在 RHEL web 控制台中管理系统

流程

1. 如果在安装变体中没有默认安装 Web 控制台，请手动安装 cockpit 软件包：

   # dnf install cockpit

2. 启用并启动 cockpit.socket 服务，该服务运行一个 Web 服务器：

   # systemctl enable --now cockpit.socket

3. 如果在安装变体中没有默认安装 Web 控制台，且您使用自定义防火墙配置集，请将 cockpit 服务添加到 firewalld 中，以在防火墙中打开端口 9090：

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

流程

1. 在网页浏览器中输入以下地址来访问 Web 控制台：

   https://localhost:9090

   注意

   这在本地计算机上提供了 web 控制台登录。如果要登录到远程系统的 web 控制台，请参阅 从远程机器连接到 web 控制台 部分。

   如果您使用自签名证书，浏览器会显示一个警告。检查证书，并接受安全例外以进行登录。

   控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 在登录屏幕中输入您的系统用户名和密码。

3. 点 Log In。

   成功验证后，会打开 RHEL web 控制台界面。

流程

1. 在您首选的文本编辑器中，在 /etc/cockpit/ 目录中打开或创建 cockpit.conf 文件，例如：

   # vi cockpit.conf

2. 添加以下文本：

   [basic]
   action = none

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

流程

1. 打开浏览器。

2. 使用以下格式输入远程服务器地址：

   1. 使用服务器主机名：

      https://<server.hostname.example.com>:<port-number>

      例如：

      https://example.com:9090

   2. 使用服务器的 IP 地址：

      https://<server.IP_address>:<port-number>

      例如：

      https://192.0.2.2:9090

3. 登录界面打开后，使用 RHEL 系统凭证登录。

流程

1. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 disallowed-users 文件，例如：

   # vi /etc/cockpit/disallowed-users

2. 编辑文件并删除 root 用户的行：

   # List of users which are not allowed to login to Cockpit root
    

3. 保存更改并退出编辑器。

流程

1. 在浏览器中打开 RHEL web 控制台：

   • 本地：https://localhost:9090
   • 远程，使用服务器主机名：https://example.com:9090

   • 远程，使用服务器 IP 地址：https://EXAMPLE.SERVER.IP.ADDR:9090

     如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。

     控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 登录窗口将打开。在登录窗口中输入您的系统用户名和密码。
3. 在您的设备中生成一次性密码。
4. 在确认密码后，在 web 控制台界面中显示的新字段中输入一次性密码。
5. 点登录。
6. 成功登录会进入 web 控制台界面的 Overview 页面。

流程

1. 在您首选的文本编辑器中打开 /etc/issue.cockpit 文件：

   # vi /etc/issue.cockpit

2. 将您要显示的内容作为横幅添加到文件中，例如：

   This is an example banner for the RHEL web console login page.

   您不能在文件中包含任何宏，但您可以使用换行符和 ASCII 工件。

3. 保存该文件。

4. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   # vi /etc/cockpit/cockpit.conf

5. 在文件中添加以下文本：

   [Session]
   Banner=/etc/issue.cockpit

6. 保存该文件。

7. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

流程

1. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   # vi /etc/cockpit/cockpit.conf

2. 在文件中添加以下文本：

   [Session]
   IdleTimeout=<X>

   将 <X> 替换为您选择的时间段（以分钟为单位）。

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

流程

1. 选择一个未占用的端口，例如 <4488/tcp>，并指示 SELinux 允许 cockpit 服务绑定到该端口：

   # semanage port -a -t websm_port_t -p tcp <4488>

   请注意，一个端口一次只能由一个服务使用，因此尝试使用已占用的端口会出现 ValueError: Port already defined 错误消息。

2. 打开新端口，并在防火墙中关闭之前的端口：

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

3. 为 cockpit.socket 服务创建一个覆盖文件：

   # systemctl edit cockpit.socket

4. 在以下编辑器屏幕中，其打开了 /etc/systemd/system/cockpit.socket.d/ 目录中的一个空 override.conf 文件，通过添加以下行，将 web 控制台的默认端口从 9090 改为之前选择的号：

