123.2. 配置 Web 控制台以允许使用智能卡通过 SSH 向远程主机进行身份验证的用户，而无需再次进行身份验证

流程

1. 创建委派规则可访问的目标主机列表：

   1. 创建服务委托目标：

      $ ipa servicedelegationtarget-add cockpit-target

   2. 将目标主机添加到委派目标：

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

2. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      $ ipa servicedelegationrule-add cockpit-delegation

   2. 将 Web 控制台客户端添加到委派规则中：

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 将委派目标添加到委派规则中：

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

3. 在 remote.idm.example.com 主机上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 打开 /etc/ssh/sshd_config 文件进行编辑。
   3. 通过取消注释 GSSAPIAuthentication no 行，并使用 GSSAPIAuthentication yes 替换它来启用 GSSAPIAuthentication。

4. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service