で最後となる .cert 拡張子のファイルを使用します。セキュリティーの例外を承認しなくてもすむように、認証局 (CA) が署名した証明書をインストールします。

2. ログイン画面で、システムユーザー名とパスワードを入力します。
3. Log In をクリックします。

手順

1. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開くか、作成します。次に例を示します。

   # vi cockpit.conf

2. 次のテキストを追加します。

   [basic]
   action = none

3. ファイルを保存します。

4. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

手順

1. Web ブラウザーを開きます。

2. リモートサーバーのアドレスを次のいずれかの形式で入力します。

   1. サーバーのホスト名を使用する場合:

      https://<server.hostname.example.com>:<port-number>

      以下に例を示します。

      https://example.com:9090

   2. サーバーの IP アドレスを使用する場合:

      https://<server.IP_address>:<port-number>

      以下に例を示します。

      https://192.0.2.2:9090

3. ログインインターフェイスが開いたら、RHEL システムの認証情報を使用してログインします。

手順

1. ブラウザーで RHEL Web コンソールを開きます。

   • ローカルの場合 - https://localhost:PORT_NUMBER
   • リモートでサーバーのホスト名を使用する場合 - https://example.com:PORT_NUMBER

   • リモートでサーバーの IP アドレスを使用する場合 - https://EXAMPLE.SERVER.IP.ADDR:PORT_NUMBER

     自己署名証明書を使用する場合は、ブラウザーに警告が表示されます。証明書を確認し、セキュリティー例外を許可してから、ログインを続行します。

     コンソールは /etc/cockpit/ws-certs.d ディレクトリーから証明書をロードし、アルファベット順で最後となる .cert 拡張子のファイルを使用します。セキュリティーの例外を承認しなくてもすむように、認証局 (CA) が署名した証明書をインストールします。

2. ログイン画面が表示されます。ログイン画面で、システムユーザーの名前とパスワードを入力します。
3. デバイスでワンタイムパスワードを生成します。
4. パスワードを確認してから、Web コンソールインターフェイスに表示される新規フィールドにワンタイムパスワードを入力します。
5. Log in をクリックします。
6. ログインに成功すると、Web コンソールインターフェイスの Overview ページに移動します。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Overview タブの Configuration フィールドで、Join Domain をクリックします。
3. ドメイン参加 ダイアログボックスの ドメインアドレス フィールドに、IdM サーバーのホスト名を入力します。
4. ドメイン管理者名 フィールドで、IdM 管理アカウントのユーザー名を入力します。
5. Domain administrator password にパスワードを追加します。
6. 参加 をクリックします。

検証

1. システムが IdM ドメインに参加していると、RHEL 8 Web コンソールにエラーが表示されず、システム 画面でドメイン名を確認できます。

2. ユーザーがドメインのメンバーであることを確認するには、Terminal ページをクリックし、id コマンドを実行します。

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

手順

1. 任意のテキストエディターで /etc/issue.cockpit ファイルを開きます。

   # vi /etc/issue.cockpit

2. バナーとして表示するコンテンツをファイルに追加します。次に例を示します。

   This is an example banner for the RHEL web console login page.

   ファイルにマクロを含めることはできませんが、改行と ASCII アートは使用できます。

3. ファイルを保存します。

4. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開きます。次に例を示します。

   # vi /etc/cockpit/cockpit.conf

5. 以下のテキストをファイルに追加します。

   [Session]
   Banner=/etc/issue.cockpit

6. ファイルを保存します。

7. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

手順

1. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開きます。次に例を示します。

   # vi /etc/cockpit/cockpit.conf

2. 以下のテキストをファイルに追加します。

   [Session]
   IdleTimeout=<X>

   <X> は、任意の期間の数値 (分単位) に置き換えます。

3. ファイルを保存します。

4. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

手順

1. 使用されていないポート (例: <4488/tcp>) を選択し、Cockpit サービスがそのポートにバインドできるように SELinux に指示します。

   # semanage port -a -t websm_port_t -p tcp <4488>

   ポートは 1 つのサービスのみで一度に使用できるため、すでに使用しているポートを使用しようとすると、ValueError: Port already defined エラーが発生します。

2. ファイアウォールで新しいポートを開き、以前のポートを閉じます。

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

3. cockpit.socket サービスのオーバーライドファイルを作成します。

   # systemctl edit cockpit.socket

4. 次のエディター画面では、/etc/systemd/system/cockpit.socket.d/ディレクトリーにある空の override.conf ファイルが開きます。次の行を追加して、Web コンソールのデフォルトポートを 9090 から以前に選択した番号に変更します。

   [Socket]
   ListenStream=
   ListenStream=<4488>

   最初の ListenStream= ディレクティブの値が空になっているのは意図的であることに注意してください。単一のソケットユニットで複数の ListenStream ディレクティブを宣言することができ、ドロップインファイル内の空の値はリストをリセットし、元のユニットのデフォルトポート 9090 を無効にします。

   重要

   前のコードスニペットを 、# Anything between here と # Lines below this で始まる行の間に挿入します。それ以外の場合、システムは変更を破棄します。

5. Ctrl + O と Enter を押して変更を保存します。Ctrl + X を押してエディターを終了します。

6. 変更した設定を再読み込みします。

   # systemctl daemon-reload

7. 設定が機能していることを確認します。

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

8. Restart cockpit.socket:

   # systemctl restart cockpit.socket

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: rhel-system-roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_port: 9050
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   サンプル Playbook で指定されている設定は次のとおりです。

   cockpit_manage_selinux: true

   selinux システムロールを使用して、websm_port_t SELinux タイプで正しいポート権限を設定するように SELinux を設定できるようにします。

   cockpit_manage_firewall: true

   Cockpit システムロールがポートの追加に firewalld システムロールを使用できるようにします。

   cockpit_certificates: <YAML_dictionary>

   デフォルトでは、RHEL Web コンソールは自己署名証明書を使用します。あるいは、cockpit_certificates 変数を Playbook に追加し、IdM 認証局 (CA) から証明書を要求するか、管理対象ノードで使用可能な既存の証明書と秘密鍵を使用するようにロールを設定することもできます。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 任意のテキストエディターで <systemd>.override.json ファイルのマニフェスト設定をオーバーライドします。次に例を示します。

   1. すべてのユーザーの設定を編集するには、次のように入力します。

      # vi /etc/cockpit/<systemd>.override.json

   2. 単一ユーザーの設定を編集するには、次のように入力します。

      # vi ~/.config/cockpit/<systemd>.override.json

2. 次の詳細を含む必要なファイルを編集します。

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   • null 値を指定すると、services タブが非表示になります。
   • -1 値を指定すると、logs タブが一番目に移動します。

3. cockpit サービスを再起動します。

   # systemctl restart cockpit.service

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. ソフトウェアの更新 をクリックします。

   利用可能な更新プログラムのリストは 24 時間後に自動的に更新されます。更新を発生させるには、Check for Updates ボタンをクリックします。

3. 更新を適用します。更新の実行中に更新ログを見ることができます。

   1. 利用可能な更新をすべてインストールするには、Install all updates ボタンをクリックします。
   2. セキュリティー更新プログラムがある場合は、Install Security Updates ボタンをクリックすると個別にインストールできます。
   3. kpatch 更新が利用可能な場合は、kpatch 更新のインストール ボタンをクリックして個別にインストールできます。

4. オプション: システムを自動的に再起動するために、Reboot after completion スイッチをオンにすることができます。

   この手順を実行する場合は、この手順の残りの手順をスキップできます。

5. システムが更新を適用すると、システムを再起動するように勧められます。更新に、個別に再起動したくない新しいカーネルまたはシステムサービスが含まれている場合は、システムを再起動します。

