RHEL 9 웹 콘솔을 사용하여 시스템 관리

절차

1. 웹 콘솔이 설치 변형에 기본적으로 설치되지 않은 경우 cockpit 패키지를 수동으로 설치합니다.

   # dnf install cockpit

   Copy to Clipboard Toggle word wrap

2. 웹 서버를 실행하는 cockpit.socket 서비스를 활성화하고 시작합니다.

   # systemctl enable --now cockpit.socket

   Copy to Clipboard Toggle word wrap

3. 웹 콘솔이 기본적으로 설치 변형에 설치되지 않고 사용자 지정 방화벽 프로필을 사용하는 경우 cockpit 서비스를 firewalld 에 추가하여 방화벽에서 포트 9090을 엽니다.

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

절차

1. 웹 브라우저에서 다음 주소를 입력하여 웹 콘솔에 액세스합니다.

   https://localhost:9090

   Copy to Clipboard Toggle word wrap
   참고

   로컬 시스템에 웹 콘솔 로그인이 제공됩니다. 원격 시스템의 웹 콘솔에 로그인하려면 다음을 참조하십시오. 1.5절. “원격 머신에서 웹 콘솔에 연결”

   자체 서명된 인증서를 사용하면 브라우저에 경고가 표시됩니다. 인증서를 확인하고 보안 예외를 수락하여 로그인을 진행합니다.

   콘솔은 /etc/cockpit/ws-certs.d 디렉터리에서 인증서를 로드하고 알파벳순으로 .cert 확장자가 있는 마지막 파일을 사용합니다. 보안 예외를 부여하지 않으려면 CA(인증 기관)에서 서명한 인증서를 설치합니다.

2. 로그인 화면에서 시스템 사용자 이름과 암호를 입력합니다.
3. Log In (로그인)을 클릭합니다.

절차

1. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에 cockpit.conf 파일을 열거나 만듭니다. 예를 들면 다음과 같습니다.

   # vi cockpit.conf

   Copy to Clipboard Toggle word wrap

2. 다음 텍스트를 추가합니다.

   [basic]
   action = none

   Copy to Clipboard Toggle word wrap
3. 파일을 저장합니다.

4. 변경 사항을 적용하려면 웹 콘솔을 다시 시작하십시오.

   # systemctl try-restart cockpit

   Copy to Clipboard Toggle word wrap

절차

1. 웹 브라우저를 엽니다.

2. 원격 서버의 주소를 다음 형식 중 하나로 입력합니다.

   1. 서버의 호스트 이름:

      https://<server.hostname.example.com>:<port-number>

      Copy to Clipboard Toggle word wrap

      예를 들어 다음과 같습니다.

      https://example.com:9090

      Copy to Clipboard Toggle word wrap

   2. 서버의 IP 주소:

      https://<server.IP_address>:<port-number>

      Copy to Clipboard Toggle word wrap

      예를 들어 다음과 같습니다.

      https://192.0.2.2:9090

      Copy to Clipboard Toggle word wrap
3. 로그인 인터페이스가 열린 후 RHEL 시스템 인증 정보로 로그인합니다.

절차

1. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에서 disallowed-users 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/cockpit/disallowed-users

   Copy to Clipboard Toggle word wrap

2. 파일을 편집하고 root 사용자의 행을 제거합니다.

   # List of users which are not allowed to login to Cockpit root
    

   Copy to Clipboard Toggle word wrap
3. 변경 사항을 저장하고 편집기를 종료합니다.

절차

1. 브라우저에서 RHEL 웹 콘솔을 엽니다.

   • 로컬: https://localhost:PORT_NUMBER
   • 서버 호스트 이름을 원격으로 사용: https://example.com:PORT_NUMBER

   • 서버 IP 주소를 원격으로 사용: https://EXAMPLE.SERVER.IP.ADDR:PORT_NUMBER

     자체 서명된 인증서를 사용하는 경우 브라우저가 경고를 발행합니다. 인증서를 확인하고 로그인을 계속하려면 보안 예외를 수락합니다.

     콘솔은 /etc/cockpit/ws-certs.d 디렉터리에서 인증서를 로드하고 알파벳순으로 .cert 확장자가 있는 마지막 파일을 사용합니다. 보안 예외를 부여하지 않으려면 CA(인증 기관)에서 서명한 인증서를 설치합니다.

