68.4. IdM에 저장된 사용자에 대한 인증서 매핑 구성
인증서 인증이 구성된 사용자가 IdM에 저장된 경우 IdM에서 인증서 매핑을 활성화하려면 시스템 관리자가 다음 작업을 완료해야 합니다.
- 매핑 규칙에 지정된 조건과 일치하는 인증서가 있는 IdM 사용자가 인증서 매핑 규칙을 설정하고 인증서 매핑 데이터 항목에서 IdM을 인증할 수 있도록 인증서 매핑 규칙을 설정합니다.
- 인증서 매핑 데이터 항목에 지정된 값이 모두 포함된 경우 사용자가 여러 인증서를 사용하여 인증할 수 있도록 IdM 사용자 항목에 인증서 매핑 데이터를 입력합니다.
사전 요구 사항
- 사용자 계정은 IdM에 있습니다.
- 관리자에게는 사용자 항목에 추가할 전체 인증서 또는 인증서 매핑 데이터가 있습니다.
68.4.1. IdM 웹 UI에서 인증서 매핑 규칙 추가
- IdM 웹 UI에 관리자로 로그인합니다.
-
인증
인증서 ID 매핑 규칙
인증서 ID 매핑 규칙으로 이동합니다.
추가
를 클릭합니다.그림 68.1. IdM 웹 UI에서 새 인증서 매핑 규칙 추가
- 규칙 이름을 입력합니다.
매핑 규칙을 입력합니다. 예를 들어 IdM이 제공된 인증서의
발급자
및주체
항목을 검색하고, 제공된 인증서의 이러한 두 항목에 있는 정보에 대해 인증 여부를 결정한 경우 다음을 수행합니다.(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})
일치하는 규칙을 입력합니다. 예를 들어
EXAMPLE.ORG 조직의
스마트 카드 CA
에서 발급한 인증서만 IdM에 대한 인증을 허용하려면 다음을 수행합니다.<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG
그림 68.2. IdM 웹 UI에서 인증서 매핑 규칙 세부 정보 입력
-
대화 상자의 맨 아래에서
Add
(추가)를 클릭하여 규칙을 추가하고 상자를 닫습니다. SSSD(시스템 보안 서비스 데몬)는 정기적으로 인증서 매핑 규칙을 다시 읽습니다. 새로 생성된 규칙을 즉시 로드하도록 하려면 SSSD를 다시 시작합니다.
# systemctl restart sssd
이제 스마트 카드 인증서에서 찾은 스마트 카드 인증서와 IdM 사용자 항목의 인증서 매핑 데이터와 매핑 규칙에 지정된 데이터 유형을 비교하는 인증서 매핑 규칙 세트가 있습니다. 일치 항목을 찾으면 일치하는 사용자를 인증합니다.
68.4.2. IdM CLI에서 인증서 매핑 규칙 추가
관리자의 자격 증명을 가져옵니다.
# kinit admin
매핑 규칙과 매핑 규칙이 기반으로 하는 일치 규칙을 입력합니다. 예를 들어 제공된 인증서에서
발급자
및주체
항목을 검색하고EXAMPLE.ORG 조직의
스마트 카드 CA
에서 발급한 인증서만 인식하여 제공된 인증서의 이 두 항목에 있는 정보를 인증 또는 사용하지 않도록 결정하려면 다음을 수행합니다.# ipa certmaprule-add
rule_name
--matchrule '<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG' --maprule '(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})' ------------------------------------------------------- Added Certificate Identity Mapping Rule "rule_name" ------------------------------------------------------- Rule name: rule_name Mapping rule: (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500}) Matching rule: <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG Enabled: TRUESSSD(시스템 보안 서비스 데몬)는 정기적으로 인증서 매핑 규칙을 다시 읽습니다. 새로 생성된 규칙을 즉시 로드하도록 하려면 SSSD를 다시 시작합니다.
# systemctl restart sssd
이제 스마트 카드 인증서에서 찾은 스마트 카드 인증서와 IdM 사용자 항목의 인증서 매핑 데이터와 매핑 규칙에 지정된 데이터 유형을 비교하는 인증서 매핑 규칙 세트가 있습니다. 일치 항목을 찾으면 일치하는 사용자를 인증합니다.
68.4.3. IdM 웹 UI의 사용자 항목에 인증서 매핑 데이터 추가
- IdM 웹 UI에 관리자로 로그인합니다.
