IdM에서 인증서 관리

절차

1. Identity (ID) 탭에서 Users,Hosts (호스트) 또는 Services (서비스) 하위 탭을 선택합니다.

2. 사용자, 호스트 또는 서비스의 이름을 클릭하여 구성 페이지를 엽니다.

   그림 2.1. 호스트 목록

   

   View larger image

   
3. Actions → New Certificate 을 클릭합니다.
4. 선택 사항: 발행 CA 및 프로필 ID를 선택합니다.
5. 화면에서 certutil 명령줄(CLI) 유틸리티 사용 지침을 따릅니다.
6. Issue 를 클릭합니다.

절차

1. 인증서 데이터베이스의 임시 디렉터리를 생성합니다.

   # mkdir ~/certdb/

   Copy to Clipboard Toggle word wrap

2. 임시 인증서 데이터베이스를 새로 생성합니다. 예를 들면 다음과 같습니다.

   # certutil -N -d ~/certdb/

   Copy to Clipboard Toggle word wrap

3. CSR을 생성하고 출력을 파일로 리디렉션합니다. 예를 들어 4096비트 인증서에 대한 CSR을 생성하고 제목을 CN=server.example.com,O=EXAMPLE.COM:

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

   Copy to Clipboard Toggle word wrap

4. IdM 서버에서 실행 중인 CA에 인증서 요청 파일을 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   Copy to Clipboard Toggle word wrap

   IdM의 ipa cert-request 명령은 다음 기본값을 사용합니다.

   • caIPAserviceCert 인증서 프로필

     사용자 정의 프로필을 선택하려면 --profile-id 옵션을 사용합니다.

   • 통합 IdM 루트 CA, ipa

     하위 서비스를 선택하려면 --ca 옵션을 사용합니다.

절차

1. Kerberos 주체 test/server.example.com 에 대한 별칭을 하나 이상 생성합니다. 예를 들어 test1/server.example.com 및 test2/server.example.com.

2. CSR에서 dnsName(server.example.com) 및 otherName(test2/server.example.com)의 subjectAltName을 추가합니다. 이렇게 하려면 UPN otherName 및 subjectAltName을 지정하는 다음 행을 포함하도록 openssl.conf 파일을 구성합니다.

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

   Copy to Clipboard Toggle word wrap

3. openssl 을 사용하여 인증서 요청 생성 :

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

   Copy to Clipboard Toggle word wrap

4. IdM 서버에서 실행 중인 CA에 인증서 요청 파일을 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   Copy to Clipboard Toggle word wrap

   IdM의 ipa cert-request 명령은 다음 기본값을 사용합니다.

   • caIPAserviceCert 인증서 프로필

     사용자 정의 프로필을 선택하려면 --profile-id 옵션을 사용합니다.

   • 통합 IdM 루트 CA, ipa

     하위 서비스를 선택하려면 --ca 옵션을 사용합니다.

절차

1. Identity 탭을 열고 사용자,호스트 또는 서비스 하위 탭을 선택합니다.
2. 사용자, 호스트 또는 서비스의 이름을 클릭하여 구성 페이지를 엽니다.

3. Certificates (인증서) 항목 옆에 있는 Add (추가)를 클릭합니다.

   그림 3.1. 사용자 계정에 인증서 추가

   

   View larger image

   
4. Base64 또는 PEM으로 인코딩된 형식으로 인증서를 붙여넣고 텍스트 필드에 인증서를 붙여넣고 추가를 클릭합니다.
5. 저장을 클릭하여 변경 사항을 저장합니다.

절차

1. Identity 탭을 열고 사용자,호스트 또는 서비스 하위 탭을 선택합니다.
2. 사용자, 호스트 또는 서비스의 이름을 클릭하여 구성 페이지를 엽니다.
3. 삭제할 인증서 옆에 있는 작업을 클릭하고 삭제를 선택합니다.
4. 저장을 클릭하여 변경 사항을 저장합니다.

절차

1. 기존 기본 프로필을 복사하여 사용자 정의 프로필을 생성합니다.

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert
   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

   Copy to Clipboard Toggle word wrap

2. 텍스트 편집기에서 새로 생성된 프로필 구성 파일을 엽니다.

   $ vi  smime.cfg

   Copy to Clipboard Toggle word wrap

3. 프로필 ID 를 프로필 사용량을 반영하는 이름으로 변경합니다(예: smime ).

   참고

   새로 생성된 프로필을 가져오는 경우, profileId 필드는 명령줄에 지정된 ID와 일치해야 합니다.

4. 확장 키 사용량 구성을 업데이트합니다. 기본 확장 키 사용량 확장 프로그램은 TLS 서버 및 클라이언트 인증을 위한 것입니다. 예를 들어 S/octets의 경우 이메일 보호를 위해 확장 키 사용을 구성해야 합니다.

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

   Copy to Clipboard Toggle word wrap

5. 새 프로필을 가져옵니다.

   $ ipa certprofile-import smime --file smime.cfg \
     --desc "S/MIME certificates" --store TRUE
   
   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

   Copy to Clipboard Toggle word wrap

절차

1. 인증서 프로필의 사용자에 대한 새 그룹을 생성합니다.

   $ ipa group-add smime_users_group
   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

   Copy to Clipboard Toggle word wrap

2. smime_user_group 그룹에 추가할 새 사용자를 만듭니다.

   $ ipa user-add smime_user
   First name: smime
   Last name: user
   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

   Copy to Clipboard Toggle word wrap

3. smime_user 를 smime_users_group 그룹에 추가합니다.

   $ ipa group-add-member smime_users_group --users=smime_user
     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

4. 그룹의 사용자가 인증서 프로필에 액세스할 수 있도록 CA ACL을 생성합니다.

   $ ipa caacl-add smime_acl
   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

   Copy to Clipboard Toggle word wrap

5. 사용자 그룹을 CA ACL에 추가합니다.

   $ ipa caacl-add-user smime_acl --group smime_users_group
     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

6. CA ACL에 인증서 프로필을 추가합니다.

   $ ipa caacl-add-profile smime_acl --certprofile smime
     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

절차

1. 사용자에 대한 인증서 요청을 생성합니다. 예를 들어 OpenSSL을 사용합니다.

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

   Copy to Clipboard Toggle word wrap

2. IdM CA에서 사용자에 대한 새 인증서를 요청합니다.

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   Copy to Clipboard Toggle word wrap

   선택 사항: --ca sub-CA_name 옵션을 명령에 전달하여 루트 CA 대신 하위 CA에서 인증서를 요청합니다.

절차

1. 수정하려는 인증서 프로필의 인증서 프로필 ID를 확인합니다. 현재 IdM에 저장된 모든 인증서 프로필을 표시하려면 다음을 수행하십시오.

   # ipa certprofile-find
   
   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

   Copy to Clipboard Toggle word wrap

2. 인증서 프로필 설명을 수정합니다. 예를 들어 기존 프로필을 사용하여 S/hiera 인증서에 대한 사용자 정의 인증서 프로필을 생성한 경우 새 사용법에 따라 설명을 변경합니다.

   # ipa certprofile-mod smime --desc "New certificate profile description"
   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

   Copy to Clipboard Toggle word wrap

3. 텍스트 편집기에서 고객 인증서 프로필 파일을 열고 요구 사항에 맞게 수정합니다.

   # vi smime.cfg

   Copy to Clipboard Toggle word wrap

   인증서 프로필 구성 파일에서 구성할 수 있는 옵션에 대한 자세한 내용은 인증서 프로필 구성 매개 변수를 참조하십시오.

4. 기존 인증서 프로필 구성 파일을 업데이트합니다.

   # ipa certprofile-mod _profile_ID_ --file=smime.cfg

   Copy to Clipboard Toggle word wrap

절차

1. 인증 메뉴에서 인증서 > 인증서를 클릭합니다.

2. 인증서의 일련 번호를 클릭하여 인증서 정보 페이지를 엽니다.

   그림 6.1. 인증서 목록

   

   View larger image

   
3. 인증서 정보 페이지에서 Expires On 정보를 찾습니다.

절차

1. 구성을 수행할 디렉터리를 생성합니다.

   [root@server]# mkdir ~/SmartCard/

   Copy to Clipboard Toggle word wrap

2. 디렉터리로 이동합니다.

   [root@server]# cd ~/SmartCard/

   Copy to Clipboard Toggle word wrap

3. PEM 형식의 파일에 저장된 관련 CA 인증서를 가져옵니다. CA 인증서가 DER와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다. IdM 인증 기관 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

   DER 파일을 PEM 파일로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

4. 편의를 위해 구성을 수행하려는 디렉터리에 인증서를 복사합니다.

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

   Copy to Clipboard Toggle word wrap

5. 선택 사항: 외부 인증 기관의 인증서를 사용하는 경우 openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 발급 자 및 주체 값이 올바른지 확인합니다.

