RHEL 웹 콘솔에서 시스템 관리

프로세스

1. 설치 변형에 웹 콘솔이 기본적으로 설치되지 않은 경우 cockpit 패키지를 수동으로 설치합니다.

   # dnf install cockpit

2. 웹 서버를 실행하는 cockpit.socket 서비스를 활성화하고 시작합니다.

   # systemctl enable --now cockpit.socket

3. 설치 변형에 웹 콘솔이 기본적으로 설치되지 않았으며 사용자 지정 방화벽 프로필을 사용하는 경우 cockpit 서비스를 firewalld 에 추가하여 방화벽에서 포트 9090을 엽니다.

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

프로세스

1. 웹 브라우저에서 다음 주소를 입력하여 웹 콘솔에 액세스합니다.

   https://localhost:9090

   참고

   그러면 로컬 시스템에서 웹 콘솔 로그인이 제공됩니다. 원격 시스템의 웹 콘솔에 로그인하려면 원격 머신의 웹 콘솔에 연결 섹션을 참조하십시오.

   자체 서명된 인증서를 사용하는 경우 브라우저에 경고가 표시됩니다. 인증서를 확인하고 보안 예외를 수락하여 로그인을 진행합니다.

   콘솔은 /etc/cockpit/ws-certs.d 디렉터리에서 인증서를 로드하고 마지막 파일을 알파벳순으로 .cert 확장자와 함께 사용합니다. 보안 예외를 부여하지 않으려면 CA(인증 기관)에서 서명한 인증서를 설치합니다.

2. 로그인 화면에서 시스템 사용자 이름과 암호를 입력합니다.

3. 로그인 을 클릭합니다.

   인증에 성공하면 RHEL 웹 콘솔 인터페이스가 열립니다.

프로세스

1. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에 cockpit.conf 파일을 열거나 만듭니다. 예를 들면 다음과 같습니다.

   # vi cockpit.conf

2. 다음 텍스트를 추가합니다.

   [basic]
   action = none

3. 파일을 저장합니다.

4. 변경 사항을 적용하려면 웹 콘솔을 다시 시작합니다.

   # systemctl try-restart cockpit

프로세스

1. 웹 브라우저를 엽니다.

2. 다음 형식 중 하나로 원격 서버의 주소를 입력합니다.

   1. 서버의 호스트 이름:

      https://<server.hostname.example.com>:<port-number>

      예를 들면 다음과 같습니다.

      https://example.com:9090

   2. 서버의 IP 주소:

      https://<server.IP_address>:<port-number>

      예를 들면 다음과 같습니다.

      https://192.0.2.2:9090

3. 로그인 인터페이스가 열린 후 RHEL 시스템 인증 정보로 로그인합니다.

프로세스

1. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에서 disallowed-users 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/cockpit/disallowed-users

2. 파일을 편집하고 root 사용자의 행을 제거합니다.

   # List of users which are not allowed to login to Cockpit root
    

3. 변경 사항을 저장하고 편집기를 종료합니다.

프로세스

1. 브라우저에서 RHEL 웹 콘솔을 엽니다.

   • 로컬: https://localhost:9090
   • 원격으로 서버 호스트 이름: https://example.com:9090

   • 원격 서버 IP 주소: https://EXAMPLE.SERVER.IP.ADDR:9090

     자체 서명된 인증서를 사용하는 경우 브라우저에서 경고를 발행합니다. 인증서를 확인하고 보안 예외를 수락하여 로그인을 진행합니다.

     콘솔은 /etc/cockpit/ws-certs.d 디렉터리에서 인증서를 로드하고 마지막 파일을 알파벳순으로 .cert 확장자와 함께 사용합니다. 보안 예외를 부여하지 않으려면 CA(인증 기관)에서 서명한 인증서를 설치합니다.

2. 로그인 창이 열립니다. 로그인 창에서 시스템 사용자 이름과 암호를 입력합니다.
3. 장치에 일회성 암호를 생성합니다.
4. 암호를 확인한 후 웹 콘솔 인터페이스에 표시되는 새 필드에 일회성 암호를 입력합니다.
5. Log in 을 클릭합니다.
6. 성공적으로 로그인하면 웹 콘솔 인터페이스의 개요 페이지로 이동합니다.

프로세스

1. 기본 설정 텍스트 편집기에서 /etc/issue.cockpit 파일을 엽니다.

   # vi /etc/issue.cockpit

2. 파일에 배너로 표시할 콘텐츠를 추가합니다. 예를 들면 다음과 같습니다.

   This is an example banner for the RHEL web console login page.

   파일에 매크로를 포함할 수는 없지만 줄 바꿈과 ASCII Art을 사용할 수 있습니다.

3. 파일을 저장합니다.

4. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에서 cockpit.conf 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/cockpit/cockpit.conf

5. 파일에 다음 텍스트를 추가합니다.

   [Session]
   Banner=/etc/issue.cockpit

6. 파일을 저장합니다.

7. 변경 사항을 적용하려면 웹 콘솔을 다시 시작합니다.

   # systemctl try-restart cockpit

프로세스

1. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에서 cockpit.conf 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/cockpit/cockpit.conf

2. 파일에 다음 텍스트를 추가합니다.

   [Session]
   IdleTimeout=<X>

   몇 분 내에 선택한 기간 동안 < X >를 숫자로 바꿉니다.

3. 파일을 저장합니다.

4. 변경 사항을 적용하려면 웹 콘솔을 다시 시작합니다.

   # systemctl try-restart cockpit

프로세스

1. 사용하지 않는 포트(예: < 4488/tcp >)를 선택하고 SELinux에 cockpit 서비스가 해당 포트에 바인딩되도록 지시합니다.

   # semanage port -a -t websm_port_t -p tcp <4488>

   포트는 한 번에 하나의 서비스에서만 사용할 수 있으므로 이미 사용되고 있는 포트를 사용하려는 경우 ValueError: 포트가 이미 정의된 오류 메시지를 의미합니다.

2. 새 포트를 열고 방화벽에서 이전 포트를 종료합니다.

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

3. cockpit.socket 서비스에 대한 덮어쓰기 파일을 생성합니다.

   # systemctl edit cockpit.socket

4. 다음 편집기 화면에서 /etc/systemd/system/cockpit.socket.d/ 디렉터리에 있는 빈 override.conf 파일을 열고 다음 행을 추가하여 웹 콘솔의 기본 포트를 9090에서 이전에 선택한 번호로 변경합니다.

   [Socket]
   ListenStream=
   ListenStream=<4488>

   빈 값이 있는 첫 번째 ListenStream= 지시문은 의도적입니다. 단일 소켓 단위로 여러 ListenStream 지시문을 선언하고 드롭인 파일의 빈 값은 목록을 재설정하고 원래 장치의 기본 포트 9090을 비활성화할 수 있습니다.

   중요

   이 아래 의 줄과 #로 시작하는 줄 사이에 이전 코드 조각을 삽입합니다. 그렇지 않으면 시스템이 변경 사항을 삭제합니다.

5. 변경 사항을 저장하고 편집기를 종료합니다.

6. 변경된 구성을 다시 로드합니다.

   # systemctl daemon-reload

7. 구성이 작동하는지 확인합니다.

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

8. cockpit.socket:

   # systemctl restart cockpit.socket

프로세스

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_port: 9090
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   cockpit_manage_selinux: true

   selinux 시스템 역할을 사용하여 websm_port_t SELinux 유형에 올바른 포트 권한을 설정하도록 SELinux를 구성합니다.

   cockpit_manage_firewall: true

   cockpit 시스템 역할이 포트 추가를 위해 firewalld 시스템 역할을 사용하도록 허용합니다.

   cockpit_certificates: <YAML_dictionary>

   기본적으로 RHEL 웹 콘솔은 자체 서명된 인증서를 사용합니다. 또는 cockpit_certificates 변수를 플레이북에 추가하고 IdM 인증 기관(CA)에서 인증서를 요청하거나 관리 노드에서 사용 가능한 기존 인증서 및 개인 키를 사용하도록 역할을 구성할 수 있습니다.

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. Playbook을 실행합니다.

   $ ansible-playbook ~/playbook.yml

1. 웹 콘솔에서 애플리케이션을 클릭하고 사용 가능하고 이미 설치된 애플리케이션 목록에서 설치 버튼을 사용합니다.

   

2. 터미널에서 dnf install 명령을 사용합니다.

   # dnf install <add-on>

   이전 명령에서 < add-on >을 RHEL 웹 콘솔에 사용 가능한 추가 기능 애플리케이션 목록의 패키지 이름으로 바꿉니다.

프로세스

1. 선택한 텍스트 편집기에서 < systemd > .override.json 파일의 매니페스트 설정을 재정의합니다. 예를 들면 다음과 같습니다.

   1. 모든 사용자에 대해 편집하려면 다음을 입력합니다.