2. 로그인 창이 열립니다. 로그인 창에서 시스템 사용자 이름과 암호를 입력합니다.
3. 장치에서 일회성 암호를 생성합니다.
4. 암호를 확인한 후 웹 콘솔 인터페이스에 표시되는 새 필드에 일회성 암호를 입력합니다.
5. 로그인을 클릭합니다.
6. 로그인에 성공하면 웹 콘솔 인터페이스의 개요 페이지로 이동합니다.

절차

1. 기본 설정 텍스트 편집기에서 /etc/issue.cockpit 파일을 엽니다.

   # vi /etc/issue.cockpit

   Copy to Clipboard Toggle word wrap

2. 파일에 배너로 표시할 콘텐츠를 추가합니다. 예를 들면 다음과 같습니다.

   This is an example banner for the RHEL web console login page.

   Copy to Clipboard Toggle word wrap

   파일에 매크로를 포함할 수는 없지만 줄 바꿈과 ASCII Art을 사용할 수 있습니다.

3. 파일을 저장합니다.

4. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에서 cockpit.conf 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/cockpit/cockpit.conf

   Copy to Clipboard Toggle word wrap

5. 파일에 다음 텍스트를 추가합니다.

   [Session]
   Banner=/etc/issue.cockpit

   Copy to Clipboard Toggle word wrap
6. 파일을 저장합니다.

7. 변경 사항을 적용하려면 웹 콘솔을 다시 시작하십시오.

   # systemctl try-restart cockpit

   Copy to Clipboard Toggle word wrap

절차

1. 기본 설정 텍스트 편집기에서 /etc/cockpit/ 디렉토리에서 cockpit.conf 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/cockpit/cockpit.conf

   Copy to Clipboard Toggle word wrap

2. 파일에 다음 텍스트를 추가합니다.

   [Session]
   IdleTimeout=<X>

   Copy to Clipboard Toggle word wrap

   몇 분 내에 선택한 기간 동안 < X >를 숫자로 바꿉니다.

3. 파일을 저장합니다.

4. 변경 사항을 적용하려면 웹 콘솔을 다시 시작하십시오.

   # systemctl try-restart cockpit

   Copy to Clipboard Toggle word wrap

절차

1. 사용하지 않는 포트(예: < 4488/tcp >)를 선택하고 SELinux에 cockpit 서비스가 해당 포트에 바인딩되도록 지시합니다.

   # semanage port -a -t websm_port_t -p tcp <4488>

   Copy to Clipboard Toggle word wrap

   포트는 한 번에 하나의 서비스에서만 사용할 수 있으므로 이미 사용되고 있는 포트를 사용하려는 경우 ValueError를 의미합니다. 포트가 이미 정의된 오류 메시지입니다.

2. 새 포트를 열고 방화벽에서 이전 포트를 종료합니다.

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

   Copy to Clipboard Toggle word wrap

3. cockpit.socket 서비스에 대한 덮어쓰기 파일을 생성합니다.

   # systemctl edit cockpit.socket

   Copy to Clipboard Toggle word wrap

4. 다음 편집기 화면에서 /etc/systemd/system/cockpit.socket.d/ 디렉터리에 있는 빈 override.conf 파일을 열고 다음 행을 추가하여 웹 콘솔의 기본 포트를 9090에서 이전에 선택한 번호로 변경합니다.

   [Socket]
   ListenStream=
   ListenStream=<4488>

   Copy to Clipboard Toggle word wrap

   빈 값이 있는 첫 번째 ListenStream= 지시문은 의도적입니다. 단일 소켓 단위로 여러 ListenStream 지시문을 선언하고 드롭인 파일의 빈 값은 목록을 재설정하고 원래 장치의 기본 포트 9090을 비활성화할 수 있습니다.

   중요

   이 아래 의 줄과 #로 시작하는 줄 사이에 이전 코드 조각을 삽입합니다. 그렇지 않으면 시스템이 변경 사항을 삭제합니다.

5. Ctrl+O 를 누른 후 를 입력하여 변경 사항을 저장합니다. Ctrl+X 를 눌러 편집기를 종료합니다.

6. 변경된 구성을 다시 로드합니다.

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

7. 구성이 작동하는지 확인합니다.

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

   Copy to Clipboard Toggle word wrap

8. cockpit.socket:

   # systemctl restart cockpit.socket

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   Copy to Clipboard Toggle word wrap

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   cockpit_manage_selinux: true

   selinux 시스템 역할을 사용하여 websm_port_t SELinux 유형에 올바른 포트 권한을 설정하도록 SELinux를 구성합니다.

   cockpit_manage_firewall: true

   cockpit 시스템 역할이 포트 추가를 위해 firewalld 시스템 역할을 사용하도록 허용합니다.

   cockpit_certificates: <YAML_dictionary>

   기본적으로 RHEL 웹 콘솔은 자체 서명된 인증서를 사용합니다. 또는 cockpit_certificates 변수를 플레이북에 추가하고 IdM 인증 기관(CA)에서 인증서를 요청하거나 관리 노드에서 사용 가능한 기존 인증서 및 개인 키를 사용하도록 역할을 구성할 수 있습니다.

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. Playbook을 실행합니다.

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

절차

1. 선택한 텍스트 편집기에서 < systemd > .override.json 파일의 매니페스트 설정을 재정의합니다. 예를 들면 다음과 같습니다.

   1. 모든 사용자에 대해 편집하려면 다음을 입력합니다.

      # vi /etc/cockpit/<systemd>.override.json

      Copy to Clipboard Toggle word wrap

   2. 단일 사용자에 대해 편집하려면 다음을 입력합니다.

      # vi ~/.config/cockpit/<systemd>.override.json

      Copy to Clipboard Toggle word wrap

2. 다음 세부 정보를 사용하여 필요한 파일을 편집합니다.

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   Copy to Clipboard Toggle word wrap
   • null 값은 서비스 탭을 숨깁니다.
   • -1 값은 로그 탭을 먼저 이동합니다.

3. cockpit 서비스를 다시 시작하십시오.

   # systemctl restart cockpit.service

   Copy to Clipboard Toggle word wrap

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 소프트웨어 업데이트를 클릭합니다.

   사용 가능한 업데이트 목록이 24시간 후에 자동으로 새로 고쳐집니다. 새로 고침을 트리거하려면 업데이트 확인 버튼을 클릭합니다.

3. 업데이트를 적용합니다. 업데이트가 실행되는 동안 업데이트 로그를 확인할 수 있습니다.

   1. 사용 가능한 모든 업데이트를 설치하려면 모든 업데이트 설치 버튼을 클릭합니다.
   2. 사용 가능한 보안 업데이트가 있는 경우 보안 업데이트 설치 버튼을 클릭하여 별도로 설치할 수 있습니다.
   3. kpatch 업데이트를 사용할 수 있는 경우 kpatch 업데이트 설치 버튼을 클릭하여 별도로 설치할 수 있습니다.

4. 선택 사항: 시스템을 자동으로 다시 시작하기 위해 완료 스위치 후 재부팅 을 켤 수 있습니다.

   이 단계를 수행하면 이 절차의 나머지 단계를 건너뛸 수 있습니다.

5. 시스템을 적용한 후 시스템을 다시 시작하는 것이 좋습니다. 업데이트에 개별적으로 다시 시작하지 않으려는 새 커널 또는 시스템 서비스가 포함된 경우 시스템을 다시 시작합니다.

6. Ignore 를 클릭하여 재시작을 취소하거나 지금 다시 시작하여 시스템을 다시 시작합니다.

   시스템을 다시 시작한 후 웹 콘솔에 로그인하고 소프트웨어 업데이트 페이지로 이동하여 업데이트가 완료되었는지 확인합니다.

프로세스

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 소프트웨어 업데이트를 클릭합니다.
3. 설정 표에서 편집 버튼을 클릭합니다.
4. 자동 업데이트 유형 중 하나를 선택합니다. 보안 업데이트에서만 선택하거나 모든 업데이트에서 선택할 수 있습니다.
5. 자동 업데이트 날짜를 수정하려면 매일 드롭다운 메뉴를 클릭하고 특정 날짜를 선택합니다.
6. 자동 업데이트 시간을 수정하려면 6:00 필드를 클릭하고 특정 시간을 선택하거나 입력합니다.
7. 자동 소프트웨어 업데이트를 비활성화하려면 업데이트 없음 유형을 선택합니다.

프로세스

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 소프트웨어 업데이트를 클릭합니다.
3. 시스템 업데이트를 적용합니다.
4. 업데이트가 완료되면 Reboot system…​을 클릭합니다.다시 시작 서비스…​또는 무시

5. 무시하려면 다음 중 하나를 수행하여 재시작 또는 재부팅 메뉴로 돌아갈 수 있습니다.

   1. 재부팅:

      1. Software Updates 페이지의 Status 필드에서 Reboot system 버튼을 클릭합니다.
      2. 선택 사항: 로그인한 사용자에게 메시지를 작성합니다.
      3. Delay 드롭다운 메뉴에서 지연을 선택합니다.
      4. Reboot 를 클릭합니다.

   2. 서비스를 다시 시작하십시오.

      1. Software Updates 페이지의 Status 필드에서 Restart services 버튼을 클릭합니다.

         재시작이 필요한 모든 서비스 목록이 표시됩니다.

      2. 서비스 다시 시작을 클릭합니다.

         선택한 상황에 따라 시스템이 재부팅되거나 서비스가 다시 시작됩니다.

프로세스

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 소프트웨어 업데이트를 클릭합니다.

3. 커널 패치 설정 상태를 확인합니다.

   1. 패치가 설치되지 않은 경우 설치를 클릭합니다.

      

   2. 커널 패치를 활성화하려면 Enable 을 클릭합니다.

      

   3. 커널 패치 적용 확인란을 선택합니다.

   4. 현재 및 향후 커널 또는 현재 커널에 패치를 적용할지 여부를 선택합니다. 향후 커널에 대한 패치를 적용하기로 결정한 경우 시스템은 향후 커널 릴리스에 대한 패치도 적용합니다.

      

   5. 적용을 클릭합니다.

프로세스

1. 브라우저에서 https://<ip_address_or_hostname>:9090 을 열고 웹 콘솔에 로그인합니다.
2. 개요 페이지의 상태 필드에서 등록된 경고를 클릭하거나 기본 메뉴에서 서브스크립션 을 클릭하여 서브스크립션 정보가 포함된 페이지로 이동합니다.
3. 개요 필드에서 등록을 클릭합니다.

4. 등록 시스템 대화 상자에서 등록 방법을 선택합니다.

   선택 사항: 조직의 이름 또는 ID를 입력합니다. 계정이 Red Hat 고객 포털에서 두 개 이상의 조직에 속하는 경우 조직 이름 또는 ID를 추가해야 합니다. 조직 ID를 얻으려면 Red Hat에서 기술 계정 관리자에게 확인하십시오.

5. 시스템을 Red Hat Insights에 연결하지 않으려면 Insights 확인란을 지웁니다.
6. 등록을 클릭합니다.

프로세스

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 개요 페이지의 상태 필드에서 등록된 경고를 클릭하거나 기본 메뉴에서 서브스크립션 을 클릭하여 서브스크립션 정보가 있는 페이지로 이동합니다.

   .

3. 작성된 개요 에서 등록을 클릭합니다.

4. 등록 시스템 대화 상자에서 활성화 키를 선택하여 활성화 키를 선택합니다.

   

5. 키 또는 키를 입력합니다.

6. 조직의 이름 또는 ID를 입력합니다.

   조직 ID를 가져오려면 Red Hat 연락처로 이동하십시오.

   • 시스템을 Red Hat Insights에 연결하지 않으려면 Insights 확인란을 지웁니다.
7. 등록을 클릭합니다.

프로세스

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. RHEL 9 웹 콘솔에서 개요 페이지의 왼쪽 상단에 있는 < username> @ <hostname >을 클릭합니다.

   

3. 드롭다운 메뉴에서 새 호스트 추가 를 클릭합니다.
4. 새 호스트 추가 대화 상자에서 추가할 호스트를 지정합니다.

5. 선택 사항: 연결할 계정의 사용자 이름을 추가합니다.

   원격 시스템의 모든 사용자 계정을 사용할 수 있습니다. 그러나 관리 권한이 없는 사용자 계정의 자격 증명을 사용하는 경우 관리 작업을 수행할 수 없습니다.

   로컬 시스템에서와 동일한 인증 정보를 사용하는 경우 웹 콘솔은 로그인할 때마다 원격 시스템을 자동으로 인증합니다. 더 많은 시스템에서 동일한 자격 증명을 사용하면 보안이 약해집니다.

6. 선택 사항: 색상 필드를 클릭하여 시스템의 색상을 변경합니다.
7. 추가를 클릭합니다.

프로세스

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. RHEL 9 웹 콘솔에서 개요 페이지의 왼쪽 상단에 있는 < username> @ <hostname >을 클릭합니다.

   

3. 드롭다운 메뉴에서 새 호스트 추가 를 클릭합니다.
4. 새 호스트 추가 대화 상자에서 추가할 호스트를 지정합니다.

5. 연결할 계정의 사용자 이름을 추가합니다.

   원격 시스템의 모든 사용자 계정을 사용할 수 있습니다. 그러나 관리 권한이 없는 사용자 계정을 사용하는 경우 관리 작업을 수행할 수 없습니다.

6. 선택 사항: 색상 필드를 클릭하여 시스템의 색상을 변경합니다.

7. 추가를 클릭합니다.

   암호를 묻는 새 대화 상자가 나타납니다.

8. 사용자 계정 암호를 입력합니다.

9. SSH 키가 이미 있는 경우 SSH 키 인증을 선택합니다.

   

10. SSH 키가 없는 경우 새 SSH 키 만들기를 선택하고 권한을 부여합니다. 웹 콘솔에서 키를 생성합니다.

    

    1. SSH 키의 암호를 추가합니다.
    2. 암호를 확인합니다.
11. Log in 을 클릭합니다.

검증

1. 로그아웃합니다.
2. 다시 로그인합니다.
3. Not connected to host 화면에서 Log in 을 클릭합니다.

4. 인증 옵션으로 SSH 키 를 선택합니다.

   

   View larger image

   
5. 키 암호를 입력합니다.
6. Log in 을 클릭합니다.

절차

1. 위임 규칙이 액세스할 수 있는 대상 호스트 목록을 생성합니다.

   1. 서비스 위임 대상을 생성합니다.

      $ ipa servicedelegationtarget-add cockpit-target

      Copy to Clipboard Toggle word wrap

   2. 위임 대상에 대상 호스트를 추가합니다.

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

2. 서비스 위임 규칙을 생성하고 HTTP 서비스 Kerberos 주체를 추가하여 cockpit 세션이 대상 호스트 목록에 액세스하도록 허용합니다.

   1. 서비스 위임 규칙을 생성합니다.

      $ ipa servicedelegationrule-add cockpit-delegation

      Copy to Clipboard Toggle word wrap

   2. 위임 규칙에 웹 콘솔 클라이언트를 추가합니다.

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   3. 위임 규칙에 위임 대상을 추가합니다.

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

      Copy to Clipboard Toggle word wrap

3. remote.idm.example.com 호스트에서 Kerberos 인증을 활성화합니다.

   1. SSH를 통해 root 로 remote.idm.example.com 에 연결합니다.
   2. 편집할 /etc/ssh/sshd_config 파일을 엽니다.
   3. GSSAPIAuthentication no 행의 주석을 제거하고 GSSAPIAuthentication yes 로 교체하여 GSSAPIAuthentication을 활성화합니다.

4. remote.idm.example.com 에서 sshd 서비스를 다시 시작하여 변경 사항이 즉시 적용됩니다.

   $ systemctl try-restart sshd.service

   Copy to Clipboard Toggle word wrap

절차

1. ~/MyPlaybook/ 디렉토리로 이동합니다.

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. 다음 콘텐츠를 사용하여 web-console-smart-card-ssh.yml 플레이북을 생성합니다.

   1. 위임 대상을 확인하는 작업을 생성합니다.

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

      Copy to Clipboard Toggle word wrap

   2. 위임 대상에 대상 호스트를 추가하는 작업을 추가합니다.

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

      Copy to Clipboard Toggle word wrap

   3. 위임 규칙이 있는지 확인하는 작업을 추가합니다.

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

      Copy to Clipboard Toggle word wrap

   4. 웹 콘솔 클라이언트 서비스의 Kerberos 주체가 제한된 위임 규칙의 멤버인지 확인하는 작업을 추가합니다.

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

      Copy to Clipboard Toggle word wrap

   5. 제한된 위임 규칙이 web-console-delegation-target 위임 대상과 연결되어 있는지 확인하는 작업을 추가합니다.

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

      Copy to Clipboard Toggle word wrap
3. 파일을 저장합니다.

4. Ansible 플레이북을 실행합니다. 플레이북 파일을 지정하고 secret.yml 파일을 보호하는 암호를 저장하는 파일 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

   Copy to Clipboard Toggle word wrap

5. remote.idm.example.com 에서 Kerberos 인증을 활성화합니다.

   1. SSH를 통해 root 로 remote.idm.example.com 에 연결합니다.
   2. 편집할 /etc/ssh/sshd_config 파일을 엽니다.
   3. GSSAPIAuthentication no 행의 주석을 제거하고 GSSAPIAuthentication yes 로 교체하여 GSSAPIAuthentication을 활성화합니다.

6. remote.idm.example.com 에서 sshd 서비스를 다시 시작하여 변경 사항이 즉시 적용됩니다.

   $ systemctl try-restart sshd.service

   Copy to Clipboard Toggle word wrap

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 개요 탭의 구성 필드에서 도메인에 가입을 클릭합니다.
3. Domain( 도메인) 대화 상자에 Domain Address (도메인 주소) 필드에 IdM 서버의 호스트 이름을 입력합니다.
4. 도메인 관리자 이름 필드에 IdM 관리 계정의 사용자 이름을 입력합니다.
5. 도메인 관리자 암호 에서 암호를 추가합니다.
6. 참여를 클릭합니다.

검증

1. RHEL 9 웹 콘솔에 오류가 표시되지 않으면 시스템이 IdM 도메인에 가입되어 시스템 화면에 도메인 이름을 확인할 수 있습니다.

2. 사용자가 도메인의 멤버인지 확인하려면 터미널 페이지를 클릭하고 id 명령을 입력합니다.

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

절차

1. Kerberos 티켓 부여 티켓을 받습니다.

   $ kinit idmuser@IDM.EXAMPLE.COM
   Password for idmuser@IDM.EXAMPLE.COM:

   Copy to Clipboard Toggle word wrap

2. 웹 콘솔 서비스가 브라우저로 실행 중인 호스트의 정규화된 이름을 입력합니다.

    https://<dns_name>:9090

   Copy to Clipboard Toggle word wrap
   

   View larger image

   

   이 시점에서 RHEL 웹 콘솔에 성공적으로 연결되어 구성을 시작할 수 있습니다. 예를 들어 RHEL 9 시스템을 웹 콘솔의 IdM 도메인에 결합 할 수 있습니다.

절차

1. 심볼릭 링크를 생성합니다.

   # ln -s /var/lib/ipa/gssproxy/http.keytab /etc/cockpit/krb5.keytab

   Copy to Clipboard Toggle word wrap

2. 인증서 파일 Bash 변수를 설정합니다.

   # CERT_FILE=/etc/cockpit/ws-certs.d/50-certmonger.crt

   Copy to Clipboard Toggle word wrap

3. 인증서 키 Bash 변수를 설정합니다.

   # KEY_FILE=/etc/cockpit/ws-certs.d/50-certmonger.key

   Copy to Clipboard Toggle word wrap

4. 인증서-키 쌍을 생성합니다.

   # ipa-getcert request -f ${CERT_FILE} -k ${KEY_FILE} -D $(hostname --fqdn)

   Copy to Clipboard Toggle word wrap

절차

1. opensc 및 gnutls-utils 패키지를 설치합니다.

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. pcscd 서비스를 시작합니다.

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

절차

1. 스마트 카드를 지우고 BOOM으로 자신을 인증합니다.

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   카드가 삭제되었습니다.

2. 스마트 카드를 초기화하고, 사용자kubelet 및 PUK를 설정하고, 보안 부서 및 PUK를 설정합니다.

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   pcks15-init 툴은 스마트 카드에 새 슬롯을 생성합니다.

3. 슬롯의 라벨 및 인증 ID를 설정합니다.

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   레이블은 사람이 읽을 수 있는 값(이 경우)으로 설정됩니다. auth-id 는 두 개의 16진수 값이어야 합니다. 이 경우 01 로 설정됩니다.

4. 스마트 카드의 새 슬롯에 개인 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   참고

   --id 에 지정하는 값은 개인 키를 저장하고 다음 단계에 인증서를 저장할 때 동일해야 합니다. 도구에서 더 복잡한 값을 계산하므로 --id 에 대해 자체 값을 지정하는 것이 좋습니다.

5. 스마트 카드의 새 슬롯에 인증서를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 선택 사항: 스마트 카드의 새 슬롯에 공개 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   참고

   공개 키가 개인 키 또는 인증서에 해당하는 경우 개인 키 또는 인증서의 ID와 동일한 ID를 지정합니다.

