57.2. 在 web 控制台中为 SSH 登录配置智能卡验证

流程

1. 在 Terminal 页面中，验证 web 控制台是否在用户会话中为 User to Proxy (S4U2proxy) Kerberos ticket 创建一个服务：

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

   Copy to Clipboard Toggle word wrap

2. 创建委派规则可访问的目标主机列表：

   1. 创建服务委托目标：

      $ ipa servicedelegationtarget-add cockpit-target

      Copy to Clipboard Toggle word wrap

   2. 将目标主机添加到委派目标：

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

3. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      $ ipa servicedelegationrule-add cockpit-delegation

      Copy to Clipboard Toggle word wrap

   2. 将 Web 控制台客户端添加到委派规则中：

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   3. 将委派目标添加到委派规则中：

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

      Copy to Clipboard Toggle word wrap

4. 在 remote.idm.example.com 主机上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 将 GSSAPIAuthentication yes 设置添加到 /etc/ssh/sshd_config 文件中。

5. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service

   Copy to Clipboard Toggle word wrap