      # vi /etc/cockpit/<systemd>.override.json

   2. 단일 사용자에 대해 편집하려면 다음을 입력합니다.

      # vi ~/.config/cockpit/<systemd>.override.json

2. 다음 세부 정보를 사용하여 필요한 파일을 편집합니다.

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   • null 값은 서비스 탭을 숨깁니다.
   • -1 값은 로그 탭을 먼저 이동합니다.

3. cockpit 서비스를 다시 시작하십시오.

   # systemctl restart cockpit.service

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.

2. 개요 페이지에서 등록하지 않은 경고를 클릭하거나 기본 메뉴에서 서브스크립션 을 클릭하여 서브스크립션 정보가 포함된 페이지로 이동합니다.

   

3. 개요 필드에서 등록을 클릭합니다.
4. 등록 시스템 대화 상자에서 계정 자격 증명을 사용하여 등록할 계정을 선택합니다.
5. 사용자 이름을 입력합니다.
6. 암호를 입력합니다.

7. 선택 사항: 조직의 이름 또는 ID를 입력합니다.

   계정이 Red Hat 고객 포털에서 두 개 이상의 조직에 속하는 경우 조직 이름 또는 조직 ID를 추가해야 합니다. 조직 ID를 가져오려면 Red Hat 연락처로 이동하십시오.

   • 시스템을 Red Hat Lightspeed에 연결하지 않으려면 Insights 확인란을 지웁니다.
8. 등록을 클릭합니다.

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.

2. 개요 페이지의 상태 필드에서 등록된 경고를 클릭하거나 기본 메뉴에서 서브스크립션 을 클릭하여 서브스크립션 정보가 있는 페이지로 이동합니다.

   .

3. 작성된 개요 에서 등록을 클릭합니다.
4. 등록 시스템 대화 상자에서 활성화 키를 선택하여 활성화 키를 선택합니다.
5. 키 또는 키를 입력합니다.

6. 조직의 이름 또는 ID를 입력합니다.

   조직 ID를 가져오려면 Red Hat 연락처로 이동하십시오.

   • 시스템을 Red Hat Lightspeed에 연결하지 않으려면 Insights 확인란을 지웁니다.
7. 등록을 클릭합니다.

프로세스

1. 웹 콘솔 로그인 페이지를 엽니다.
2. 사용자 이름 필드에 있는 원격 호스트의 사용자 이름을 지정합니다.
3. 다른 옵션을 클릭하여 텍스트에 연결 필드를 표시합니다.

4. 텍스트에 연결 필드에서 SSH를 사용하여 연결할 원격 호스트를 지정합니다. 포트를 지정하지 않으면 웹 콘솔에서 지정된 원격 호스트에서 포트 22에 연결을 시도합니다.

   
5. Log in 을 클릭합니다.

프로세스

1. 터미널에서 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉터리에 cockpit.conf 파일을 열거나 만듭니다.

2. 다음 텍스트를 추가합니다.

   [WebService]
   AllowMultiHost=yes

   주의

   호스트 전환은 더 이상 사용되지 않으며 기본적으로 비활성화되어 있습니다. 웹 기술 제한으로 인해 이 기능은 안전하지 않습니다. 연결된 모든 시스템이 연결된 나머지 부분에 임의의 변경을 수행할 수 있으므로 신뢰할 수 없는 호스트에 연결하는 경우 호스트 전환기를 활성화하지 마십시오. 더 안전한 대안으로 웹 브라우저 세션에서 하나의 호스트에 대한 보안 제한이 있는 웹 콘솔 로그인 페이지를 사용하거나 Cockpit Client Flatpak을 사용할 수 있습니다.

3. 파일을 저장합니다.

4. 웹 콘솔을 다시 시작하여 변경 사항이 적용되었는지 확인합니다.

   # systemctl try-restart cockpit

5. RHEL 웹 콘솔에서 개요 페이지의 왼쪽 상단에 있는 < username> @ <hostname >을 클릭합니다.

   

6. 드롭다운 메뉴에서 새 호스트 추가 를 클릭합니다.
7. 새 호스트 추가 대화 상자에서 추가할 호스트를 지정합니다.

8. 선택 사항: 연결할 계정의 사용자 이름을 추가합니다.

   원격 시스템의 모든 사용자 계정을 사용할 수 있습니다. 그러나 관리 권한이 없는 사용자 계정의 자격 증명을 사용하는 경우 관리 작업을 수행할 수 없습니다.

