9.8. 在 IdM 客户端上启用 GSSAPI 身份验证，并为 sudo 强制使用 Kerberos 身份验证指示符

步骤

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 将以下条目添加到 [domain/ <idm_domain_name>] 部分。

   [domain/<idm_domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

   Copy to Clipboard Toggle word wrap
3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

5. 在 RHEL 9.2 或更高版本上：

   1. 确定您是否已选择了 sssd authselect 配置文件：

      # authselect current
      Profile ID: sssd

      Copy to Clipboard Toggle word wrap

   2. 可选：选择 sssd authselect 配置文件：

      # authselect select sssd

      Copy to Clipboard Toggle word wrap

   3. 启用 GSSAPI 身份验证：

      # authselect enable-feature with-gssapi

      Copy to Clipboard Toggle word wrap

   4. 将系统配置为只使用智能卡验证用户：

      # authselect with-smartcard-required

      Copy to Clipboard Toggle word wrap

6. 在 RHEL 9.1 或更早版本上：

   1. 打开 /etc/pam.d/sudo PAM 配置文件。

   2. 添加下列条目，来作为 /etc/pam.d/sudo 文件中 auth 部分的第一行。

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      system-auth
      account    include      system-auth
      password   include      system-auth
      session    include      system-auth

      Copy to Clipboard Toggle word wrap
   3. 保存并关闭 /etc/pam.d/sudo 文件。
   4. 打开 /etc/pam.d/sudo-i PAM 配置文件。

   5. 添加下列条目，来作为 /etc/pam.d/sudo-i 文件中 auth 部分的第一行。

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      sudo
      account    include      sudo
      password   include      sudo
      session    optional     pam_keyinit.so force revoke
      session    include      sudo

      Copy to Clipboard Toggle word wrap
   6. 保存并关闭 /etc/pam.d/sudo-i 文件。

验证

1. 以 idm_user 帐户身份登录到主机，并使用智能卡进行身份验证。

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

   Copy to Clipboard Toggle word wrap

2. 验证您是否有一个智能卡用户的票据授予票据。

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

   Copy to Clipboard Toggle word wrap

3. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap

4. 使用 sudo 而不指定密码来重新启动机器。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap