10.2. SSSD를 사용하여 스마트 카드 인증 문제 해결

프로세스

1. su 를 사용하여 스마트 카드로 인증할 수 있는지 확인합니다.

   $ su - idmuser1 -c ‘su - idmuser1 -c whoami'
   PIN for MyEID (sctest):
   idmuser1

   Copy to Clipboard Toggle word wrap

   스마트 카드 PIN을 입력하라는 메시지가 표시되지 않고 암호 프롬프트 또는 권한 부여 오류가 반환되면 SSSD 로그를 확인합니다. SSSD 로그인 에 대한 자세한 내용은 IdM의 SSSD로 인증 문제 해결을 참조하십시오. 다음은 인증 오류의 예입니다.

   $ su - idmuser1 -c ‘su - idmuser1 -c whoami'
   PIN for MyEID (sctest):
   su: Authentication failure

   Copy to Clipboard Toggle word wrap

   SSSD 로그에 다음과 같이 krb5_child 의 문제가 표시되면 CA 인증서에 문제가 있을 수 있습니다. 인증서 문제를 해결하려면 IdM Kerberos KDC가 Pkinit를 사용할 수 있는지 확인하고 CA 인증서가 올바르게 있는지 를 참조하십시오.

   [Pre-authentication failed: Failed to verify own certificate (depth 0): unable to get local issuer certificate: could not load the shared library]

   Copy to Clipboard Toggle word wrap

   SSSD 로그가 p11_child 또는 krb5_child 의 시간 초과를 나타내는 경우 SSSD 시간 제한을 늘리고 스마트 카드로 다시 인증해야 할 수 있습니다. 시간 초과를 늘리는 방법에 대한 자세한 내용은 SSSD 시간 단축을 참조하십시오.

2. GDM 스마트 카드 인증 구성이 올바른지 확인합니다. 다음과 같이 PAM 인증에 대한 성공 메시지를 반환해야 합니다.

   # sssctl user-checks -s gdm-smartcard "idmuser1" -a auth
   user: idmuser1
   action: auth
   service: gdm-smartcard
   
   SSSD nss user lookup result:
    - user name: idmuser1
    - user id: 603200210
    - group id: 603200210
    - gecos: idm user1
    - home directory: /home/idmuser1
    - shell: /bin/sh
   
   SSSD InfoPipe user lookup result:
    - name: idmuser1
    - uidNumber: 603200210
    - gidNumber: 603200210
    - gecos: idm user1
    - homeDirectory: /home/idmuser1
    - loginShell: /bin/sh
   
   testing pam_authenticate
   
   PIN for MyEID (sctest)
   pam_authenticate for user [idmuser1]: Success
   
   PAM Environment:
    - PKCS11_LOGIN_TOKEN_NAME=MyEID (sctest)
    - KRB5CCNAME=KCM:

   Copy to Clipboard Toggle word wrap

   다음과 유사한 인증 오류가 반환되는 경우 SSSD 로그를 확인하여 문제를 발생시키는 원인을 확인합니다. SSSD 로그인 에 대한 자세한 내용은 IdM의 SSSD로 인증 문제 해결을 참조하십시오.

   pam_authenticate for user [idmuser1]: Authentication failure
   
   PAM Environment:
    - no env -

   Copy to Clipboard Toggle word wrap

   PAM 인증이 계속 실패하면 캐시를 지우고 명령을 다시 실행합니다.

   # sssctl cache-remove
   SSSD must not be running. Stop SSSD now? (yes/no) [yes] yes
   Creating backup of local data…
   Removing cache files…
   SSSD needs to be running. Start SSSD now? (yes/no) [yes] yes

   Copy to Clipboard Toggle word wrap