6. 無視 をクリックして再起動をキャンセルするか、今すぐ再起動 をクリックしてシステムの再起動を続行します。

   システムの再起動後、Web コンソールにログインし、ソフトウェア更新 ページに移動して更新が成功したことを確認します。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. ソフトウェアの更新 をクリックします。
3. 設定 表で、編集 ボタンをクリックします。
4. 自動更新の種類を一つ選びます。セキュリティー更新プログラムのみ、または すべての更新 プログラムから選択することができます。
5. 自動更新の日付を変更するには、ドロップダウンメニューの 毎日 をクリックして、特定の日付を選択します。
6. 自動更新の時刻を変更するには、6:00 のフィールドをクリックして、特定の時刻を選択するか、入力します。
7. ソフトウェアの自動更新を無効にする場合は、更新なし を選択してください。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. ソフトウェアの更新 をクリックします。
3. システムの更新を適用します。
4. 更新が成功したら、Reboot system…​、Restart services…​、または Ignore をクリックします。

5. 無視することにした場合には、次のいずれかの方法で再起動またはリブートメニューに戻ることができます。

   1. リブート:

      1. Software Updates ページの Status フィールドにある Reboot system ボタンをクリックします。
      2. (オプション) ログインしているユーザーへのメッセージを書きます。
      3. Delay ドロップダウンメニューから、delay を選択します。
      4. Reboot をクリックします。

   2. サービスの再起動:

      1. Software Updates ページの Status フィールドにある Restart services…​ ボタンをクリックします。

         再起動が必要なすべてのサービスのリストが表示されます。

      2. サービスの再起動 をクリックします。

         選択した内容に応じて、システムを再起動するか、サービスを再起動します。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. ソフトウェアの更新 をクリックします。

3. カーネルパッチの設定状況を確認します。

   1. パッチがインストールされていない場合は、インストール をクリックします。

      

   2. カーネルパッチを有効にするには、Enable をクリックします。

      

   3. カーネルパッチを適用する場合はチェックを入れます。

   4. 現在のカーネルと将来のカーネルにパッチを適用するか、現在のカーネルのみに適用するかを選択します。将来のカーネルのパッチを適用することをサブスクライブすることにした場合、システムは今後のカーネルリリースのパッチも適用します。

      

   5. Apply をクリックします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. 概要 ページの ヘルス ファイル内の 未登録 の警告をクリックするか、メインメニューの サブスクリプション をクリックして、サブスクリプション情報のあるページに移動します。

   

3. Overview フィールドで、Register をクリックします。

4. Register system ダイアログボックスで、アカウント認証情報を使用して登録する Account を選択します。

   

5. ユーザー名を入力します。
6. パスワードを入力します。

7. オプションで、組織名または ID を入力します。

   アカウントが Red Hat カスタマーポータルで複数の組織に所属している場合には、組織名または組織 ID を追加する必要があります。組織 ID を取得するには、Red Hat の連絡先にお問い合わせください。

   • システムを Red Hat Insights に接続しない場合は、Insights チェックボックスをオフにします。
8. Register をクリックします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. 概要 ページの 健全性 フィールドで、未登録の 警告をクリックするか、メインメニューの サブスクリプション をクリックして、サブスクリプション情報を含むページに移動します。

   .

3. Overview フィールドの Register をクリックします。

4. [システムの登録] ダイアログボックスで、[アクティベーションキー] を選択して、アクティベーションキーを使用して登録します。

   

5. キーを入力します。

6. 組織名または ID を入力します。

   組織 ID の取得は、Red Hat にお問い合わせください。

   • Red Hat Insights にシステムを接続しない場合は、Insights チェックボックスのチェックを外してください。
7. Register をクリックします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. RHEL 8 Web コンソールで、概要 ページの左上隅にある < ユーザー名 > @ < ホスト名 > をクリックします。

   