   [Socket]
   ListenStream=
   ListenStream=<4488>

   请注意，第一个具有空值的 ListenStream= 指令是故意的。您可以在单个套接字单元中声明多个 ListenStream 指令，插入文件中的空值会重置列表，并从原始单元中禁用默认端口 9090。

   重要

   在以 # Anything between here 和 # Lines below this 开头的行之间插入之前的代码段。否则，系统会丢弃您的更改。

5. 保存更改，退出编辑器。

6. 重新载入更改的配置：

   # systemctl daemon-reload

7. 检查您的配置是否正常工作：

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

8. 重启 cockpit.socket ：

   # systemctl restart cockpit.socket

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_port: 9090
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   示例 playbook 中指定的设置包括如下：

   cockpit_manage_selinux: true

   允许使用 selinux 系统角色配置 SELinux，以对 websm_port_t SELinux 类型设置正确的端口权限。

   cockpit_manage_firewall: true

   允许 cockpit 系统角色使用 firewalld 系统角色添加端口。

   cockpit_certificates: <YAML_dictionary>

   默认情况下，RHEL web 控制台使用自签名证书。或者，您可以将 cockpit_certificates 变量添加到 playbook 中，并将角色配置为从 IdM 证书颁发机构(CA)请求证书，或使用受管节点上的提供的现有的证书和私钥。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

1. 在 Web 控制台中，点 Applications，并使用可用和已安装的应用程序列表中的 Install 按钮。

   

2. 在终端中，使用 dnf install 命令：

   # dnf install <add-on>

   在上一命令中，将 <add-on> 替换为 RHEL web 控制台的可用附加组件应用程序列表中的一个软件包名称。

流程

1. 在您选择的文本编辑器中覆盖 <systemd>.override.json 文件中的清单设置，例如：

   1. 要为所有用户进行编辑，请输入：

      # vi /etc/cockpit/<systemd>.override.json

   2. 要为单个用户进行编辑，请输入：

      # vi ~/.config/cockpit/<systemd>.override.json

2. 使用以下详情编辑所需的文件：

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   • null 值隐藏了 services 选项卡
   • -1 值将 logs 选项卡移到第一个位置。

3. 重启 cockpit 服务：

   # systemctl restart cockpit.service

流程

1. 登录到 RHEL 10 web 控制台。

2. 在 Overview 页面中的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 进入到具有您订阅信息的页面。

   

3. 在 Overview 字段中，点 Register。
4. 在 Register system 对话框中，选择 Account ，以使用您的帐户凭证进行注册。
5. 输入您的用户名。
6. 输入您的密码。

7. 可选：输入您的机构名称或 ID。

   如果您的帐户属于红帽客户门户网站中的多个机构，您必须添加机构名称或机构 ID。要获得机构 ID，请联系您的红帽联系人。

   • 如果您不想将您的系统连接到 Red Hat Lightspeed，请清除 Insights 复选框。
8. 点 Register。

流程

1. 登录到 RHEL 10 web 控制台。

2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入到订阅信息页面。

   .

3. 在 Overview 文件中，点 Register。
4. 在 Register system 对话框中，选择 Activation key ，以使用激活码进行注册。
5. 输入您的密钥或密钥。

6. 输入您的机构名称或 ID。

   要获得机构 ID，请联系您的红帽联系点。

   • 如果您不想将您的系统连接到 Red Hat Lightspeed，请清除 Insights 复选框。
7. 点 Register。

流程

1. 打开 Web 控制台登录页面。
2. 在 User name 字段中指定远程主机上的用户名。
3. 单击 Other options 以显示 Connect to 文本字段。

4. 在 Connect to 文本字段中，指定要使用 SSH 连接到的远程主机。如果没有指定任何端口，Web 控制台会尝试连接到指定远程主机上的端口 22。

   
5. 点 Log in。

流程

1. 在终端中，使用您首选的文本编辑器，在 /etc/cockpit/ 目录中打开或创建 cockpit.conf 文件。

2. 添加以下文本：

   [WebService]
   AllowMultiHost=yes

   警告

   主机切换器已弃用并默认禁用。由于 Web 技术的限制，此功能不安全。如果您连接到不受信任的主机，则不要启用主机切换器，因为所有连接的系统可以对连接的其余部分进行任意更改。作为更安全的替代选择，您可以使用 web 控制台登录页面，在 Web 浏览器会话或 Cockpit Client Flatpak 中有一个主机的安全限制。

3. 保存该文件。

4. 重启 Web 控制台，以确保更改生效。

   # systemctl try-restart cockpit

5. 在 RHEL web 控制台中，点 Overview 页面左上角的 <username>@<hostname>。

   

6. 在下拉菜单中，单击 Add new host。
7. 在 Add new host 对话框中，指定要添加的主机。

8. 可选：为您要连接的帐户添加用户名。

   您可以使用远程系统的任意用户帐户。但是，如果您使用没有管理特权的用户凭证，则无法执行管理任务。

   如果您使用与本地系统上相同的凭证，Web 控制台会在您每次登录时都自动验证远程系统。

   重要

   Web 控制台不保存用来登录到远程系统的密码。

9. 可选：点击 Color 字段更改系统颜色。
10. 点Add。

流程

1. 登录到 RHEL 10 web 控制台。

2. 在 RHEL web 控制台中，点 Overview 页面左上角的 <username>@<hostname>。

   
3. 在下拉菜单中，单击 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。如果您第一次连接到主机，您必须单击以下对话框中的 Trust and add new host。

5. 密码对话框因主机上 SSH 密钥文件的存在而有所不同：

   1. 如果您已有主机的 SSH 密钥，请选择 Authorize SSH key 选项。
   2. 如果您没有 SSH 密钥，请选择 Create a new SSH key and authorize it 选项。Web 控制台创建密钥。
6. 添加并确认 SSH 密钥的密码。
7. 点登录。

验证

1. 注销。
2. 重新登录。
3. 在 Not connected to host 屏幕中点 Log in。
4. 选择 SSH 密钥 作为您的身份验证选项。
5. 输入您的密钥密码。
6. 点登录。

流程

1. 在 Terminal 页面中，验证 web 控制台是否已在用户会话中创建了一个 User to Proxy (S4U2proxy) Kerberos 票据：

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 创建委派规则可以访问的目标主机的列表：

   1. 创建服务委托目标：

      $ ipa servicedelegationtarget-add cockpit-target

   2. 将目标主机添加到委派目标：

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

3. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，来允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      $ ipa servicedelegationrule-add cockpit-delegation

   2. 将 Web 控制台客户端添加到委派规则中：

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 将委派目标添加到委派规则中：

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

4. 在 remote.idm.example.com 主机上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 将 GSSAPIAuthentication yes 行添加到 /etc/ssh/sshd_config 文件中。

5. 在 remote.idm.example.com 上重启 sshd 服务，以使更改立即生效：

   $ systemctl try-restart sshd.service

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 将敏感变量存储在加密的文件中：

   1. 创建 vault ：

      $ ansible-vault create secret.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. 在 ansible-vault create 命令打开编辑器后，以 <key>: <value> 格式输入敏感数据：

      ipaadmin_password: <admin_password>

   3. 保存更改，并关闭编辑器。Ansible 加密 vault 中的数据。

3. 在 Terminal 页面中，验证 web 控制台是否已在用户会话中创建了一个 User to Proxy (S4U2proxy) Kerberos 票据：