   로컬 시스템에서와 동일한 인증 정보를 사용하는 경우 웹 콘솔은 로그인할 때마다 원격 시스템을 자동으로 인증합니다.

   중요

   웹 콘솔은 원격 시스템에 로그인하는 데 사용되는 암호를 저장하지 않습니다.

9. 선택 사항: 색상 필드를 클릭하여 시스템의 색상을 변경합니다.
10. 추가 를 클릭합니다.

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.

2. RHEL 웹 콘솔에서 개요 페이지의 왼쪽 상단에 있는 < username> @ <hostname >을 클릭합니다.

   
3. 드롭다운 메뉴에서 새 호스트 추가 를 클릭합니다.
4. 새 호스트 추가 대화 상자에서 추가할 호스트를 지정합니다. 처음으로 호스트에 연결하는 경우 Trust를 클릭하고 다음 대화 상자에서 새 호스트를 추가해야 합니다.

5. 암호 대화 상자는 호스트에 SSH 키 파일이 있는지에 따라 다릅니다.

   1. 호스트에 대한 SSH 키가 이미 있는 경우 SSH 키 권한 부여 옵션을 선택합니다.
   2. SSH 키가 없는 경우 새 SSH 키 만들기를 선택하고 권한을 부여합니다. 웹 콘솔에서 키를 생성합니다.
6. SSH 키의 암호를 추가하고 확인합니다.
7. Log in 을 클릭합니다.

검증

1. 로그아웃합니다.
2. 다시 로그인합니다.
3. Not connected to host 화면에서 Log in 을 클릭합니다.
4. 인증 옵션으로 SSH 키를 선택합니다.
5. 키 암호를 입력합니다.
6. Log in 을 클릭합니다.

프로세스

1. 터미널 페이지에서 사용자 세션에서 웹 콘솔이 User to Proxy(S4U2proxy) Kerberos 티켓을 생성한지 확인합니다.

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 위임 규칙이 액세스할 수 있는 대상 호스트 목록을 생성합니다.

   1. 서비스 위임 대상을 생성합니다.

      $ ipa servicedelegationtarget-add cockpit-target

   2. 위임 대상에 대상 호스트를 추가합니다.

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

3. 서비스 위임 규칙을 생성하고 HTTP 서비스 Kerberos 주체를 추가하여 cockpit 세션이 대상 호스트 목록에 액세스하도록 허용합니다.

   1. 서비스 위임 규칙을 생성합니다.

      $ ipa servicedelegationrule-add cockpit-delegation

   2. 위임 규칙에 웹 콘솔 클라이언트를 추가합니다.

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 위임 규칙에 위임 대상을 추가합니다.

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

4. remote.idm.example.com 호스트에서 Kerberos 인증을 활성화합니다.

   1. SSH를 통해 root 로 remote.idm.example.com 에 연결합니다.
   2. /etc/ssh/sshd_config 파일에 GSSAPIAuthentication yes 행을 추가합니다.

5. remote.idm.example.com 에서 sshd 서비스를 다시 시작하여 변경 사항이 즉시 적용됩니다.

   $ systemctl try-restart sshd.service

프로세스

1. ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. 중요한 변수를 암호화된 파일에 저장합니다.

   1. 자격 증명 모음을 생성합니다.

      $ ansible-vault create secret.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. ansible-vault create 명령이 편집기를 열고 < key > : < value > 형식으로 중요한 데이터를 입력합니다.

      ipaadmin_password: <admin_password>

   3. 변경 사항을 저장하고 편집기를 종료합니다. Ansible은 자격 증명 모음의 데이터를 암호화합니다.

3. 터미널 페이지에서 사용자 세션에서 웹 콘솔이 User to Proxy(S4U2proxy) Kerberos 티켓을 생성한지 확인합니다.

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

4. 다음 콘텐츠를 사용하여 web-console-smart-card-ssh.yml 플레이북을 생성합니다.

   1. 위임 대상의 존재를 확인하는 작업을 생성합니다.

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 위임 대상에 대상 호스트를 추가하는 작업을 추가합니다.

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 위임 규칙이 있는지 확인하는 작업을 추가합니다.

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. 웹 콘솔 클라이언트 서비스의 Kerberos 주체가 제한된 위임 규칙의 멤버인지 확인하는 작업을 추가합니다.

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 제한된 위임 규칙이 web-console-delegation-target 위임 대상과 연결되어 있는지 확인하는 작업을 추가합니다.

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

   6. remote.idm.example.com 에서 Kerberos 인증을 활성화하는 작업을 추가합니다.