3. ドロップダウンメニューから、[新しいホストの追加] を クリックします。
4. 新規ホストの追加 ダイアログボックスで、追加するホストを指定します。

5. (オプション) 接続するアカウントのユーザー名を追加します。

   リモートシステムのユーザーアカウントを使用できます。ただし、管理者権限のないユーザーアカウントの認証情報を使用すると、管理タスクを実行できません。

   ローカルシステムと同じ認証情報を使用すると、Web コンソールはログインするたびにリモートシステムを自動的に認証します。複数のシステムで同じ認証情報を使用すると、セキュリティーが弱まることに注意してください。

6. 必要に応じて、色 フィールドをクリックして、システムの色を変更します。
7. Add をクリックします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. RHEL 8 Web コンソールで、概要 ページの左上隅にある < ユーザー名 > @ < ホスト名 > をクリックします。

   

3. ドロップダウンメニューから、[新しいホストの追加] を クリックします。
4. 新規ホストの追加 ダイアログボックスで、追加するホストを指定します。

5. 接続するアカウントのユーザー名を追加します。

   リモートシステムのユーザーアカウントを使用できます。ただし、管理者権限のないユーザーアカウントを使用すると、管理タスクを実行できません。

6. 必要に応じて、色 フィールドをクリックして、システムの色を変更します。

7. Add をクリックします。

   パスワードを要求する新しいダイアログウィンドウが表示されます。

8. ユーザーアカウントのパスワードを入力します。

9. すでに SSH キーをお持ちの場合は、SSH キーの承認 をチェックしてください。

   

10. SSH 鍵がない場合は、Create new SSH key and authorize it にチェックを入れてください。Web コンソールがキーを作成します。

    

    1. SSH 鍵のパスワードを追加します。
    2. パスワードを確認すします。
11. Log in をクリックします。

検証

1. ログアウトします。
2. ログインし直してください。
3. Not connected to host 画面の Log in をクリックします。

4. 認証オプションとして、SSH 鍵を選択します。

   
5. 鍵のパスワードを入力します。
6. Log in をクリックします。

手順

1. 委任ルールでアクセス可能な対象ホストのリストを作成します。

   1. サービス委任ターゲットを作成します。

      $ ipa servicedelegationtarget-add cockpit-target

   2. 委任対象に対象ホストを追加します。

      $ ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

2. サービス委任ルールを作成し、HTTP サービスの Kerberos プリンシパルを追加することで、cockpit セッションが対象ホストのリストにアクセスできるようにします。

   1. サービス委任ルールを作成します。

      $ ipa servicedelegationrule-add cockpit-delegation

   2. Web コンソールクライアントを委任ルールに追加します。

      $ ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 委任対象を委任ルールに追加します。

      $ ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

3. remote.idm.example.com ホストで Kerberos 認証を有効にします。

   1. root として remote.idm.example.com に SSH 接続します。
   2. /etc/ssh/sshd_config ファイルを開いて編集します。
   3. GSSAPIAuthentication no 行のコメントを外し、GSSAPIAuthentication yes に置き換えて、GSSAPIAuthentication を有効にします。

4. 上記の変更がすぐに有効になるように、remote.idm.example.com の SSH サービスを再起動します。

   $ systemctl try-restart sshd.service

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. 以下の内容で web-console-smart-card-ssh.yml Playbook を作成します。

   1. 委任対象の存在を確認するタスクを作成します。

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 対象ホストを委任ターゲットに追加するタスクを追加します。

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 委任ルールの存在を確認するタスクを追加します。

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. Web コンソールクライアントサービスの Kerberos プリンシパルが制約付き委任ルールのメンバーであることを確認するタスクを追加します。

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 制約付き委任ルールが web-console-delegation-target 委任対象と関連付けられることを確認するタスクを追加します。

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

3. ファイルを保存します。

4. Ansible Playbook を実行します。Playbook ファイル、secret.yml ファイルを保護するパスワードを格納するファイル、およびインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

