123.4. スマートカードで認証されたユーザーが再認証を求められることなく sudo を実行できるように Web コンソールを設定する

手順

1. 委任ルールでアクセス可能な対象ホストのリストを作成します。

   1. サービス委任ターゲットを作成します。

      $ ipa servicedelegationtarget-add cockpit-target

   2. 委任ターゲットに対象ホストを追加します。

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/myhost.idm.example.com@IDM.EXAMPLE.COM

2. サービス委任ルールを作成し、HTTP サービスの Kerberos プリンシパルを追加することで、cockpit セッションが対象ホストのリストにアクセスできるようにします。

   1. サービス委任ルールを作成します。

      $ ipa servicedelegationrule-add cockpit-delegation

   2. Web コンソールサービスを委任ルールに追加します。

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 委任ターゲットを委任ルールに追加します。

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

3. System Security Services Daemon (SSSD) と連携して Generic Security Service Application Program Interface (GSSAPI) を介してユーザーを認証するための PAM モジュールである pam_sss_gss を有効にします。

   1. /etc/sssd/sssd.conf ファイルを開いて編集します。

   2. ドメインの IdM で pam_sss_gss が sudo および sudo -i コマンドの認証を提供できるように指定します。

      [domain/idm.example.com]
      pam_gssapi_services = sudo, sudo-i

   3. ファイルを保存し、終了します。
   4. /etc/pam.d/sudo ファイルを編集用に開きます。

   5. 次の行を #%PAM-1.0 リストの先頭に挿入して、sudo コマンドの GSSAPI 認証を許可しますが、必須ではありません。

      auth sufficient pam_sss_gss.so

   6. ファイルを保存し、終了します。

4. 上記の変更がすぐに有効になるように、SSSD サービスを再起動します。

   $ systemctl restart sssd