管理智能卡验证

流程

1. 创建要进行配置的目录：

   [root@server]# mkdir ~/SmartCard/

   Copy to Clipboard Toggle word wrap

2. 进入该目录：

   [root@server]# cd ~/SmartCard/

   Copy to Clipboard Toggle word wrap

3. 获取存储在 PEM 格式文件中的相关 CA 证书。如果您的 CA 证书存储再不同格式的文件中，如 DER，请将其转换为 PEM 格式。IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

   将 DER 文件转换为 PEM 文件：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

4. 为方便起见，将证书复制到您要进行配置的目录中：

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

   Copy to Clipboard Toggle word wrap

5. 可选：如果您使用外部证书颁发机构的证书，请使用 openssl x509 工具查看 PEM 格式的文件的内容，以检查 Issuer 和 Subject 值是否正确：

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

   Copy to Clipboard Toggle word wrap

6. 使用管理员特权，通过内置的 ipa-advise 工具生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-server-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

7. 执行脚本，将包含根 CA 和子 CA 证书的 PEM 文件添加为参数：

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

8. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

   1. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

      SSLOCSPEnable off

      Copy to Clipboard Toggle word wrap

   2. 重启 Apache 守护进程(httpd)使更改立即生效：

      [root@server SmartCard]# systemctl restart httpd

      Copy to Clipboard Toggle word wrap
   警告

   如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

   有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

   该服务器现在被配置为智能卡验证。

   注意

   要在整个拓扑中启用智能卡验证，请在每个 IdM 服务器中运行操作过程。

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 服务器。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • 根 CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 使用以下内容创建一个 install-smartcard-server.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

   Copy to Clipboard Toggle word wrap
8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_server Ansible 角色执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

10. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

    1. 以 root 用户身份连接到 IdM 服务器：

       ssh root@ipaserver.idm.example.com

       Copy to Clipboard Toggle word wrap

    2. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

       SSLOCSPEnable off

       Copy to Clipboard Toggle word wrap

    3. 重启 Apache 守护进程(httpd)使更改立即生效：

       # systemctl restart httpd

       Copy to Clipboard Toggle word wrap
    警告

    如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

    有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

    清单文件中列出的服务器现在已被配置为进行智能卡验证。

    注意

    要在整个拓扑中启用智能卡验证，请将 Ansible playbook 中的 hosts 变量设为 ipacluster ：

    ---
    - name: Playbook to set up smartcard for IPA server and replicas
      hosts: ipacluster
    [...]

    Copy to Clipboard Toggle word wrap

流程

1. 在 IdM 服务器上，使用管理员权限通过 ipa-advise 生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-client-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程 (SSSD)，允许用户使用其用户名和密码或其智能卡进行验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

2. 从 IdM 服务器中，将脚本复制到 IdM 客户端机器中选择的目录中：

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

   Copy to Clipboard Toggle word wrap

3. 为了方便起见，将 IdM 服务器上的 PEM 格式的 CA 证书文件复制到 IdM 客户端机器上与在上一步中所使用的相同的目录中：

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

   Copy to Clipboard Toggle word wrap

4. 在客户端机器上执行脚本，将包含 CA 证书的 PEM 文件添加为参数：

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

   现在为智能卡验证配置了客户端。

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM CA 证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中，例如：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 客户端。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • 根 CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 使用以下内容创建 install-smartcard-clients.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

   Copy to Clipboard Toggle word wrap
8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_client Ansible 角色执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。

   • 它将系统安全服务守护进程(SSSD)配置为允许用户使用其用户名和密码或者智能卡进行身份验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

     清单文件的 ipaclients 部分中列出的客户端现在配置为进行智能卡验证。

   注意

   如果您使用 --mkhomedir 选项安装了 IdM 客户端，则远程用户将能够登录到其主目录。否则，默认登录位置是目录结构的根目录，/ 。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM Web UI。要在您自己的配置文件中添加证书，您不需要管理员的凭证。
2. 导航到 Users → Active users → sc_user。
3. 找到 Certificate 选项，并单击 Add。

