57.3. 使用 Ansible 为 web 控制台中的 SSH 登录配置智能卡验证

流程

1. 在 Terminal 页面中，验证 web 控制台是否在用户会话中为 User to Proxy (S4U2proxy) Kerberos ticket 创建一个服务：

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

3. 创建包含以下内容的 web-console-smart-card-ssh.yml playbook：

   1. 创建确保存在委派目标的任务：

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 添加将目标主机添加到委派目标的任务：

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 添加一个任务来确保存在委派规则：

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. 添加一项任务，该任务确保 Web 控制台客户端服务的 Kerberos 主体是受限委派规则的成员：

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 添加一个任务，以确保 delegation 规则与 web-console-delegation-target 委派目标关联：

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件和清单文件的密码的文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

6. 在 remote.idm.example.com 上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 将 GSSAPIAuthentication yes 设置添加到 /etc/ssh/sshd_config 文件中。

7. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service