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

   Copy to Clipboard Toggle word wrap

6. 관리자 권한으로 내장 ipa-advise 유틸리티를 사용하여 구성 스크립트를 생성합니다.

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-server-for-smart-card-auth.sh 스크립트는 다음 작업을 수행합니다.

   • IdM Apache HTTP 서버를 구성합니다.
   • KDC (Key Distribution Center)에서 Kerberos (PKINIT)에서 초기 인증의 공개 키 암호화를 활성화합니다.
   • 스마트 카드 권한 부여 요청을 수락하도록 IdM 웹 UI를 구성합니다.

7. 스크립트를 실행하고 루트 CA 및 하위 CA 인증서가 포함된 PEM 파일을 인수로 추가합니다.

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   참고

   하위 CA 인증서보다 먼저 루트 CA의 인증서를 인수로 추가하고 CA 또는 하위 CA 인증서가 만료되지 않았는지 확인합니다.

8. 선택 사항: 사용자 인증서를 발급한 인증 기관이 OCSP(Online Certificate Status Protocol) 응답자를 제공하지 않는 경우 IdM 웹 UI에 대한 인증을 위해 OCSP 검사를 비활성화해야 할 수 있습니다.

   1. /etc/httpd/conf.d/ssl.conf 파일에서 SSLOCSPEnable 매개변수를 off 로 설정합니다.

      SSLOCSPEnable off

      Copy to Clipboard Toggle word wrap

   2. 변경 사항을 즉시 적용하려면 Apache 데몬(httpd)을 다시 시작합니다.

      [root@server SmartCard]# systemctl restart httpd

      Copy to Clipboard Toggle word wrap
   주의

   IdM CA에서 발급한 사용자 인증서만 사용하는 경우 OCSP 검사를 비활성화하지 마십시오. OCSP 응답자는 IdM의 일부입니다.

   OCSP 검사를 계속 활성화하는 방법에 대한 지침은 Apache mod_ssl 구성 옵션에서 SSLOCSPDefaultResponder 지시문을 참조하십시오.

절차

1. CA 인증서가 DER 와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM 인증 기관 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

2. 선택 사항: openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 발급 자 및 주체 값이 올바른지 확인합니다.

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. ~/MyPlaybook/ 디렉토리로 이동합니다.

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. CA 인증서 전용 하위 디렉터리를 생성합니다.

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 편의를 위해 필요한 모든 인증서를 ~/MyPlaybook/SmartCard/ 디렉터리에 복사합니다.

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. Ansible 인벤토리 파일에서 다음을 지정합니다.

   • 스마트 카드 인증을 위해 구성할 IdM 서버입니다.
   • IdM 관리자 암호입니다.

   • 다음 순서로 CA 인증서의 경로입니다.

     • 루트 CA 인증서 파일
     • 중간 CA 인증서 파일
     • IdM CA 인증서 파일

   파일은 다음과 같습니다.

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 다음 콘텐츠를 사용하여 install-smartcard-server.yml 플레이북을 생성합니다.

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

   Copy to Clipboard Toggle word wrap
8. 파일을 저장합니다.

9. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_server Ansible 역할은 다음 작업을 수행합니다.

   • IdM Apache HTTP 서버를 구성합니다.
   • KDC (Key Distribution Center)에서 Kerberos (PKINIT)에서 초기 인증의 공개 키 암호화를 활성화합니다.
   • 스마트 카드 권한 부여 요청을 수락하도록 IdM 웹 UI를 구성합니다.

10. 선택 사항: 사용자 인증서를 발급한 인증 기관이 OCSP(Online Certificate Status Protocol) 응답자를 제공하지 않는 경우 IdM 웹 UI에 대한 인증을 위해 OCSP 검사를 비활성화해야 할 수 있습니다.

    1. root 로 IdM 서버에 연결합니다.

       ssh root@ipaserver.idm.example.com

       Copy to Clipboard Toggle word wrap

    2. /etc/httpd/conf.d/ssl.conf 파일에서 SSLOCSPEnable 매개변수를 off 로 설정합니다.

       SSLOCSPEnable off

       Copy to Clipboard Toggle word wrap

    3. 변경 사항을 즉시 적용하려면 Apache 데몬(httpd)을 다시 시작합니다.

       # systemctl restart httpd

       Copy to Clipboard Toggle word wrap
    주의

    IdM CA에서 발급한 사용자 인증서만 사용하는 경우 OCSP 검사를 비활성화하지 마십시오. OCSP 응답자는 IdM의 일부입니다.