        - name: Enable Kerberos authentication
          hosts: remote.idm.example.com
          vars:
            sshd_config:
              GSSAPIAuthentication: true
          roles:
            - role: rhel-system-roles.sshd

5. 파일을 저장합니다.

6. Ansible 플레이북을 실행합니다. 플레이북 파일을 지정하고 secret.yml 파일을 보호하는 암호를 저장하는 파일 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.
2. 개요 탭의 구성 필드에서 도메인 가입 을 클릭합니다.
3. 도메인 가입 대화 상자에서 도메인 주소 필드에 IdM 서버의 호스트 이름을 입력합니다.
4. 도메인 관리자 이름 필드에 IdM 관리 계정의 사용자 이름을 입력합니다.
5. 도메인 관리자 암호 에서 암호를 추가합니다.
6. join 을 클릭합니다.

검증

1. RHEL 10 웹 콘솔에 오류가 표시되지 않으면 IdM 도메인에 연결된 시스템이 시스템 화면에 도메인 이름을 확인할 수 있습니다.

2. 사용자가 도메인의 멤버인지 확인하려면 터미널 페이지를 클릭하고 id 명령을 입력합니다.

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.
2. 터미널을 클릭합니다.

3. /etc/cockpit/cockpit.conf 에서 ClientCertAuthentication 을 yes 로 설정합니다.

   [WebService]
   ClientCertAuthentication = yes

4. 선택 사항: 다음을 사용하여 cockpit.conf 에서 암호 기반 인증을 비활성화합니다.

   [Basic]
   action = none

   이 설정은 암호 인증을 비활성화하고 항상 스마트 카드를 사용해야 합니다.

5. 웹 콘솔을 다시 시작하여 cockpit.service 가 변경 사항을 수락하는지 확인합니다.

   # systemctl restart cockpit

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.

   브라우저에서 스마트 카드에 저장된 인증서를 보호하는 PIN을 추가하도록 요청합니다.

2. 암호 필수 대화 상자에서 PIN을 입력하고 확인을 클릭합니다.
3. 사용자 식별 요청 대화 상자에서 스마트 카드에 저장된 인증서를 선택합니다.

4. Remember this decision 을 선택합니다.

   다음에 시스템이 이 창을 열지 않습니다.

   참고

   이 단계는 Google Chrome 사용자에게 적용되지 않습니다.

5. OK를 클릭합니다.

   이제 연결되어 있으며 웹 콘솔에 해당 콘텐츠가 표시됩니다.

프로세스

1. 티켓에 액세스할 수 있는 호스트를 나열하는 제약 조건 위임 규칙을 설정합니다.

   • 다음 예제 위임을 생성합니다.

     • 다음 명령을 입력하여 특정 규칙이 액세스할 수 있는 대상 시스템 목록을 추가합니다.

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • 웹 콘솔 세션(HTTP/principal)이 해당 호스트 목록에 액세스할 수 있도록 하려면 다음 명령을 사용합니다.

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 해당 서비스에서 GSS 인증을 활성화합니다.

   1. sudo 의 경우 /etc/sssd/sssd.conf 파일에서 pam_sss_gss 모듈을 활성화합니다.

      1. root 로서 도메인의 항목을 /etc/sssd/sssd.conf 구성 파일에 추가합니다.

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. 첫 번째 행의 /etc/pam.d/sudo 파일에서 모듈을 활성화합니다.

         auth sufficient pam_sss_gss.so

   2. SSH의 경우 /etc/ssh/sshd_config 파일의 GSSAPIAuthentication 옵션을 yes 로 업데이트합니다.

      주의

      위임된 S4U 티켓은 웹 콘솔에서 연결할 때 원격 SSH 호스트로 전달되지 않습니다. 티켓을 사용하여 원격 호스트에서 sudo 에 인증하면 작동하지 않습니다.

검증

1. 스마트 카드를 사용하여 웹 콘솔에 로그인합니다.
2. 제한 액세스 버튼을 클릭합니다.
3. 스마트 카드를 사용하여 인증합니다.
4. 또는 SSH를 사용하여 다른 호스트에 연결하십시오.

프로세스

1. 터미널에서 system-cockpithttps.slice 구성 파일을 엽니다.

   # systemctl edit system-cockpithttps.slice

2. TaskMax 를 100 으로 제한하고 CPUQuota 를 30% 로 제한합니다.

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

3. 변경 사항을 적용하려면 시스템을 다시 시작하십시오.

   # systemctl daemon-reload
   # systemctl stop cockpit