4. 在命令行上，使用 cat 工具或文本编辑器以 PEM 格式显示证书：

   [user@client SmartCard]$ cat testuser.crt

   Copy to Clipboard Toggle word wrap
5. 将证书从 CLI 复制并粘贴到 Web UI 中打开的窗口中。

6. 点击 Add。

   sc_user 条目现在包含一个外部证书。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM CLI：

   [user@client SmartCard]$ kinit admin

   Copy to Clipboard Toggle word wrap

   要在您自己的配置文件中添加证书，您不需要管理员的凭证。

   [user@client SmartCard]$ kinit <smartcard_user>

   Copy to Clipboard Toggle word wrap

2. 创建一个包含证书的环境变量，该变量移除了标头和页脚，并串联成一行，这是 ipa user-add-cert 命令期望的格式：

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   Copy to Clipboard Toggle word wrap

   请注意，testuser.crt 文件中的证书必须是 PEM 格式。

3. 使用 ipa user-add-cert 命令将证书添加到 <smartcard_user> 的配置文件中：

   [user@client SmartCard]$ ipa user-add-cert <smartcard_user> --certificate=$CERT

   Copy to Clipboard Toggle word wrap

   <smartcard_user> 条目现在包含一个外部证书。

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. 启动 pcscd 服务。

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 在浏览器中打开 IdM Web UI。
2. 点使用证书登陆。

3. 如果 Password Required 对话框打开，请添加 PIN 来解锁智能卡，然后单击 OK 按钮。

   此时会打开 User Identification Request 对话框。

   如果智能卡包含多个证书，请在 选择用于验证的证书 下方的下拉列表中选择您要用于身份验证的证书。

4. 点确定按钮。

   现在，您已成功登录到 IdM Web UI。

流程

1. 在读取器中插入智能卡。
2. 输入智能卡 PIN。

3. 点 Sign In。

   您成功登录到 RHEL 系统，并且您有一张由 IdM 服务器提供的 TGT。

流程

1. 从 IdM 服务器 连接，并将 adcs-winserver-ca.cer 根证书复制到 IdM 服务器：

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd _<path_to_certificates>_
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching _<path_to_certificates>_/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   _<path_to_certificates>_/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

   Copy to Clipboard Toggle word wrap

2. 从 IdM 客户端 连接，并将 aduser1.pfx 用户证书复制到客户端：

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /_<path_to_certificates>_
   sftp> get aduser1.pfx
   Fetching _<path_to_certificates>_/aduser1.pfx to aduser1.pfx
   _<path_to_certificates>_/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

   Copy to Clipboard Toggle word wrap

   现在，CA 证书保存在 IdM 服务器上，用户证书存储在客户端机器上。

流程

1. 在 IdM 服务器上，使用 ipa-advise 脚本来配置客户端：

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

   Copy to Clipboard Toggle word wrap

2. 在 IdM 服务器上，使用 ipa-advise 脚本来配置服务器：

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

   Copy to Clipboard Toggle word wrap

3. 在 IdM 服务器中执行脚本：

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   Copy to Clipboard Toggle word wrap
   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

4. 将 sc_client.sh 脚本复制到客户端系统中：

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

   Copy to Clipboard Toggle word wrap

5. 将 Windows 证书复制到客户端系统中：

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

   Copy to Clipboard Toggle word wrap

6. 在客户端系统中运行客户端脚本：

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

   Copy to Clipboard Toggle word wrap

   CA 证书现在以正确的格式安装在 IdM 服务器和客户端系统上。下一步是将用户证书复制到智能卡本身。

流程

1. 在 IdM 客户端上，将文件转换为 PEM 格式：

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

   Copy to Clipboard Toggle word wrap

2. 将密钥提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

   Copy to Clipboard Toggle word wrap

3. 将公共证书提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

   Copy to Clipboard Toggle word wrap

   此时，您可以将 aduser1.key 和 aduser1.crt 存储在智能卡中。

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. 启动 pcscd 服务。

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 打开 sssd.conf 文件：

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

2. 更改 p11_child_timeout 的值：

   [pam]
   p11_child_timeout = 60

   Copy to Clipboard Toggle word wrap

3. 更改 krb5_auth_timeout 的值：

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

   Copy to Clipboard Toggle word wrap

4. 保存设置。

   现在，在因超时而验证失败之前，允许与智能卡的交互运行 1 分钟(60 秒)。

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Terminal。

3. 在 /etc/cockpit/cockpit.conf 中，将 ClientCertAuthentication 设置为 yes ：

   [WebService]
   ClientCertAuthentication = yes

   Copy to Clipboard Toggle word wrap

4. 可选：使用以下方法在 cockpit.conf 中禁用基于密码的身份验证：

   [Basic]
   action = none

   Copy to Clipboard Toggle word wrap

   这个配置禁用了密码验证，且必须总是使用智能卡。

5. 重启 Web 控制台，以确保 cockpit.service 接受更改：

   # systemctl restart cockpit

   Copy to Clipboard Toggle word wrap

流程

1. 登录到 RHEL 10 web 控制台。

   浏览器要求您添加 PIN 保护保存在智能卡中的证书。

2. 在 Password Required 对话框中，输入 PIN 并点 OK。
3. 在 User Identification Request 对话框中，选择保存在智能卡中的证书。

4. 选择 Remember this decision。

   系统下次打开这个窗口。

   注意

   此步骤不适用于 Google Chrome 用户。

5. 点击 OK。

流程

1. 设置约束委派规则，以列出托管票据可以访问哪些主机。

   例 5.1. 设置约束委派规则

   Web 控制台会话运行主机 host.example.com，并应受信任，以通过 sudo 访问自己的主机。此外，我们还添加了第二个可信主机 - remote.example.com。

   • 创建以下委派：

     • 运行以下命令添加特定规则可以访问的目标机器列表：

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

       Copy to Clipboard Toggle word wrap

     • 要允许 Web 控制台会话(HTTP/principal)访问该主机列表，请使用以下命令：

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

       Copy to Clipboard Toggle word wrap

2. 在对应服务中启用 GSS 身份验证：

   1. 对于 sudo，在 /etc/sssd/sssd.conf 文件中启用 pam_sss_gss 模块：

      1. 以 root 用户身份，将域的条目添加到 /etc/sssd/sssd.conf 配置文件。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

         Copy to Clipboard Toggle word wrap

      2. 在第一行启用 /etc/pam.d/sudo 文件中的模块。

         auth sufficient pam_sss_gss.so

         Copy to Clipboard Toggle word wrap
   2. 对于 SSH，将 /etc/ssh/sshd_config 文件中的 GSSAPIAuthentication 选项更新为 yes。

验证

1. 使用智能卡登录到 web 控制台。
2. 点 Limited access 按钮。
3. 使用您的智能卡进行验证。

流程

1. 在终端中，打开 system-cockpithttps.slice 配置文件：

   # systemctl edit system-cockpithttps.slice

   Copy to Clipboard Toggle word wrap

2. 将 TasksMax 限制为 100，将 CPUQuota 限制为 30% ：

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

   Copy to Clipboard Toggle word wrap

3. 要应用这些更改，请重启系统：

   # systemctl daemon-reload
   # systemctl stop cockpit

   Copy to Clipboard Toggle word wrap

流程

1. 创建可生成证书的目录，例如：

   # mkdir /tmp/ca
   # cd /tmp/ca

   Copy to Clipboard Toggle word wrap

2. 设置证书（将此文本复制到 ca 目录中的命令行）:

   # cat > ca.cnf <<EOF
   [ ca ]
   default_ca = CA_default
   
   [ CA_default ]
   dir              = .
   database         = \$dir/index.txt
   new_certs_dir    = \$dir/newcerts
   
   certificate      = \$dir/rootCA.crt
   serial           = \$dir/serial
   private_key      = \$dir/rootCA.key
   RANDFILE         = \$dir/rand
   
   default_days     = 365
   default_crl_days = 30
   default_md       = sha256
   
   policy           = policy_any
   email_in_dn      = no
   
   name_opt         = ca_default
   cert_opt         = ca_default
   copy_extensions  = copy
   
   [ usr_cert ]
   authorityKeyIdentifier = keyid, issuer
   
   [ v3_ca ]
   subjectKeyIdentifier   = hash
   authorityKeyIdentifier = keyid:always,issuer:always
   basicConstraints       = CA:true
   keyUsage               = critical, digitalSignature, cRLSign, keyCertSign
   
   [ policy_any ]
   organizationName       = supplied
   organizationalUnitName = supplied
   commonName             = supplied
   emailAddress           = optional
   
   [ req ]
   distinguished_name = req_distinguished_name
   prompt             = no
   
   [ req_distinguished_name ]
   O  = Example
   OU = Example Test
   CN = Example Test CA
   EOF

   Copy to Clipboard Toggle word wrap

3. 创建以下目录：

   # mkdir certs crl newcerts

   Copy to Clipboard Toggle word wrap

4. 创建以下文件：

   # touch index.txt crlnumber index.txt.attr

   Copy to Clipboard Toggle word wrap

5. 在串行文件中写入数字 01:

