43.5. Configuração de mapeamento de certificados se a entrada do usuário AD não contiver nenhum certificado ou dados de mapeamento

Clique em Add.

Figura 43.9. Adicionando uma nova regra de mapeamento de certificados na interface web do IdM

View larger image

Insira a regra de mapeamento. Ter todo o certificado que é apresentado ao IdM para autenticação em comparação com o certificado armazenado na entrada de substituição do ID do usuário AD no IdM:

(userCertificate;binary={cert!bin})

(userCertificate;binary={cert!bin})

Insira a regra de correspondência. Por exemplo, para permitir somente a autenticação de certificados emitidos pelo AD-ROOT-CA do domínio AD.EXAMPLE.COM:

<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com

<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com

Digite o nome do domínio. Por exemplo, para pesquisar usuários no domínio ad.example.com:

Figura 43.10. Regra de mapeamento de certificados para um usuário sem certificado ou dados cartográficos armazenados no AD

View larger image

O System Security Services Daemon (SSSD) relê periodicamente as regras de mapeamento de certificados. Para forçar a regra recém-criada a ser carregada imediatamente, reinicie o SSSD no CLI:

systemctl restart sssd

# systemctl restart sssd

Obter as credenciais do administrador:

kinit admin

# kinit admin

Insira a regra de mapeamento e a regra de correspondência na qual a regra de mapeamento se baseia. Ter todo o certificado que é apresentado para autenticação comparado com o certificado armazenado no ID do usuário, substituindo a entrada do usuário AD no IdM, permitindo somente a autenticação de certificados emitidos pelo AD-ROOT-CA do domínio AD.EXAMPLE.COM:

ipa certmaprule-add simpleADrule --matchrule '<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' --maprule '(userCertificate;binary={cert!bin})' --domain ad.example.com

# ipa certmaprule-add simpleADrule --matchrule '<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' --maprule '(userCertificate;binary={cert!bin})' --domain ad.example.com
-------------------------------------------------------
Added Certificate Identity Mapping Rule "simpleADrule"
-------------------------------------------------------
  Rule name: simpleADrule
  Mapping rule: (userCertificate;binary={cert!bin})
  Matching rule: <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
  Domain name: ad.example.com
  Enabled: TRUE

O System Security Services Daemon (SSSD) relê periodicamente as regras de mapeamento de certificados. Para forçar a regra recém-criada a ser carregada imediatamente, reinicie o SSSD:

systemctl restart sssd

# systemctl restart sssd