11.3. 在 IdM CLI 中为存储在 IdM 中的用户添加证书映射规则

流程

1. 获得管理员凭证：

   # kinit admin

2. 输入映射规则以及映射规则所基于的匹配规则。例如，要让 IdM 搜索所呈现的任何证书中的 发行者和 Subject 条目，并基于所显示证书的两个条目中找到的信息进行身份验证，仅识别由 EXAMPLE.ORG 机构的 智能卡 CA 发布的证书：

   # ipa certmaprule-add rule_name --matchrule '<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG' --maprule '(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})'

   -------------------------------------------------------
   Added Certificate Identity Mapping Rule "rule_name"
   -------------------------------------------------------
     Rule name: rule_name
     Mapping rule: (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})
     Matching rule: <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG
     Enabled: TRUE

3. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，重启 SSSD：

   # systemctl restart sssd

   现在，您设置了证书映射规则，可将在智能卡证书中找到的映射规则中指定的数据类型与 IdM 用户条目中的证书映射数据进行比较。找到匹配项后，它将对匹配的用户进行身份验证。