36.2. スマートカードで認証されたユーザーが再認証を求められることなくリモートホストに SSH 接続できるように Web コンソールを設定する

手順

1. 委任ルールがアクセスできるターゲットホストのリストを作成します。

   1. サービス委任ターゲットを作成します。

      $ ipa servicedelegationtarget-add cockpit-target

   2. 委任対象に対象ホストを追加します。

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

2. サービス委任ルールを作成し、HTTP サービスの Kerberos プリンシパルを追加することで、cockpit セッションがターゲットホストリストにアクセスできるようにします。

   1. サービス委任ルールを作成します。

      $ ipa servicedelegationrule-add cockpit-delegation

   2. Web コンソールクライアントを委任ルールに追加します。

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 委任対象を委任ルールに追加します。

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

3. remote.idm.example.com ホストで Kerberos 認証を有効にします。

   1. root として、SSH 経由で remote.idm.example.com に接続します。
   2. /etc/ssh/sshd_config ファイルを開いて編集します。
   3. GSSAPIAuthentication no 行のコメントを外し、GSSAPIAuthentication yes に置き換えて、GSSAPIAuthentication を有効にします。

4. 変更をすぐに有効にするには、remote.idm.example.com で sshd サービスを再起動します。

   $ systemctl try-restart sshd.service