使用 RHEL 8 web 控制台管理系统

流程

1. 如果在安装变体中没有默认安装 Web 控制台，请手动安装 cockpit 软件包：

   Copy to Clipboard Toggle word wrap

   # yum install cockpit

2. 启用并启动 cockpit.socket 服务，该服务运行一个 Web 服务器：

   Copy to Clipboard Toggle word wrap

   # systemctl enable --now cockpit.socket

3. 如果在安装变体中没有默认安装 Web 控制台，且您使用自定义防火墙配置集，请将 cockpit 服务添加到 firewalld 中，以在防火墙中打开端口 9090：

   Copy to Clipboard Toggle word wrap

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

流程

1. 在网页浏览器中输入以下地址来访问 Web 控制台：

   Copy to Clipboard Toggle word wrap

   https://localhost:9090

   注意

   这在本地计算机上提供了 web 控制台登录。如果要登录到远程系统的 Web 控制台，请参阅 第 1.5 节 “从远程机器连接至 web 控制台”

   如果您使用自签名证书，浏览器会显示一个警告。检查证书，并接受安全例外以进行登录。

   控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 在登录屏幕中输入您的系统用户名和密码。
3. 点 Log In。

流程

1. 在您首选的文本编辑器中，在 /etc/cockpit/ 目录中打开或创建 cockpit.conf 文件，例如：

   Copy to Clipboard Toggle word wrap

   # vi cockpit.conf

2. 添加以下文本：

   Copy to Clipboard Toggle word wrap

   [basic]
   action = none

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   Copy to Clipboard Toggle word wrap

   # systemctl try-restart cockpit

流程

1. 打开浏览器。

2. 使用以下格式输入远程服务器地址：

   1. 使用服务器主机名：

      Copy to Clipboard Toggle word wrap

      https://<server.hostname.example.com>:<port-number>

      例如：

      Copy to Clipboard Toggle word wrap

      https://example.com:9090

   2. 使用服务器的 IP 地址：

      Copy to Clipboard Toggle word wrap

      https://<server.IP_address>:<port-number>

      例如：

      Copy to Clipboard Toggle word wrap

      https://192.0.2.2:9090

3. 登录界面打开后，使用 RHEL 系统凭证登录。

流程

1. 在浏览器中打开 RHEL web 控制台：

   • 本地：https://localhost:PORT_NUMBER
   • 远程使用服务器主机名： https://example.com:PORT_NUMBER

   • 远程使用服务器 IP 地址： https://EXAMPLE.SERVER.IP.ADDR:PORT_NUMBER

     如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。

     控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 登录窗口将打开。在登录窗口中输入您的系统用户名和密码。
3. 在您的设备中生成一次性密码。
4. 在确认您的密码后，在 web 控制台界面中出现的新字段输入一次性密码。
5. 点登录。
6. 成功登录会进入 web 控制台界面的 Overview 页面。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 选项卡的 Configuration 字段中点 Join Domain。
3. 在 Join a Domain 对话框的 Domain Address 字段中输入 IdM 服务器的主机名。
4. 在 Domain administrator name 字段中输入 IdM 管理帐户的用户名。
5. 在域 管理员密码 中，添加密码。
6. 点 Join。

验证

1. 如果 RHEL 8 web 控制台没有显示错误，该系统就被加入到 IdM 域，您可以在 系统 屏幕中看到域名。

2. 要验证该用户是否为域的成员，点 Terminal 页面并输入 id 命令：

   Copy to Clipboard Toggle word wrap

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

流程

1. 在您首选的文本编辑器中打开 /etc/issue.cockpit 文件：

   Copy to Clipboard Toggle word wrap

   # vi /etc/issue.cockpit

2. 将您要显示的内容作为横幅添加到文件中，例如：

   Copy to Clipboard Toggle word wrap

   This is an example banner for the RHEL web console login page.

   您不能在文件中包含任何宏，但您可以使用换行符和 ASCII 工件。

3. 保存该文件。

4. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   Copy to Clipboard Toggle word wrap

   # vi /etc/cockpit/cockpit.conf

5. 在文件中添加以下文本：

   Copy to Clipboard Toggle word wrap

   [Session]
   Banner=/etc/issue.cockpit

6. 保存该文件。

7. 重启 Web 控制台以使更改生效。

   Copy to Clipboard Toggle word wrap

   # systemctl try-restart cockpit

流程

1. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   Copy to Clipboard Toggle word wrap

   # vi /etc/cockpit/cockpit.conf

2. 在文件中添加以下文本：

   Copy to Clipboard Toggle word wrap

   [Session]
   IdleTimeout=<X>

   将 <X> 替换为您选择的时间段（以分钟为单位）。

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   Copy to Clipboard Toggle word wrap

   # systemctl try-restart cockpit

流程

1. 选择一个未占用的端口，例如 < 4488/tcp& gt;，并指示 SELinux 允许 cockpit 服务绑定到该端口：

   Copy to Clipboard Toggle word wrap

   # semanage port -a -t websm_port_t -p tcp <4488>

   请注意，一个端口一次只能由一个服务使用，因此尝试使用已占用的端口会出现 ValueError: Port already defined 错误消息。

2. 打开新端口并关闭防火墙中的前一个端口：

   Copy to Clipboard Toggle word wrap

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

3. 为 cockpit.socket 服务创建一个覆盖文件：

   Copy to Clipboard Toggle word wrap

   # systemctl edit cockpit.socket

4. 在以下编辑器屏幕中，其打开了位于 /etc/systemd/system/cockpit.socket.d/ 目录中的一个空 override.conf 文件，通过添加以下行将 web 控制台的默认端口从 9090 改为之前选择的号码：

   Copy to Clipboard Toggle word wrap

   [Socket]
   ListenStream=
   ListenStream=<4488>

   请注意，第一个带有空值的 ListenStream= 指令是有意进行的。您可以在单个套接字单元中声明多个 ListenStream 指令，并且 drop-in 文件中的空值会重置列表，并从原始单元禁用默认端口 9090。

   重要

   在以 # anything 开头的行之间插入前面的代码片段，在此和 以下的 # Lines 之间插入。否则，系统会丢弃您的更改。

5. 按 Ctrl+O 和 Enter 保存更改。按 Ctrl+X 退出编辑器。

6. 重新载入更改的配置：

   Copy to Clipboard Toggle word wrap

   # systemctl daemon-reload

7. 检查您的配置是否正常工作：

   Copy to Clipboard Toggle word wrap

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

8. 重启 cockpit.socket ：

   Copy to Clipboard Toggle word wrap

   # systemctl restart cockpit.socket

流程

1. 创建包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   Copy to Clipboard Toggle word wrap

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   示例 playbook 中指定的设置包括以下内容：

   cockpit_manage_selinux: true

   允许使用 selinux 系统角色配置 SELinux，以在 websm_port_t SELinux 类型上设置正确的端口权限。

   cockpit_manage_firewall: true

   允许 cockpit 系统角色使用 firewalld 系统角色来添加端口。

   cockpit_certificates: <YAML_dictionary>

   默认情况下，RHEL web 控制台使用自签名证书。或者，您可以将 cockpit_certificates 变量添加到 playbook 中，并将角色配置为从 IdM 证书颁发机构(CA)请求证书，或使用受管节点上的现有证书和私钥。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md 文件。

2. 验证 playbook 语法：

   Copy to Clipboard Toggle word wrap

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   Copy to Clipboard Toggle word wrap

   $ ansible-playbook ~/playbook.yml

流程

1. 在您选择的文本编辑器中覆盖 <systemd>.override.json 文件中的清单设置，例如：

   1. 要为所有用户进行编辑，请输入：

      Copy to Clipboard Toggle word wrap

      # vi /etc/cockpit/<systemd>.override.json

   2. 要为单个用户进行编辑，请输入：

      Copy to Clipboard Toggle word wrap

      # vi ~/.config/cockpit/<systemd>.override.json

2. 使用以下详情编辑所需的文件：

   Copy to Clipboard Toggle word wrap

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   • null 值隐藏了 services 选项卡
   • -1 值将 logs 选项卡移到第一个位置。

3. 重启 cockpit 服务：

   Copy to Clipboard Toggle word wrap

   # systemctl restart cockpit.service

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。

   可用更新列表会在 24 小时后自动刷新。要触发刷新，请点 Check for Updates 按钮。

3. 应用更新。您可以在更新运行时监控更新日志。

   1. 要安装所有可用更新，请点安装所有更新按钮。
   2. 如果您有可用的安全更新，请点击安装安全更新按钮单独安装它们。
   3. 如果您有 kpatch 更新可用，请点 Install kpatch updates 按钮单独安装它们。

4. 可选：您可以选择 Reboot after completion 来自动重启您的系统。

   如果执行此步骤，您可以跳过这个过程的剩余步骤。

5. 在系统应用更新后，您会看到重启系统的建议。如果更新包括了一个您不想单独重启的新内核或系统服务，请重启系统。

6. 点 Ignore 以取消重启，或选择 Restart Now 重启系统。

   系统重启后，登录到 web 控制台并进入 Software Updates 页面，以验证更新是否成功。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。
3. 在 Settings 表中，点 Edit 按钮。
4. 挑选一种自动更新类型。您可以选择 Security updates only 或 All updates。
5. 要修改自动更新的日期，在下拉菜单中点 every day 并选择特定日期。
6. 要修改自动更新的时间，请点击 6:00 字段并选择或输入特定时间。
7. 如果要禁用自动软件更新，请选择 No update 类型。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。
3. 对您的系统应用更新。
4. 成功更新后，点 Reboot system…​, Restart services…​, 或 Ignore

5. 如果您决定忽略，您可以通过执行以下操作之一来返回到重启或重启菜单：

   1. 重新引导：

      1. 点 Software Updates 页面的 Status 字段中的 Reboot system 按钮。
      2. 可选：将消息写入登录的用户。
      3. 从 Delay 下拉菜单中选择一个延迟。
      4. 点重启。

   2. 重启服务：

      1. 点 Software Updates 页面的 Status 字段中的 Restart services 按钮。

         您将看到需要重启的所有服务的列表。

      2. 点 重启服务。

         根据您的选择，系统将重新启动，或者您的服务将重启。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。

3. 检查内核补丁设置的状态。

   1. 如果没有安装补丁，点 Install。

      

   2. 要启用内核补丁，请点击 启用。

      

   3. 选中应用内核补丁的复选框。

   4. 选择您要为当前和将来的内核或当前内核应用补丁。如果您决定为将来的内核应用补丁，系统还会为即将推出的内核版本应用补丁。

      

   5. 点应用。

流程

1. 在浏览器中打开 https://<ip_address_or_hostname>:9090，并登录到 web 控制台。
2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入页面。
3. 在 Overview 字段中，点 Register。

4. 在 注册系统 对话框中，选择注册方法。

   可选：输入您的机构名称或 ID。如果您的帐户属于红帽客户门户网站中的多个机构，您必须添加机构名称或 ID。要获得机构 ID，请在红帽与您的大客户经理联系。

5. 如果您不想将您的系统连接到 Red Hat Insights，请清除 Insights 复选框。
6. 点 Register。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入带有您的订阅信息的页面。

   .

3. 在 Overview 文件中，点 Register。

4. 在 Register system 对话框中，选择 Activation key 以使用激活码进行注册。

   

5. 输入您的密钥或密钥。

6. 输入您的机构名称或 ID。

   要获得机构 ID，请联系您的红帽联系点。

   • 如果您不想将您的系统连接到 Red Hat Insights，请取消选中 Insights 复选框。
7. 点 Register。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 RHEL 8 web 控制台中，点 Overview 页面左上角的 & lt;username&gt; @ <hostname >。

   

3. 从下拉菜单中选择 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。

5. 可选：为您要连接的帐户添加用户名。

   您可以使用远程系统的任意用户帐户。但是，如果您使用没有管理特权的用户凭证，则无法执行管理任务。

   如果您使用与本地系统相同的凭证，Web 控制台会在您登录时都自动验证远程系统。请注意，在更多系统中使用相同的凭证会降低安全性。

6. 可选：点击 Color 字段更改系统颜色。
7. 点Add。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 RHEL 8 web 控制台中，点 Overview 页面左上角的 & lt;username&gt; @ <hostname >。

   

3. 从下拉菜单中选择 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。

5. 为要连接的帐户添加用户名。

   您可以使用远程系统的任意用户帐户。但是，如果您使用没有管理特权的用户帐户，则无法执行管理任务。

6. 可选：点击 Color 字段更改系统颜色。

7. 点Add。

   此时会出现一个新对话框窗口，要求输入密码。

8. 输入用户帐户密码。

9. 如果您已有一个 SSH 密钥，请选择 Authorize SSH key。

   

10. 如果您没有 SSH 密钥，选择 Create a new SSH key and authorize it。Web 控制台创建密钥。

    

    1. 为 SSH 密钥添加密码。
    2. 确认密码。
11. 点登录。

验证

1. 注销。
2. 重新登录。
3. 在 Not connected to host 屏幕中点 Log in。

4. 选择 SSH 密钥 作为您的身份验证选项。

   
5. 输入您的密钥密码。
6. 点登录。

流程

1. 创建委派规则可访问的目标主机列表：

   1. 创建服务委托目标：

      Copy to Clipboard Toggle word wrap

      $ ipa servicedelegationtarget-add cockpit-target

   2. 将目标主机添加到委派目标：

      Copy to Clipboard Toggle word wrap

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

2. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      Copy to Clipboard Toggle word wrap

      $ ipa servicedelegationrule-add cockpit-delegation

   2. 将 Web 控制台客户端添加到委派规则中：

      Copy to Clipboard Toggle word wrap

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 将委派目标添加到委派规则中：

      Copy to Clipboard Toggle word wrap

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

3. 在 remote.idm.example.com 主机上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 打开 /etc/ssh/sshd_config 文件进行编辑。
   3. 通过取消注释 GSSAPIAuthentication no 行，并将它替换为 GSSAPIAuthentication yes 来启用 GSSAPIAuthentication。

4. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   Copy to Clipboard Toggle word wrap

   $ systemctl try-restart sshd.service

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   Copy to Clipboard Toggle word wrap

   $ cd ~/MyPlaybooks/

2. 创建包含以下内容的 web-console-smart-card-ssh.yml playbook：

   1. 创建确保存在委派目标的任务：

      Copy to Clipboard Toggle word wrap

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 添加将目标主机添加到委派目标的任务：

      Copy to Clipboard Toggle word wrap

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 添加一个任务来确保存在委派规则：

      Copy to Clipboard Toggle word wrap

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. 添加一项任务，该任务确保 Web 控制台客户端服务的 Kerberos 主体是受限委派规则的成员：

      Copy to Clipboard Toggle word wrap

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 添加一个任务，以确保 delegation 规则与 web-console-delegation-target 委派目标关联：

      Copy to Clipboard Toggle word wrap

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件和清单文件的密码的文件：

   Copy to Clipboard Toggle word wrap

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

5. 在 remote.idm.example.com 上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 打开 /etc/ssh/sshd_config 文件进行编辑。
   3. 通过取消注释 GSSAPIAuthentication no 行，并将它替换为 GSSAPIAuthentication yes 来启用 GSSAPIAuthentication。

6. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   Copy to Clipboard Toggle word wrap

   $ systemctl try-restart sshd.service

流程

1. 获取您的 Kerberos 票据授予票据：

   Copy to Clipboard Toggle word wrap

   $ kinit idmuser@IDM.EXAMPLE.COM
   Password for idmuser@IDM.EXAMPLE.COM:

2. 输入运行 Web 控制台服务的主机的完全限定名称：

   Copy to Clipboard Toggle word wrap

    https://<dns_name>:9090

   

   此时，您已成功连接到 RHEL web 控制台，您可以使用配置启动。例如，您可以在 web 控制台中将 RHEL 8 系统加入到 IdM 域中。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 选项卡的 Configuration 字段中点 Join Domain。
3. 在 Join a Domain 对话框的 Domain Address 字段中输入 IdM 服务器的主机名。
4. 在 Domain administrator name 字段中输入 IdM 管理帐户的用户名。
5. 在域 管理员密码 中，添加密码。
6. 点 Join。

验证

1. 如果 RHEL 8 web 控制台没有显示错误，该系统就被加入到 IdM 域，您可以在 系统 屏幕中看到域名。

2. 要验证该用户是否为域的成员，点 Terminal 页面并输入 id 命令：

   Copy to Clipboard Toggle word wrap

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   Copy to Clipboard Toggle word wrap

   # yum -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   Copy to Clipboard Toggle word wrap

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：包含智能卡要求您通过锁定设置来完成卡：

   Copy to Clipboard Toggle word wrap

   $ pkcs15-init -F

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Terminal。

3. 在 /etc/cockpit/cockpit.conf 中，将 ClientCertAuthentication 设置为 yes ：

   Copy to Clipboard Toggle word wrap

   [WebService]
   ClientCertAuthentication = yes

4. 可选：使用以下命令禁用 cockpit.conf 中基于密码的身份验证：

   Copy to Clipboard Toggle word wrap

   [Basic]
   action = none

   这个配置禁用了密码验证，且必须总是使用智能卡。

5. 重启 Web 控制台，以确保 cockpit.service 接受更改：

   Copy to Clipboard Toggle word wrap

   # systemctl restart cockpit

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

   浏览器要求您添加 PIN 保护保存在智能卡中的证书。

2. 在 Password Required 对话框中，输入 PIN 并点 OK。
3. 在 User Identification Request 对话框中，选择保存在智能卡中的证书。

4. 选择 Remember this decision。

   系统下次打开这个窗口。

   注意

   此步骤不适用于 Google Chrome 用户。

5. 点击 OK。

流程

1. 在终端中，打开 system-cockpithttps.slice 配置文件：

   Copy to Clipboard Toggle word wrap

   # systemctl edit system-cockpithttps.slice

2. 将 TasksMax 限制为 100，将 CPUQuota 限制为 30% ：

   Copy to Clipboard Toggle word wrap

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

3. 要应用这些更改，请重启系统：

   Copy to Clipboard Toggle word wrap

   # systemctl daemon-reload
   # systemctl stop cockpit