   # echo 01 > serial

   Copy to Clipboard Toggle word wrap

   该命令在串行文件中写入数字 01。它是证书的序列号。当这个 CA 发布一个新证书时这个数字会加一。

6. 创建一个 OpenSSL root CA 密钥：

   # openssl genrsa -out rootCA.key 2048

   Copy to Clipboard Toggle word wrap

7. 创建自签名 root 认证认证机构证书：

   # openssl req -batch -config ca.cnf \ -x509 -new -nodes -key rootCA.key -sha256 -days 10000 \ -set_serial 0 -extensions v3_ca -out rootCA.crt

   Copy to Clipboard Toggle word wrap

8. 为您的用户名创建密钥：

   # openssl genrsa -out example.user.key 2048

   Copy to Clipboard Toggle word wrap

   这个密钥是在本地系统中生成的，因此当密钥保存在卡中时，从系统中删除密钥。

   您还可以直接在智能卡中创建密钥。要做到这一点，请遵循智能卡生产商生成的说明。

9. 创建证书签名请求配置文件（将这个文本复制到 ca 目录中的命令行中）:

   # cat > req.cnf <<EOF
   [ req ]
   distinguished_name = req_distinguished_name
   prompt = no
   
   [ req_distinguished_name ]
   O = Example
   OU = Example Test
   CN = testuser
   
   [ req_exts ]
   basicConstraints = CA:FALSE
   nsCertType = client, email
   nsComment = "testuser"
   subjectKeyIdentifier = hash
   keyUsage = critical, nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = clientAuth, emailProtection, msSmartcardLogin
   subjectAltName = otherName:msUPN;UTF8:testuser@EXAMPLE.COM, email:testuser@example.com
   EOF

   Copy to Clipboard Toggle word wrap

10. 为 example.user 证书创建证书签名请求：

    # openssl req -new -nodes -key example.user.key \ -reqexts req_exts -config req.cnf -out example.user.csr

    Copy to Clipboard Toggle word wrap

11. 配置新证书。过期期限设定为 1 年：

    # openssl ca -config ca.cnf -batch -notext \ -keyfile rootCA.key -in example.user.csr -days 365 \ -extensions usr_cert -out example.user.crt

    Copy to Clipboard Toggle word wrap

    此时，认证颁发机构和证书被成功生成并准备好导入到智能卡。

流程

1. 确保已在系统中安装了 SSSD。

   # rpm -q sssd
   sssd-2.0.0.43.el8_0.3.x86_64

   Copy to Clipboard Toggle word wrap

2. 创建 /etc/sssd/pki 目录：

   # file /etc/sssd/pki
   /etc/sssd/pki/: directory

   Copy to Clipboard Toggle word wrap

3. 将 rootCA.crt 作为 PEM 文件复制到 /etc/sssd/pki/ 目录中：

   # cp /tmp/ca/rootCA.crt /etc/sssd/pki/sssd_auth_ca_db.pem

   Copy to Clipboard Toggle word wrap

   现在，您已成功生成了证书颁发机构和证书，并将其保存在 /etc/sssd/pki 目录中。

   注意

   如果要与另一个应用程序共享证书颁发机构证书，您可以在 sssd.conf 中更改位置：

   • SSSD PAM 响应器： [pam] 部分中的 pam_cert_db_path
   • SSSD ssh 响应器：[ssh] 部分中的 ca_db

   详情请查看 sssd.conf 的 man page。

   红帽建议保留默认路径，并为 SSSD 使用专用证书颁发机构证书文件来确保此处仅列出可信的证书颁发机构。

流程

1. 在使用智能卡验证的用户主目录中为 SSH 密钥创建新目录：

   # mkdir /home/<example_user>/.ssh

   Copy to Clipboard Toggle word wrap

2. 使用 opensc 库运行 ssh-keygen -D 命令以使用智能卡中的私钥检索现有公钥对，并将其添加到用户的 SSH 密钥目录的 authorized_keys 列表中，以便通过智能卡验证启用 SSH 访问。

   # ssh-keygen -D /usr/lib64/pkcs11/opensc-pkcs11.so >> ~<example_user>/.ssh/authorized_keys

   Copy to Clipboard Toggle word wrap

3. SSH 需要访问 /.ssh 目录和 authorized_keys 文件的适当配置。要设置或更改访问权限，请输入：

   # chown -R <example_user:example_user> ~<example_user>/.ssh/
   # chmod 700 ~<example_user>/.ssh/
   # chmod 600 ~<example_user>/.ssh/authorized_keys

   Copy to Clipboard Toggle word wrap

验证

1. 显示密钥：

   # cat ~<example_user>/.ssh/authorized_keys

   Copy to Clipboard Toggle word wrap

   终端会显示密钥。

流程

1. 创建一个证书映射配置文件，如 /etc/sssd/conf.d/sssd_certmap.conf。

2. 将证书映射规则添加到 sssd_certmap.conf 文件中：

   [certmap/shadowutils/otheruser]
   matchrule = <SUBJECT>.*CN=certificate_user.*<ISSUER>^CN=Example Test CA,OU=Example Test,O=EXAMPLE$

   Copy to Clipboard Toggle word wrap

   请注意，您必须在单独的部分中定义每个证书映射规则。定义每个部分，如下所示：

   [certmap/<DOMAIN_NAME>/<RULE_NAME>]

   Copy to Clipboard Toggle word wrap

   如果 SSSD 被配置为使用代理提供者来允许对本地用户而不是 AD、IPA 或 LDAP 进行智能卡验证，则 <RULE_NAME> 可以简单地是具有与 matchrule 中提供的数据匹配的卡的用户名。

流程

1. 创建名为 <sudorule_name> 的 sudo 规则，以允许用户运行命令。将 <sudorule_name> 替换为您要创建的 sudo 规则的实际名称。

   # ipa sudorule-add <sudorule_name>

   Copy to Clipboard Toggle word wrap

2. 添加 less 和 whoami 作为 sudo 命令：

   # ipa sudocmd-add /usr/bin/less
   # ipa sudocmd-add /usr/bin/whoami

   Copy to Clipboard Toggle word wrap

3. 将 less 和 whoami 命令添加到 <sudorule_name> 中：

   # ipa sudorule-add-allow-command <sudorule_name> --sudocmds /usr/bin/less
   # ipa sudorule-add-allow-command <sudorule_name> --sudocmds /usr/bin/whoami

   Copy to Clipboard Toggle word wrap

4. 将 <idm_user> 用户添加到 <sudorule_name> 中：

   # ipa sudorule-add-user <sudorule_name> --users <idm_user>

   Copy to Clipboard Toggle word wrap

5. 将在其上运行 sudo 的主机添加到 <sudorule_name> 中：

   # ipa sudorule-add-host <sudorule_name> --hosts server.ipa.test

   Copy to Clipboard Toggle word wrap

流程

1. 启动 SSH 代理（如果尚未运行）。

   # eval `ssh-agent`

   Copy to Clipboard Toggle word wrap

2. 将您的智能卡添加到 SSH 代理。提示时输入您的 PIN：

   # ssh-add -s /usr/lib64/opensc-pkcs11.so

   Copy to Clipboard Toggle word wrap

3. 使用启用了 ssh-agent 转发的 SSH 连接到需要远程运行 sudo 的系统。使用 -A 选项：

   # ssh -A ipauser1@server.ipa.test

   Copy to Clipboard Toggle word wrap

步骤

1. 使用 lsusb 命令，验证智能卡读取器是否在操作系统中看到：

   $ lsusb
   Bus 002 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub
   Bus 001 Device 003: ID 072f:b100 Advanced Card Systems, Ltd ACR39U
   Bus 001 Device 002: ID 0627:0001 Adomax Technology Co., Ltd
   Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub

   Copy to Clipboard Toggle word wrap

   有关 RHEL 中已测试的和支持的智能卡和读卡器的更多信息，请参阅 RHEL 10 中支持的智能卡。

2. 确保 pcscd 服务和套接字已启用并正在运行：

   $ systemctl status pcscd.service pcscd.socket
   
   ● pcscd.service - PC/SC Smart Card Daemon
         Loaded: loaded (/usr/lib/systemd/system/pcscd.service; indirect;
   vendor preset: disabled)
         Active: active (running) since Fri 2021-09-24 11:05:04 CEST; 2
   weeks 6 days ago
   TriggeredBy: ● pcscd.socket
           Docs: man:pcscd(8)
       Main PID: 3772184 (pcscd)
          Tasks: 12 (limit: 38201)
         Memory: 8.2M
            CPU: 1min 8.067s
         CGroup: /system.slice/pcscd.service
                 └─3772184 /usr/sbin/pcscd --foreground --auto-exit
   
   ● pcscd.socket - PC/SC Smart Card Daemon Activation Socket
         Loaded: loaded (/usr/lib/systemd/system/pcscd.socket; enabled;
   vendor preset: enabled)
         Active: active (running) since Fri 2021-09-24 11:05:04 CEST; 2
   weeks 6 days ago
       Triggers: ● pcscd.service
         Listen: /run/pcscd/pcscd.comm (Stream)
         CGroup: /system.slice/pcscd.socket

   Copy to Clipboard Toggle word wrap

3. 使用 p11-kit list-modules 命令，显示有关配置的智能卡和智能卡中的令牌的信息：

   $ p11-kit list-modules
   p11-kit-trust: p11-kit-trust.so
   [...]
   opensc: opensc-pkcs11.so
       library-description: OpenSC smartcard framework
       library-manufacturer: OpenSC Project
       library-version: 0.20
       token: MyEID (sctest)
           manufacturer: Aventra Ltd.
           model: PKCS#15
           serial-number: 8185043840990797
           firmware-version: 40.1
           flags:
                  rng
                  login-required
                  user-pin-initialized
                  token-initialized

   Copy to Clipboard Toggle word wrap

4. 验证您可以访问智能卡的内容：

   $ pkcs11-tool --list-objects --login
   Using slot 0 with a present token (0x0)
   Logging in to "MyEID (sctest)".
   Please enter User PIN:
   Private Key Object; RSA
     label:      Certificate
     ID:         01
     Usage:      sign
     Access:     sensitive
   Public Key Object; RSA 2048 bits
     label:      Public Key
     ID:         01
     Usage:      verify
     Access:     none
   Certificate Object; type = X.509 cert
     label:      Certificate
     subject:    DN: O=IDM.EXAMPLE.COM, CN=idmuser1
     ID:         01

   Copy to Clipboard Toggle word wrap

5. 使用 certutil 命令显示智能卡中的证书内容：

   1. 运行以下命令来确定证书的正确名称：

      $ certutil -d /etc/pki/nssdb -L -h all
      
      Certificate Nickname                                         Trust Attributes
                                                                   SSL,S/MIME,JAR/XPI
      
      Enter Password or Pin for "MyEID (sctest)":
      Smart Card CA 0f5019a8-7e65-46a1-afe5-8e17c256ae00           CT,C,C
      MyEID (sctest):Certificate                                   u,u,u

      Copy to Clipboard Toggle word wrap

   2. 在智能卡中显示证书内容：

      注意

      确保证书的名称是与上一步中显示的输出完全匹配，在本例中为 MyEID(sctest):Certificate。

      $ certutil -d /etc/pki/nssdb -L -n "MyEID (sctest):Certificate"
      
      Enter Password or Pin for "MyEID (sctest)":
      Certificate:
          Data:
              Version: 3 (0x2)
              Serial Number: 15 (0xf)
              Signature Algorithm: PKCS #1 SHA-256 With RSA Encryption
              Issuer: "CN=Certificate Authority,O=IDM.EXAMPLE.COM"
              Validity:
                  Not Before: Thu Sep 30 14:01:41 2021
                  Not After : Sun Oct 01 14:01:41 2023
              Subject: "CN=idmuser1,O=IDM.EXAMPLE.COM"
              Subject Public Key Info:
                  Public Key Algorithm: PKCS #1 RSA Encryption
                  RSA Public Key:
                      Modulus:
                          [...]
                      Exponent: 65537 (0x10001)
              Signed Extensions:
                  Name: Certificate Authority Key Identifier
                  Key ID:
                      e2:27:56:0d:2f:f5:f2:72:ce:de:37:20:44:8f:18:7f:
                      2f:56:f9:1a
      
                  Name: Authority Information Access
                  Method: PKIX Online Certificate Status Protocol
                  Location:
                      URI: "http://ipa-ca.idm.example.com/ca/ocsp"
      
                  Name: Certificate Key Usage
                  Critical: True
                  Usages: Digital Signature
                          Non-Repudiation
                          Key Encipherment
                          Data Encipherment
      
                  Name: Extended Key Usage
                      TLS Web Server Authentication Certificate
                      TLS Web Client Authentication Certificate
      
                  Name: CRL Distribution Points
                  Distribution point:
                      URI: "http://ipa-ca.idm.example.com/ipa/crl/MasterCRL.bin"
                      CRL issuer:
                          Directory Name: "CN=Certificate Authority,O=ipaca"
      
                  Name: Certificate Subject Key ID
                  Data:
                      43:23:9f:c1:cf:b1:9f:51:18:be:05:b5:44:dc:e6:ab:
                      be:07:1f:36
      
          Signature Algorithm: PKCS #1 SHA-256 With RSA Encryption
          Signature:
              [...]
          Fingerprint (SHA-256):
              6A:F9:64:F7:F2:A2:B5:04:88:27:6E:B8:53:3E:44:3E:F5:75:85:91:34:ED:48:A8:0D:F0:31:5D:7B:C9:E0:EC
          Fingerprint (SHA1):
              B4:9A:59:9F:1C:A8:5D:0E:C1:A2:41:EC:FD:43:E0:80:5F:63:DF:29
      
          Mozilla-CA-Policy: false (attribute missing)
          Certificate Trust Flags:
              SSL Flags:
                  User
              Email Flags:
                  User
              Object Signing Flags:
                  User

      Copy to Clipboard Toggle word wrap

步骤

1. 使用 su 验证您可以使用智能卡进行验证：

   $ su - idmuser1 -c ‘su - idmuser1 -c whoami'
   PIN for MyEID (sctest):
   idmuser1

   Copy to Clipboard Toggle word wrap

   如果没有提示输入智能卡 PIN，且返回一个密码提示或者返回授权错误，请检查 SSSD 日志。有关登录 SSSD 的信息，请参阅 对 IdM 中使用 SSSD 的身份验证进行故障排除 。以下是身份验证失败的示例：

   $ su - idmuser1 -c ‘su - idmuser1 -c whoami'
   PIN for MyEID (sctest):
   su: Authentication failure

   Copy to Clipboard Toggle word wrap

   如果 SSSD 日志指明了 krb5_child 的问题，类似于以下内容，则可能对您的 CA 证书有问题。要排除与证书相关的问题，请参阅 验证 IdM Kerberos KDC 可以使用 Pkinit 以及 CA 证书正确位于。

   [Pre-authentication failed: Failed to verify own certificate (depth 0): unable to get local issuer certificate: could not load the shared library]

   Copy to Clipboard Toggle word wrap

   如果 SSSD 日志表示来自 p11_child 或 krb5_child 的超时，您可能需要提高 SSSD 超时，并尝试使用智能卡再次进行身份验证。有关如何增加超时的详情，请参阅增加 SSSD 超时。

2. 验证您的 GDM 智能卡验证配置是否正确。应返回 PAM 验证的成功消息，如下所示：

   # sssctl user-checks -s gdm-smartcard "idmuser1" -a auth
   user: idmuser1
   action: auth
   service: gdm-smartcard
   
   SSSD nss user lookup result:
    - user name: idmuser1
    - user id: 603200210
    - group id: 603200210
    - gecos: idm user1
    - home directory: /home/idmuser1
    - shell: /bin/sh
   
   SSSD InfoPipe user lookup result:
    - name: idmuser1
    - uidNumber: 603200210
    - gidNumber: 603200210
    - gecos: idm user1
    - homeDirectory: /home/idmuser1
    - loginShell: /bin/sh
   
   testing pam_authenticate
   
   PIN for MyEID (sctest)
   pam_authenticate for user [idmuser1]: Success
   
   PAM Environment:
    - PKCS11_LOGIN_TOKEN_NAME=MyEID (sctest)
    - KRB5CCNAME=KCM:

   Copy to Clipboard Toggle word wrap

   如果身份验证错误（类似于以下内容）被返回，请检查 SSSD 日志尝试并确定导致这个问题的原因。有关登录 SSSD 的信息，请参阅 对 IdM 中使用 SSSD 的身份验证进行故障排除 。

   pam_authenticate for user [idmuser1]: Authentication failure
   
   PAM Environment:
    - no env -

   Copy to Clipboard Toggle word wrap

   如果 PAM 验证仍失败，请清除您的缓存并再次运行命令。

   # sssctl cache-remove
   SSSD must not be running. Stop SSSD now? (yes/no) [yes] yes
   Creating backup of local data…
   Removing cache files…
   SSSD needs to be running. Start SSSD now? (yes/no) [yes] yes

   Copy to Clipboard Toggle word wrap

步骤

1. 运行 kinit 工具，以 idmuser1 使用保存在智能卡中的证书进行验证：

   $ kinit -X X509_user_identity=PKCS11: idmuser1
   MyEID (sctest)                   PIN:

   Copy to Clipboard Toggle word wrap
2. 输入您的智能卡 PIN。如果没有提示输入 PIN，请检查您是否可检测智能卡读取器并显示智能卡的内容。请参阅链接：https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/10/html/managing_smart_card_authentication/troubleshooting-authentication-with-smart-cards#testing-smart-card-access-on-the-system

3. 如果您的 PIN 被接受，系统会提示您输入密码，可能会缺少您的 CA 签名证书。

   1. 使用 openssl 命令，验证默认证书捆绑包文件中列出的 CA 链：

      $ openssl crl2pkcs7 -nocrl -certfile /var/lib/ipa-client/pki/ca-bundle.pem | openssl pkcs7 -print_certs -noout
      subject=O = IDM.EXAMPLE.COM, CN = Certificate Authority
      
      issuer=O = IDM.EXAMPLE.COM, CN = Certificate Authority

      Copy to Clipboard Toggle word wrap

   2. 验证您的证书的有效性：

      1. 查找 idmuser1 的用户身份验证证书 ID：

         $ pkcs11-tool --list-objects --login
         [...]
         Certificate Object; type = X.509 cert
           label:      Certificate
           subject:    DN: O=IDM.EXAMPLE.COM, CN=idmuser1
          ID: 01

         Copy to Clipboard Toggle word wrap

      2. 从智能卡以 DER 格式读取用户证书信息：

         $ pkcs11-tool --read-object --id 01 --type cert --output-file cert.der
         Using slot 0 with a present token (0x0)

         Copy to Clipboard Toggle word wrap

      3. 将 DER 证书转换为 PEM 格式：

         $ openssl x509 -in cert.der -inform DER -out cert.pem -outform PEM

         Copy to Clipboard Toggle word wrap

      4. 验证证书是否有有效的签发者签名到 CA：

         $ openssl verify -CAfile /var/lib/ipa-client/pki/ca-bundle.pem <path>/cert.pem
         cert.pem: OK

         Copy to Clipboard Toggle word wrap

4. 如果您的智能卡包含多个证书，kinit 可能无法选择正确的证书进行验证。在这种情况下，您需要使用 certid=<ID> 选项将证书 ID 指定为 kinit 命令的参数。

   1. 检查保存在智能卡中的证书数量，并获取您要使用的证书 ID：

      $ pkcs11-tool --list-objects --type cert --login
      Using slot 0 with a present token (0x0)
      Logging in to "MyEID (sctest)".
      Please enter User PIN:
      Certificate Object; type = X.509 cert
        label:      Certificate
        subject:    DN: O=IDM.EXAMPLE.COM, CN=idmuser1
        ID:         01
      Certificate Object; type = X.509 cert
        label:      Second certificate
        subject:    DN: O=IDM.EXAMPLE.COM, CN=ipauser1
        ID:         02

      Copy to Clipboard Toggle word wrap

   2. 使用证书 ID 01 运行 kinit ：

      $ kinit -X kinit -X X509_user_identity=PKCS11:certid=01 idmuser1
      MyEID (sctest)                   PIN:

      Copy to Clipboard Toggle word wrap

5. 运行 klist 查看 Kerberos 凭证缓存的内容：

   $ klist
   Ticket cache: KCM:0:11485
   Default principal: idmuser1@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/04/2021 10:50:04  10/05/2021 10:49:55  krbtgt/EXAMPLE.COM@EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

6. 完成后销毁您的活跃 Kerberos 票据：

   $ kdestroy -A

   Copy to Clipboard Toggle word wrap

步骤

1. 在 IdM 客户端中打开 sssd.conf 文件：

   # vim /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

2. 在您的 domain 部分中，如 [domain/idm.example.com]，添加以下选项：

   krb5_auth_timeout = 60

   Copy to Clipboard Toggle word wrap

3. 在 [pam] 部分中，添加以下内容：

   p11_child_timeout = 60

   Copy to Clipboard Toggle word wrap

4. 清除 SSSD 缓存：

   # sssctl cache-remove
   SSSD must not be running. Stop SSSD now? (yes/no) [yes] yes
   Creating backup of local data…
   Removing cache files…
   SSSD needs to be running. Start SSSD now? (yes/no) [yes] yes

   Copy to Clipboard Toggle word wrap

   增加超时后，请尝试使用智能卡再次进行身份验证。如需了解更多详细信息，请参阅测试智能卡验证。