7. 선택 사항: 특정 스마트 카드에서는 설정을 잠그는 방식으로 카드를 완료해야합니다.

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   이 단계에서 스마트 카드에 새로 생성된 슬롯에 인증서, 개인 키 및 공개 키가 포함되어 있습니다. 또한 사용자kubelet 및 PUK 및 보안 부서, PUK 및 PUK를 생성했습니다.

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 터미널을 클릭합니다.

3. /etc/cockpit/cockpit.conf 에서 ClientCertAuthentication 을 yes 로 설정합니다.

   [WebService]
   ClientCertAuthentication = yes

   Copy to Clipboard Toggle word wrap

4. 선택 사항: 다음을 사용하여 cockpit.conf 에서 암호 기반 인증을 비활성화합니다.

   [Basic]
   action = none

   Copy to Clipboard Toggle word wrap

   이 구성에서는 암호 인증을 비활성화하고 항상 스마트 카드를 사용해야 합니다.

5. 웹 콘솔을 다시 시작하여 cockpit.service 에서 변경 사항을 수락하는지 확인합니다.

   # systemctl restart cockpit

   Copy to Clipboard Toggle word wrap

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

   브라우저가 스마트 카드에 저장된 인증서를 보호하도록 요청하는 경우.

2. 암호 필요 대화 상자에서ECDSA를 입력하고 확인을 클릭합니다.
3. 사용자 식별 요청 대화 상자에서 스마트 카드에 저장된 인증서를 선택합니다.

4. Remember this decision 를 선택합니다.

   다음 번에는 시스템이 이 창을 열지 않습니다.

   참고

   이 단계는 Google Chrome 사용자에게 적용되지 않습니다.

5. OK를 클릭합니다.

절차

1. 티켓에서 액세스할 수 있는 호스트를 나열하도록 제약 조건 위임 규칙을 설정합니다.

   예 8.1. 제약 조건 위임 규칙 설정

   웹 콘솔 세션은 host.example.com 을 실행하며 sudo 를 사용하여 자체 호스트에 액세스할 수 있는 신뢰할 수 있어야 합니다. 또한 두 번째 신뢰할 수 있는 호스트 remote.example.com 을 추가하고 있습니다.

   • 다음 위임을 생성합니다.

     • 다음 명령을 실행하여 특정 규칙이 액세스할 수 있는 대상 머신 목록을 추가합니다.

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \
          --principals=host/host.example.com@EXAMPLE.COM \
          --principals=host/remote.example.com@EXAMPLE.COM

       Copy to Clipboard Toggle word wrap

     • 웹 콘솔 세션(HTTP/principal)이 해당 호스트 목록에 액세스할 수 있도록 허용하려면 다음 명령을 사용합니다.

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \
         --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \
         --servicedelegationtargets=cockpit-target

       Copy to Clipboard Toggle word wrap

2. 해당 서비스에서 GSS 인증을 활성화합니다.

   1. sudo의 경우 /etc/sssd/sssd.conf 파일에서 pam_sss_gss 모듈을 활성화합니다.

      1. root로 도메인의 항목을 /etc/sssd/sssd.conf 구성 파일에 추가합니다.

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

         Copy to Clipboard Toggle word wrap

      2. 첫 번째 줄의 /etc/pam.d/sudo 파일에서 모듈을 활성화합니다.

         auth sufficient pam_sss_gss.so

         Copy to Clipboard Toggle word wrap
   2. SSH의 경우 /etc/ssh/sshd_config 파일의 GSSAPIAuthentication 옵션을 yes 로 업데이트합니다.

검증

1. 스마트 카드를 사용하여 웹 콘솔에 로그인합니다.
2. 제한된 액세스 버튼을 클릭합니다.
3. 스마트 카드를 사용하여 인증합니다.

절차

1. 터미널에서 system-cockpithttps.slice 구성 파일을 엽니다.

   # systemctl edit system-cockpithttps.slice

   Copy to Clipboard Toggle word wrap

2. TasksMax 를 100 으로 제한하고 CPUQuota 를 30% 로 제한합니다.

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

   Copy to Clipboard Toggle word wrap

3. 변경 사항을 적용하려면 시스템을 다시 시작하십시오.

   # systemctl daemon-reload
   # systemctl stop cockpit

   Copy to Clipboard Toggle word wrap