    OCSP 검사를 계속 활성화하는 방법에 대한 지침은 Apache mod_ssl 구성 옵션에서 SSLOCSPDefaultResponder 지시문을 참조하십시오.

절차

1. IdM 서버에서 관리자 권한을 사용하여 ipa-advise 를 사용하여 구성 스크립트를 생성합니다.

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-client-for-smart-card-auth.sh 스크립트는 다음 작업을 수행합니다.

   • 스마트 카드 데몬을 구성합니다.
   • 시스템 전체 신뢰 저장소를 설정합니다.
   • 사용자가 사용자 이름과 암호 또는 스마트 카드로 인증할 수 있도록 SSSD(System Security Services Daemon)를 구성합니다. 스마트 카드 인증에 대한 SSSD 프로필 옵션에 대한 자세한 내용은 RHEL의 스마트 카드 인증 옵션을 참조하십시오.

2. IdM 서버에서 IdM 클라이언트 시스템에서 선택한 디렉터리에 스크립트를 복사합니다.

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

   Copy to Clipboard Toggle word wrap

3. IdM 서버에서 이전 단계에서 사용된 IdM 클라이언트 시스템의 동일한 디렉터리에 편의를 위해 PEM 형식의 CA 인증서 파일을 복사합니다.

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

   Copy to Clipboard Toggle word wrap

4. 클라이언트 시스템에서 스크립트를 실행하고 CA 인증서가 포함된 PEM 파일을 인수로 추가합니다.

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   참고

   하위 CA 인증서보다 먼저 루트 CA의 인증서를 인수로 추가하고 CA 또는 하위 CA 인증서가 만료되지 않았는지 확인합니다.

절차

1. CA 인증서가 DER 와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM CA 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

2. 선택 사항: openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 발급 자 및 주체 값이 올바른지 확인합니다.

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. Ansible 제어 노드에서 ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. CA 인증서 전용 하위 디렉터리를 생성합니다.

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 편의를 위해 필요한 모든 인증서를 ~/MyPlaybook/SmartCard/ 디렉터리에 복사합니다. 예를 들면 다음과 같습니다.

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. Ansible 인벤토리 파일에서 다음을 지정합니다.

   • 스마트 카드 인증을 위해 구성할 IdM 클라이언트입니다.
   • IdM 관리자 암호입니다.

   • 다음 순서로 CA 인증서의 경로입니다.

     • 루트 CA 인증서 파일
     • 중간 CA 인증서 파일
     • IdM CA 인증서 파일

   파일은 다음과 같습니다.

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 다음 콘텐츠를 사용하여 install-smartcard-clients.yml 플레이북을 생성합니다.

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

   Copy to Clipboard Toggle word wrap
8. 파일을 저장합니다.

9. Ansible 플레이북을 실행합니다. Playbook 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_client Ansible 역할은 다음 작업을 수행합니다.

   • 스마트 카드 데몬을 구성합니다.
   • 시스템 전체 신뢰 저장소를 설정합니다.
   • 사용자가 사용자 이름 및 암호 또는 스마트 카드로 인증할 수 있도록 SSSD(System Security Services Daemon)를 구성합니다. 스마트 카드 인증에 대한 SSSD 프로필 옵션에 대한 자세한 내용은 RHEL의 스마트 카드 인증 옵션을 참조하십시오.

절차

1. 다른 사용자에게 인증서를 추가하려면 IdM 웹 UI에 관리자로 로그인합니다. 자체 프로필에 인증서를 추가하려면 관리자의 자격 증명이 필요하지 않습니다.
2. 사용자 → 활성 사용자 → sc_user 로 이동합니다.
3. 인증서 옵션을 찾아 추가 를 클릭합니다.

4. 명령줄에서 cat 유틸리티 또는 텍스트 편집기를 사용하여 PEM 형식으로 인증서를 표시합니다.

   [user@client SmartCard]$ cat testuser.crt

   Copy to Clipboard Toggle word wrap
5. CLI에서 인증서를 복사하여 웹 UI에서 연 창에 붙여넣습니다.
6. 추가를 클릭합니다.

절차

1. 다른 사용자에게 인증서를 추가하려면 IdM CLI에 관리자로 로그인합니다.

   [user@client SmartCard]$ kinit admin

   Copy to Clipboard Toggle word wrap

   자체 프로필에 인증서를 추가하려면 관리자의 자격 증명이 필요하지 않습니다.

