11.4. 스마트 카드를 위한 Kerberos 클라이언트 설정

스마트 카드를 Kerberos와 함께 사용할 수 있지만 스마트 카드의 X.509(SSL) 사용자 인증서를 인식하려면 추가 구성이 필요합니다.

필요한 PKI/OpenSSL 패키지를 다른 클라이언트 패키지와 함께 설치합니다.

[root@server ~]# yum install krb5-pkinit
[root@server ~]# yum install krb5-workstation krb5-libs

/etc/krb5.conf 구성 파일을 편집하여 PKI(공개 키 인프라)의 매개 변수를 구성의 [realms] 섹션에 추가합니다. pkinit_anchors 매개변수는 CA 인증서 번들 파일의 위치를 설정합니다.
```
[realms]
  EXAMPLE.COM = {
    kdc = kdc.example.com.:88
    admin_server = kdc.example.com
    default_domain = example.com
    ...
    pkinit_anchors = FILE:/usr/local/example.com.crt
 }
```
스마트 카드 인증(/etc/pam.d/smartcard-auth) 및 시스템 인증(/etc/pam.d/system-auth)에 대한 PKI 모듈 정보를 PAM 구성에 추가합니다. 두 파일에 모두 추가할 행은 다음과 같습니다.
```
auth    optional    pam_krb5.so use_first_pass no_subsequent_prompt preauth_options=X509_user_identity=PKCS11:/usr/lib64/pkcs11/opensc-pkcs11.so
```
OpenSC 모듈이 예상대로 작동하지 않는 경우, coldkey 패키지의 모듈을 사용합니다: /usr/lib64/pkcs11/lib coolkey pk11.so. 이 경우 Red Hat 기술 지원에 문의하거나 문제에 대한 Bugzilla 보고서를 작성하는 것이 좋습니다.