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

4. 创建包含以下内容的 web-console-smart-card-ssh.yml playbook：

   1. 创建确保存在委派目标的任务：

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 添加将目标主机添加到委派目标的任务：

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 添加一个任务来确保存在委派规则：

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. 添加一项任务，该任务确保 Web 控制台客户端服务的 Kerberos 主体是受限委派规则的成员：

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 添加一个任务，以确保 delegation 规则与 web-console-delegation-target 委派目标关联：

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

   6. 添加一个任务，其在 remote.idm.example.com 上启用 Kerberos 身份验证：

        - name: Enable Kerberos authentication
          hosts: remote.idm.example.com
          vars:
            sshd_config:
              GSSAPIAuthentication: true
          roles:
            - role: rhel-system-roles.sshd

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件，存储保护 secret.yml 文件的密码的文件，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

流程

1. 登录到 RHEL 10 web 控制台。
2. 在 Overview 选项卡的 Configuration 字段中点 Join Domain。
3. 在 Join a Domain 对话框中，在 Domain Address 字段中输入 IdM 服务器的主机名。
4. 在 Domain administrator name 字段中，输入 IdM 管理帐户的用户名。
5. 在域 Domain administrator password 中添加密码。
6. 点 Join。

验证

1. 如果 RHEL 10 web 控制台没有显示错误，则系统加入到 IdM 域，您可以在 System 屏幕中看到域名。

2. 要验证该用户是否为域的成员，请点击 Terminal 页面并输入 id 命令：

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Terminal。

3. 在 /etc/cockpit/cockpit.conf 中，将 ClientCertAuthentication 设置为 yes ：

   [WebService]
   ClientCertAuthentication = yes

4. 可选：使用以下内容在 cockpit.conf 中禁用基于密码的身份验证：

   [Basic]
   action = none

   这个配置禁用了密码验证，且必须总是使用智能卡。

5. 重启 Web 控制台，以确保 cockpit.service 接受更改：

   # systemctl restart cockpit

流程

1. 登录到 RHEL 10 web 控制台。

   浏览器要求您添加 PIN 保护保存在智能卡中的证书。

2. 在 Password Required 对话框中，输入 PIN 并点 OK。
3. 在 User Identification Request 对话框中，选择保存在智能卡中的证书。

4. 选择 Remember this decision。

   系统下次打开这个窗口。

   注意

   此步骤不适用于 Google Chrome 用户。

5. 点击 OK。

   您现在已连接，Web 控制台会显示其内容。

流程

1. 设置约束委派规则，以列出托管票据可以访问哪些主机。

   • 创建以下示例委派：

     • 输入以下命令添加特定规则可以访问的目标机器列表：

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • 要启用 Web 控制台会话(HTTP/principal)来访问该主机列表，请使用以下命令：

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 在对应服务中启用 GSS 身份验证：

   1. 对于 sudo，在 /etc/sssd/sssd.conf 文件中启用 pam_sss_gss 模块：

      1. 以 root 用户身份，将域的条目添加到 /etc/sssd/sssd.conf 配置文件中。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. 在第一行启用 /etc/pam.d/sudo 文件中的模块。

         auth sufficient pam_sss_gss.so

   2. 对于 SSH，将 /etc/ssh/sshd_config 文件中的 GSSAPIAuthentication 选项更新为 yes。

      警告

      从 Web 控制台连接到远程 SSH 主机时，委派的 S4U 票据不会被转发到远程 SSH 主机。使用您的票据在远程主机上向 sudo 进行身份验证将无法正常工作。

验证

1. 使用智能卡登录到 web 控制台。
2. 点 Limited access 按钮。
3. 使用您的智能卡进行验证。
4. 或者：尝试使用 SSH 连接到其他主机。

流程

1. 在终端中，打开 system-cockpithttps.slice 配置文件：

   # systemctl edit system-cockpithttps.slice

2. 将 TasksMax 限制为 100，将 CPUQuota 限制为 30% ：

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

3. 要应用这些更改，请重启系统：

   # systemctl daemon-reload
   # systemctl stop cockpit