122.4. 스마트 카드로 인증된 사용자가 다시 인증하지 않고 sudo를 실행할 수 있도록 웹 콘솔 구성
RHEL 웹 콘솔의 사용자 계정에 로그인한 후 IdM(Identity Management) 시스템 관리자로 슈퍼 유저 권한으로 명령을 실행해야 할 수 있습니다. 제한된 위임 기능을 사용하여 다시 인증하지 않고도 시스템에서 sudo 를 실행할 수 있습니다.
제한된 위임을 사용하도록 웹 콘솔을 구성하려면 다음 절차를 따르십시오. 아래 예에서 웹 콘솔 세션은 myhost.idm.example.com 호스트에서 실행됩니다.
사전 요구 사항
-
IdM
관리자티켓(TGT)이 있습니다. - 웹 콘솔 서비스가 IdM에 있습니다.
- myhost.idm.example.com 호스트는 IdM에 있습니다.
-
IdM 서버에서 도메인 관리자에게
adminsudo액세스를 활성화했습니다. 웹 콘솔에서 사용자 세션에
S4U2ProxyKerberos 티켓을 생성했습니다. 이 경우 웹 콘솔에 IdM 사용자로 로그인하여터미널페이지를 열고 다음을 입력합니다.$ klist Ticket cache: FILE:/run/user/1894000001/cockpit-session-3692.ccache Default principal: user@IDM.EXAMPLE.COM Valid starting Expires Service principal 07/30/21 09:19:06 07/31/21 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM 07/30/21 09:19:06 07/31/21 09:19:06 krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM for client HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
절차
위임 규칙으로 액세스할 수 있는 대상 호스트 목록을 생성합니다.
서비스 위임 대상을 생성합니다.
$ ipa servicedelegationtarget-add cockpit-target위임 대상에 대상 호스트를 추가합니다.
$ ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/myhost.idm.example.com@IDM.EXAMPLE.COM
서비스 위임 규칙을 생성하고
HTTP서비스 Kerberos 주체를 추가하여cockpit세션이 대상 호스트 목록에 액세스하도록 허용합니다.서비스 위임 규칙을 생성합니다.
$ ipa servicedelegationrule-add cockpit-delegation위임 규칙에 웹 콘솔 서비스를 추가합니다.
$ ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM위임 규칙에 위임 대상을 추가합니다.
$ ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target
SSSD(System Security Services Daemon)와 협력하여 GSSAPI(Generic Security Service Application Program Interface)를 통해 사용자를 인증하기 위해 PAM 모듈인 DestinationRule
_sss_gss를 활성화합니다.-
편집할
/etc/sssd/sssd.conf파일을 엽니다. domain을 IdM의
sudo및sudo -i명령에 대한 인증을 제공할 수 있도록 Restic_sss_gs를 지정합니다.[domain/idm.example.com] pam_gssapi_services = sudo, sudo-i- 파일을 저장하고 종료합니다.
-
편집할
/etc/pam.d/sudo파일을 엽니다. #%PAM-1.0목록의 맨 위에 다음 행을 삽입하여sudo명령에 대해 GSSAPI 인증이 허용되지만 필요하지는 않습니다.auth sufficient pam_sss_gss.so- 파일을 저장하고 종료합니다.
-
편집할
SSSD서비스를 다시 시작하여 위의 변경 사항이 즉시 적용됩니다.$ systemctl restart sssd
추가 리소스