5. remote.idm.example.com で Kerberos 認証を有効にします。

   1. root として remote.idm.example.com に SSH 接続します。
   2. /etc/ssh/sshd_config ファイルを開いて編集します。
   3. GSSAPIAuthentication no 行のコメントを外し、GSSAPIAuthentication yes に置き換えて、GSSAPIAuthentication を有効にします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Overview タブの Configuration フィールドで、Join Domain をクリックします。
3. ドメイン参加 ダイアログボックスの ドメインアドレス フィールドに、IdM サーバーのホスト名を入力します。
4. ドメイン管理者名 フィールドで、IdM 管理アカウントのユーザー名を入力します。
5. Domain administrator password にパスワードを追加します。
6. 参加 をクリックします。

検証

1. システムが IdM ドメインに参加していると、RHEL 8 Web コンソールにエラーが表示されず、システム 画面でドメイン名を確認できます。

2. ユーザーがドメインのメンバーであることを確認するには、Terminal ページをクリックし、id コマンドを実行します。

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

手順

1. opensc パッケージおよび gnutls-utils パッケージをインストールします。

   # yum -y install opensc gnutls-utils

2. pcscd サービスを開始します。

   # systemctl start pcscd

手順

1. スマートカードを消去して PIN で自身を認証します。

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   カードが削除されました。

2. スマートカードを初期化し、ユーザーの PIN と PUK を設定します。また、セキュリティー担当者の PIN と PUK を設定します。

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \ --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init ツールは、スマートカードに新しいスロットを作成します。

3. スロットのラベルと認証 ID を設定します。

   $ pkcs15-init --store-pin --label testuser \ --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   ラベルは人間が判読できる値に設定されます (この場合は testuser)。auth-id は 16 進数の値である必要があります。この場合、01 に設定されます。

4. スマートカードの新しいスロットに秘密鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \ --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注記

   --id に指定する値は、秘密鍵を保存するときと、次の手順で証明書を保存するときに同じである必要があります。--id に独自の値を指定することを推奨します。そうしないと、より複雑な値がツールによって計算されます。

5. スマートカードの新しいスロットに証明書を保存し、ラベル付けします。

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \ --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. オプション: スマートカードの新しいスロットに公開鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-public-key testuserpublic.key --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注記

   公開鍵が秘密鍵または証明書に対応する場合は、秘密鍵または証明書の ID と同じ ID を指定します。

7. オプション: スマートカードの中には、設定をロックしてカードをファイナライズする必要があるものもあります。

   $ pkcs15-init -F

   この段階では、スマートカードには、新たに作成されたスロットに証明書、秘密鍵、および公開鍵が含まれます。ユーザーの PIN と PUK、およびセキュリティー担当者の PIN と PUK も作成しました。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Terminal をクリックします。

3. /etc/cockpit/cockpit.conf で ClientCertAuthentication を yes に設定します。

   [WebService]
   ClientCertAuthentication = yes

4. 必要に応じて、以下のようにして cockpit.conf でパスワードベースの認証を無効にします。

   [Basic]
   action = none

   この設定ではパスワード認証が無効になり、常にスマートカードを使用する必要があります。

5. Web コンソールを再起動して、cockpit.service が変更を受け入れることを確認します。

   # systemctl restart cockpit

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

   ブラウザーは、スマートカードに保存されている証明書を PIN で保護するよう要求します。

2. Password Required ダイアログボックスで PIN を入力し、OK をクリックします。
3. User Identification Request ダイアログボックスで、スマートカードに保存されている証明書を選択します。

4. Remember this decision を選択します。

   次回、このウィンドウが開きません。

   注記

   この手順は、Google Chrome ユーザーには適用されません。

5. OK をクリックします。

手順

1. 端末で system-cockpithttps.slice 設定ファイルを開きます。

   # systemctl edit system-cockpithttps.slice

2. TasksMax を 100 に、CPUQuota を 30% に制限します。

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

3. 変更を適用するには、システムを再起動します。

   # systemctl daemon-reload
   # systemctl stop cockpit