5.6. 스마트 카드 사용자에 대해 암호 없는 sudo 인증 활성화

절차

1. 티켓에서 액세스할 수 있는 호스트를 나열하는 제약 조건 위임 규칙을 설정합니다.

   예 5.1. 제약 조건 위임 규칙 설정

   웹 콘솔 세션은 호스트 host.example.com 을 실행하며 sudo 를 사용하여 자체 호스트에 액세스하려면 신뢰할 수 있어야 합니다. 또한 두 번째 신뢰할 수 있는 호스트 remote.example.com 을 추가하고 있습니다.

   • 다음 위임을 생성합니다.

     • 다음 명령을 실행하여 특정 규칙이 액세스할 수 있는 대상 시스템 목록을 추가합니다.

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • 웹 콘솔 세션(HTTP/principal)이 해당 호스트 목록에 액세스할 수 있도록 허용하려면 다음 명령을 사용합니다.

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 해당 서비스에서 GSS 인증을 활성화합니다.

   1. sudo의 경우 /etc/sssd/sssd.conf 파일에서 pam_sss_gss 모듈을 활성화합니다.

      1. root로 도메인에 대한 항목을 /etc/sssd/sssd.conf 구성 파일에 추가합니다.

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. 첫 번째 행의 /etc/pam.d/sudo 파일에서 모듈을 활성화합니다.

         auth sufficient pam_sss_gss.so

   2. SSH의 경우 /etc/ssh/sshd_config 파일의 GSSAPIAuthentication 옵션을 yes 로 업데이트합니다.

검증

1. 스마트 카드를 사용하여 웹 콘솔에 로그인합니다.
2. 제한적인 액세스 버튼을 클릭합니다.
3. 스마트 카드를 사용하여 인증합니다.