9.8. GSSAPI 인증 활성화 및 IdM 클라이언트에서 sudo에 대한 Kerberos 인증 표시기 적용

절차

1. /etc/sssd/sssd.conf 구성 파일을 엽니다.

2. [domain/ <idm_domain_name> ] 섹션에 다음 항목을 추가합니다.

   [domain/<idm_domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

   Copy to Clipboard Toggle word wrap
3. /etc/sssd/sssd.conf 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@idmclient ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

5. RHEL 8.8 이상에서 다음을 수행합니다.

   1. sssd authselect 프로필을 선택했는지 확인합니다.

      # authselect current
      Profile ID: sssd

      Copy to Clipboard Toggle word wrap

   2. 선택 사항: sssd authselect 프로필을 선택합니다.

      # authselect select sssd

      Copy to Clipboard Toggle word wrap

   3. GSSAPI 인증을 활성화합니다.

      # authselect enable-feature with-gssapi

      Copy to Clipboard Toggle word wrap

   4. 스마트 카드로 사용자만 인증하도록 시스템을 구성합니다.

      # authselect with-smartcard-required

      Copy to Clipboard Toggle word wrap

6. RHEL 8.7 또는 이전 버전에서 다음을 수행합니다.

   1. /etc/pam.d/sudo PAM 구성 파일을 엽니다.

   2. 다음 항목을 /etc/pam.d/sudo 파일에 있는 auth 섹션의 첫 번째 행으로 추가합니다.

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      system-auth
      account    include      system-auth
      password   include      system-auth
      session    include      system-auth

      Copy to Clipboard Toggle word wrap
   3. /etc/pam.d/sudo 파일을 저장하고 닫습니다.
   4. /etc/pam.d/sudo-i PAM 구성 파일을 엽니다.

   5. 다음 항목을 /etc/pam.d/sudo-i 파일에 있는 auth 섹션의 첫 행으로 추가합니다.

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      sudo
      account    include      sudo
      password   include      sudo
      session    optional     pam_keyinit.so force revoke
      session    include      sudo

      Copy to Clipboard Toggle word wrap
   6. /etc/pam.d/sudo-i 파일을 저장하고 닫습니다.

검증

1. idm_user 계정으로 호스트에 로그인하고 스마트 카드로 인증합니다.

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

   Copy to Clipboard Toggle word wrap

2. 스마트 카드 사용자로 티켓이 제공된지 확인합니다.

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

   Copy to Clipboard Toggle word wrap

3. idm_user 계정이 수행할 수 있는 sudo 규칙을 표시합니다.

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap

4. 암호를 지정하지 않고 sudo 를 사용하여 시스템을 재부팅합니다.

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap