52.4. 配置 Web 控制台，以允许使用智能卡进行身份验证的用户运行 sudo，而无需要求再次进行身份验证

流程

1. 创建可以通过委派规则访问的目标主机列表：

   1. 创建服务委托目标：

      $ ipa servicedelegationtarget-add cockpit-target

      Copy to Clipboard

   2. 将目标主机添加到委派目标：

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/myhost.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard

2. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      $ ipa servicedelegationrule-add cockpit-delegation

      Copy to Clipboard

   2. 将 Web 控制台服务添加到委派规则中：

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard

   3. 将委派目标添加到委派规则中：

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

      Copy to Clipboard

3. 启用 pam_sss_gss，用来通过通用安全服务应用程序接口(GSSAPI)与系统安全服务守护进程(SSSD)合作来验证用户的 PAM 模块：

   1. 打开 /etc/sssd/sssd.conf 文件进行编辑。

   2. 指定 pam_sss_gss 可以为 IdM 域中的 sudo 和 sudo -i 命令提供身份验证：

      [domain/idm.example.com]
      pam_gssapi_services = sudo, sudo-i

      Copy to Clipboard
   3. 保存并退出文件。
   4. 打开 /etc/pam.d/sudo 文件进行编辑。

   5. 将以下行插入到 #%PAM-1.0 列表的顶部以允许但不要求 sudo 命令的 GSSAPI 身份验证：

      auth sufficient pam_sss_gss.so

      Copy to Clipboard
   6. 保存并退出文件。

4. 重启 SSSD 服务，以便上述更改立即生效：

   $ systemctl restart sssd

   Copy to Clipboard