8.2. 스마트 카드를 사용하여 원격으로 sudo에 연결
연결을 시작하려면 스마트 카드를 로컬 SSH 에이전트로 로드하고 에이전트 전달을 활성화해야 합니다. 이 설정을 사용하면 원격 시스템에서 권한 에스컬레이션 시도 중에 로컬 스마트 카드에 대한 사용자 ID를 확인할 수 있습니다.
사전 요구 사항
-
IdM에
sudo규칙이 생성되어 있습니다. - 스마트 카드를 사용하는 FIDO2 Yubikeys 또는 PKINIT 인증을 사용하여 패스키 인증을 지원하도록 IdM을 구성했습니다.
-
sudo를 실행하려는 원격 시스템에서sudo인증을 위해pam_sss_gss모듈을 구성했습니다.
프로세스
SSH 에이전트를 시작합니다(아직 실행 중이 아닌 경우).
# eval `ssh-agent`스마트 카드를 SSH 에이전트에 추가합니다. 메시지가 표시되면 PIN을 입력합니다.
# ssh-add -s /usr/lib64/opensc-pkcs11.sossh-agent 전달이 활성화된 SSH를 사용하여
sudo를 원격으로 실행해야 하는 시스템에 연결합니다.A옵션을 사용합니다.# ssh -A ipauser1@server.ipa.test
검증
sudo:를 사용하여whoami명령을 실행합니다.# sudo /usr/bin/whoami
스마트 카드가 삽입되면 PIN 또는 비밀번호를 입력하라는 메시지가 표시되지 않습니다.
SSH 에이전트가 GNOME 키링과 같은 다른 소스를 사용하도록 구성되어 스마트 카드를 제거한 후 sudo 명령을 실행하도록 구성된 경우 다른 소스 중 하나가 유효한 개인 키에 대한 액세스를 제공할 수 있으므로 PIN 또는 암호를 입력하라는 메시지가 표시되지 않을 수 있습니다. SSH 에이전트에서 알고 있는 모든 ID의 공개 키를 확인하려면 ssh-add -L 명령을 실행합니다.