   [user@client SmartCard]$ kinit <smartcard_user>

   Copy to Clipboard Toggle word wrap

2. header 및 footer가 제거된 인증서가 포함된 환경 변수를 생성하고 단일 행에 연결합니다. ipa user-add-cert 명령에서 예상되는 형식입니다.

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   Copy to Clipboard Toggle word wrap

   testuser.crt 파일의 인증서는 PEM 형식이어야 합니다.

3. ipa user-add-cert 명령을 사용하여 < smartcard_user >의 프로필에 인증서를 추가합니다.

   [user@client SmartCard]$ ipa user-add-cert <smartcard_user> --certificate=$CERT

   Copy to Clipboard Toggle word wrap

절차

1. opensc 및 gnutls-utils 패키지를 설치합니다.

   # yum -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. pcscd 서비스를 시작합니다.

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

절차

1. 스마트 카드를 지우고 PIN으로 인증합니다.

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   카드가 삭제되었습니다.

2. 스마트 카드를 초기화하고, 사용자 PIN 및 PUK, 보안 지사 및 PUK를 설정합니다.

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   PCks15-init 툴은 스마트 카드에 새 슬롯을 생성합니다.

3. 슬롯의 라벨 및 인증 ID를 설정합니다.

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   레이블은 사람이 읽을 수 있는 값(이 경우 testuser )으로 설정됩니다. auth-id 는 두 개의 16진수 값이어야 합니다. 이 경우 01 로 설정됩니다.

4. 개인 키를 스마트 카드의 새 슬롯에 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   참고

   개인 키를 저장하고 다음 단계에 인증서를 저장할 때 --id 에 지정하는 값은 동일해야 합니다. 도구에서 더 복잡한 값을 계산하므로 --id 에 고유한 값을 지정하는 것이 좋습니다.

5. 스마트 카드의 새 슬롯에 인증서를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 선택 사항: 스마트 카드의 새 슬롯에 공개 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   참고

   공개 키가 개인 키 또는 인증서에 해당하는 경우 개인 키 또는 인증서의 ID와 동일한 ID를 지정합니다.

7. 선택 사항: 특정 스마트 카드에서는 설정을 잠그는 방식으로 카드를 완료해야합니다.

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   이 단계에서 스마트 카드에 새로 생성된 슬롯에 인증서, 개인 키 및 공개 키가 포함되어 있습니다. 또한 사용자 PIN 및 PUK 및 Security Officer PIN 및 PUK를 생성했습니다.

절차

1. 브라우저에서 IdM 웹 UI를 엽니다.
2. 인증서를 사용하여 로그인을 클릭합니다.

3. 암호 필요 대화 상자가 열리면 스마트 카드의 잠금을 해제하고 확인 버튼을 클릭합니다.

   사용자 ID 요청 대화 상자가 열립니다.

   스마트 카드에 두 개 이상의 인증서가 포함된 경우 드롭다운 목록에서 인증에 사용할 인증서를 선택하여 ID로 표시할 인증서 선택.

4. OK 버튼을 클릭합니다.

절차

1. 리더에 스마트 카드를 삽입합니다.
2. 스마트 카드 Pin을 입력합니다.
3. Sign In 을 클릭합니다.

절차

1. IdM 서버에서 연결하고 adcs-winserver-ca.cer 루트 인증서를 IdM 서버에 복사합니다.

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <Path to certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <Path to certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <Path to certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

   Copy to Clipboard Toggle word wrap

2. IdM 클라이언트에서 연결하고 aduser1.pfx 사용자 인증서를 클라이언트에 복사합니다.

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<Path to certificates>
   sftp> get aduser1.pfx
   Fetching <Path to certificates>/aduser1.pfx to aduser1.pfx
   <Path to certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

   Copy to Clipboard Toggle word wrap

절차

1. IdM 서버에서 ipa-advise 스크립트를 사용하여 클라이언트를 구성합니다.

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

   Copy to Clipboard Toggle word wrap

2. IdM 서버에서 ipa-advise 스크립트를 사용하여 서버를 구성합니다.

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

   Copy to Clipboard Toggle word wrap

3. IdM 서버에서 스크립트를 실행합니다.

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   Copy to Clipboard Toggle word wrap
   • IdM Apache HTTP 서버를 구성합니다.
   • KDC (Key Distribution Center)에서 Kerberos (PKINIT)에서 초기 인증의 공개 키 암호화를 활성화합니다.
   • 스마트 카드 권한 부여 요청을 수락하도록 IdM 웹 UI를 구성합니다.