-
사용자
활성 사용자
idm_user
로 이동합니다. -
인증서 매핑 데이터
옵션을 찾은 후Add(추가
)를 클릭합니다. 다음 옵션 중 하나를 선택합니다.
idm_user
인증서가 있는 경우 :명령줄 인터페이스에서
cat
유틸리티 또는 텍스트 편집기를 사용하여 인증서를 표시합니다.[root@server ~]# cat idm_user_certificate.pem -----BEGIN CERTIFICATE----- MIIFFTCCA/2gAwIBAgIBEjANBgkqhkiG9w0BAQsFADA6MRgwFgYDVQQKDA9JRE0u RVhBTVBMRS5DT00xHjAcBgNVBAMMFUNlcnRpZmljYXRlIEF1dGhvcml0eTAeFw0x ODA5MDIxODE1MzlaFw0yMDA5MDIxODE1MzlaMCwxGDAWBgNVBAoMD0lETS5FWEFN [...output truncated...]
- 인증서를 복사합니다.
IdM 웹 UI에서
인증서
옆에 있는Add(추가
)를 클릭하고 인증서를 열리는 창에 붙여넣습니다.그림 68.3. 사용자의 인증서 매핑 데이터 추가: certificate
-
IDm
_user
의 인증서가 있지만발행자
및 인증서주체
를 알고 있는 경우 발급자및
제목의 라디오 버튼을 확인하고 해당 두 박스에 있는 값을 입력합니다.
그림 68.4. 사용자의 인증서 매핑 데이터 추가: 발급자 및 제목
-
IDm
-
추가
를 클릭합니다.
검증 단계
.pem
형식의 전체 인증서에 액세스할 수 있는 경우 사용자 및 인증서가 연결되어 있는지 확인합니다.
sss_cache
유틸리티를 사용하여 SSSD 캐시의idm_user
레코드를 무효화하고idm_user
정보를 강제로 다시 로드합니다.# sss_cache -u idm_user
IdM 사용자의 인증서가 포함된 파일 이름으로
ipa certmap-match
명령을 실행합니다.# ipa certmap-match idm_user_cert.pem -------------- 1 user matched -------------- Domain: IDM.EXAMPLE.COM User logins: idm_user ---------------------------- Number of entries returned 1 ----------------------------
출력에서 인증서 매핑 데이터가
idm_user
에 추가되고 해당 매핑 규칙이 있음을 확인합니다. 즉, 정의된 인증서 매핑 데이터와 일치하는 인증서를 사용하여idm_user
로 인증할 수 있습니다.
68.4.4. IdM CLI의 사용자 항목에 인증서 매핑 데이터 추가
관리자의 자격 증명을 가져옵니다.
# kinit admin
다음 옵션 중 하나를 선택합니다.
-
idm_user
인증서가 있는 경우ipa user-add-cert
명령을 사용하여 사용자 계정에 인증서를 추가합니다.
# CERT=$(openssl x509 -in idm_user_cert.pem -outform der|base64 -w0) # ipa user-add-certmapdata idm_user --certificate $CERT
idm_user
인증서가 없지만발급
자 및 사용자 인증서주체
를 알고 있는 경우:# ipa user-add-certmapdata idm_user --subject "O=EXAMPLE.ORG,CN=test" --issuer "CN=Smart Card CA,O=EXAMPLE.ORG" -------------------------------------------- Added certificate mappings to user "idm_user" -------------------------------------------- User login: idm_user Certificate mapping data: X509:<I>O=EXAMPLE.ORG,CN=Smart Card CA<S>CN=test,O=EXAMPLE.ORG
-
검증 단계
.pem
형식의 전체 인증서에 액세스할 수 있는 경우 사용자 및 인증서가 연결되어 있는지 확인합니다.
sss_cache
유틸리티를 사용하여 SSSD 캐시의idm_user
레코드를 무효화하고idm_user
정보를 강제로 다시 로드합니다.# sss_cache -u idm_user
IdM 사용자의 인증서가 포함된 파일 이름으로
ipa certmap-match
명령을 실행합니다.# ipa certmap-match idm_user_cert.pem -------------- 1 user matched -------------- Domain: IDM.EXAMPLE.COM User logins: idm_user ---------------------------- Number of entries returned 1 ----------------------------
출력에서 인증서 매핑 데이터가
idm_user
에 추가되고 해당 매핑 규칙이 있음을 확인합니다. 즉, 정의된 인증서 매핑 데이터와 일치하는 인증서를 사용하여idm_user
로 인증할 수 있습니다.