4. sc_client.sh 스크립트를 클라이언트 시스템에 복사합니다.

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

   Copy to Clipboard Toggle word wrap

5. Windows 인증서를 클라이언트 시스템에 복사합니다.

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

   Copy to Clipboard Toggle word wrap

6. 클라이언트 시스템에서 클라이언트 스크립트를 실행합니다.

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

   Copy to Clipboard Toggle word wrap

절차

1. IdM 클라이언트에서 파일을 PEM 형식으로 변환합니다.

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

   Copy to Clipboard Toggle word wrap

2. 키를 별도의 파일에 추출합니다.

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

   Copy to Clipboard Toggle word wrap

3. 공용 인증서를 별도의 파일에 추출합니다.

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

   Copy to Clipboard Toggle word wrap

절차

1. opensc 및 gnutls-utils 패키지를 설치합니다.

   # yum -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. pcscd 서비스를 시작합니다.

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

절차

1. 스마트 카드를 지우고 PIN으로 인증합니다.

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   카드가 삭제되었습니다.

2. 스마트 카드를 초기화하고, 사용자 PIN 및 PUK, 보안 지사 및 PUK를 설정합니다.

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   PCks15-init 툴은 스마트 카드에 새 슬롯을 생성합니다.

3. 슬롯의 라벨 및 인증 ID를 설정합니다.

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   레이블은 사람이 읽을 수 있는 값(이 경우 testuser )으로 설정됩니다. auth-id 는 두 개의 16진수 값이어야 합니다. 이 경우 01 로 설정됩니다.

4. 개인 키를 스마트 카드의 새 슬롯에 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   참고

   개인 키를 저장하고 다음 단계에 인증서를 저장할 때 --id 에 지정하는 값은 동일해야 합니다. 도구에서 더 복잡한 값을 계산하므로 --id 에 고유한 값을 지정하는 것이 좋습니다.

5. 스마트 카드의 새 슬롯에 인증서를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 선택 사항: 스마트 카드의 새 슬롯에 공개 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   참고

   공개 키가 개인 키 또는 인증서에 해당하는 경우 개인 키 또는 인증서의 ID와 동일한 ID를 지정합니다.

7. 선택 사항: 특정 스마트 카드에서는 설정을 잠그는 방식으로 카드를 완료해야합니다.

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   이 단계에서 스마트 카드에 새로 생성된 슬롯에 인증서, 개인 키 및 공개 키가 포함되어 있습니다. 또한 사용자 PIN 및 PUK 및 Security Officer PIN 및 PUK를 생성했습니다.

절차

1. sssd.conf 파일을 엽니다.

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

2. p11_hiera_timeout 값을 변경합니다.

   [pam]
   p11_child_timeout = 60

   Copy to Clipboard Toggle word wrap

3. RHEA 5_auth_timeout:의 값을 변경합니다.

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

   Copy to Clipboard Toggle word wrap
4. 설정을 저장합니다.

1. 관리자는 인증서 매핑 데이터 또는 전체 인증서를 사용자 계정으로 로드해야 합니다.
2. 관리자는 인증서의 정보와 일치하는 인증서 매핑 데이터 항목이 포함된 사용자에 대해 IdM에 성공적으로 로그인할 수 있도록 인증서 매핑 규칙을 생성해야 합니다.

절차

1. 필요한 데이터를 검색할 수 있도록 인증서가 올바르게 인코딩되었는지 확인하는 변수를 만듭니다.

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

   Copy to Clipboard Toggle word wrap

2. sssctl cert-eval-rule 을 사용하여 일치하는 데이터를 확인합니다. 다음 예제에서는 인증서 일련 번호가 사용됩니다.

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   Copy to Clipboard Toggle word wrap

   이 경우 altSecurityIdentities= 후 모든 항목을 AD의 altSecurityIdentities 속성에 추가합니다. SKI 매핑을 사용하는 경우 --map='LDAPU1:(altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})' 를 사용합니다.

3. 선택 사항: 인증서 발행자가 ad.example.com 도메인의 adcs19- Cryostat1-CA 와 일치해야 하고 인증서의 일련 번호가 사용자 계정의 altSecurityIdentities 항목과 일치하도록 지정하는 일치 규칙에 따라 CLI에 새 매핑 규칙을 만들려면 다음을 수행합니다.

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

   Copy to Clipboard Toggle word wrap