使用 RHEL 8 web 控制台管理系统

流程

1. 如果在安装变体中没有默认安装 Web 控制台，请手动安装 cockpit 软件包：

   # yum install cockpit

2. 启用并启动 cockpit.socket 服务，该服务运行一个 Web 服务器：

   # systemctl enable --now cockpit.socket

3. 如果在安装变体中没有默认安装 Web 控制台，且您使用自定义防火墙配置集，请将 cockpit 服务添加到 firewalld 中，以在防火墙中打开端口 9090：

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

流程

1. 在网页浏览器中输入以下地址来访问 Web 控制台：

   https://localhost:9090

   注意

   这在本地计算机上提供了 web 控制台登录。如果要登录到远程系统的 Web 控制台，请参阅 第 1.5 节 “从远程机器连接至 web 控制台”

   如果您使用自签名证书，浏览器会显示一个警告。检查证书，并接受安全例外以进行登录。

   控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 在登录屏幕中输入您的系统用户名和密码。
3. 点 Log In。

流程

1. 在您首选的文本编辑器中，在 /etc/cockpit/ 目录中打开或创建 cockpit.conf 文件，例如：

   # vi cockpit.conf

2. 添加以下文本：

   [basic]
   action = none

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

流程

1. 打开浏览器。

2. 使用以下格式输入远程服务器地址：

   1. 使用服务器主机名：

      https://<server.hostname.example.com>:<port-number>

      例如：

      https://example.com:9090

   2. 使用服务器的 IP 地址：

      https://<server.IP_address>:<port-number>

      例如：

      https://192.0.2.2:9090

3. 登录界面打开后，使用 RHEL 系统凭证登录。

流程

1. 在浏览器中打开 RHEL web 控制台：

   • 本地：https://localhost:PORT_NUMBER
   • 远程使用服务器主机名： https://example.com:PORT_NUMBER

   • 远程使用服务器 IP 地址： https://EXAMPLE.SERVER.IP.ADDR:PORT_NUMBER

     如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。

     控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 登录窗口将打开。在登录窗口中输入您的系统用户名和密码。
3. 在您的设备中生成一次性密码。
4. 在确认您的密码后，在 web 控制台界面中出现的新字段输入一次性密码。
5. 点登录。
6. 成功登录会进入 web 控制台界面的 Overview 页面。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 选项卡的 Configuration 字段中点 Join Domain。
3. 在 Join a Domain 对话框的 Domain Address 字段中输入 IdM 服务器的主机名。
4. 在 Domain administrator name 字段中输入 IdM 管理帐户的用户名。
5. 在域 管理员密码 中，添加密码。
6. 点 Join。

验证

1. 如果 RHEL 8 web 控制台没有显示错误，该系统就被加入到 IdM 域，您可以在 系统 屏幕中看到域名。

2. 要验证该用户是否为域的成员，点 Terminal 页面并输入 id 命令：

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

流程

1. 在您首选的文本编辑器中打开 /etc/issue.cockpit 文件：

   # vi /etc/issue.cockpit

2. 将您要显示的内容作为横幅添加到文件中，例如：

   This is an example banner for the RHEL web console login page.

   您不能在文件中包含任何宏，但您可以使用换行符和 ASCII 工件。

3. 保存该文件。

4. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   # vi /etc/cockpit/cockpit.conf

5. 在文件中添加以下文本：

   [Session]
   Banner=/etc/issue.cockpit

6. 保存该文件。

7. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

流程

1. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   # vi /etc/cockpit/cockpit.conf

2. 在文件中添加以下文本：

   [Session]
   IdleTimeout=<X>

   将 <X> 替换为您选择的时间段（以分钟为单位）。

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

流程

1. 选择一个未占用的端口，例如 < 4488/tcp& gt;，并指示 SELinux 允许 cockpit 服务绑定到该端口：

   # semanage port -a -t websm_port_t -p tcp <4488>

   请注意，一个端口一次只能由一个服务使用，因此尝试使用已占用的端口会出现 ValueError: Port already defined 错误消息。

2. 打开新端口并关闭防火墙中的前一个端口：

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

3. 为 cockpit.socket 服务创建一个覆盖文件：

   # systemctl edit cockpit.socket

4. 在以下编辑器屏幕中，其打开了位于 /etc/systemd/system/cockpit.socket.d/ 目录中的一个空 override.conf 文件，通过添加以下行将 web 控制台的默认端口从 9090 改为之前选择的号码：

   [Socket]
   ListenStream=
   ListenStream=<4488>

   请注意，第一个带有空值的 ListenStream= 指令是有意进行的。您可以在单个套接字单元中声明多个 ListenStream 指令，并且 drop-in 文件中的空值会重置列表，并从原始单元禁用默认端口 9090。

   重要

   在以 # anything 开头的行之间插入前面的代码片段，在此和 以下的 # Lines 之间插入。否则，系统会丢弃您的更改。

5. 按 Ctrl+O 和 Enter 保存更改。按 Ctrl+X 退出编辑器。

6. 重新载入更改的配置：

   # systemctl daemon-reload

7. 检查您的配置是否正常工作：

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

8. 重启 cockpit.socket ：

   # systemctl restart cockpit.socket

流程

1. 创建包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   示例 playbook 中指定的设置包括以下内容：

   cockpit_manage_selinux: true

   允许使用 selinux 系统角色配置 SELinux，以在 websm_port_t SELinux 类型上设置正确的端口权限。

   cockpit_manage_firewall: true

   允许 cockpit 系统角色使用 firewalld 系统角色来添加端口。

   cockpit_certificates: <YAML_dictionary>

   默认情况下，RHEL web 控制台使用自签名证书。或者，您可以将 cockpit_certificates 变量添加到 playbook 中，并将角色配置为从 IdM 证书颁发机构(CA)请求证书，或使用受管节点上的现有证书和私钥。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 在您选择的文本编辑器中覆盖 <systemd>.override.json 文件中的清单设置，例如：

   1. 要为所有用户进行编辑，请输入：

      # vi /etc/cockpit/<systemd>.override.json

   2. 要为单个用户进行编辑，请输入：

      # vi ~/.config/cockpit/<systemd>.override.json

2. 使用以下详情编辑所需的文件：

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   • null 值隐藏了 services 选项卡
   • -1 值将 logs 选项卡移到第一个位置。

3. 重启 cockpit 服务：

   # systemctl restart cockpit.service

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入页面。
3. 在 Overview 字段中，点 Register。

4. 在 注册系统 对话框中，选择注册方法。

   可选：输入您的机构名称或 ID。如果您的帐户属于红帽客户门户网站中的多个机构，您必须添加机构名称或 ID。要获得机构 ID，请在红帽与您的大客户经理联系。

5. 如果您不想将您的系统连接到 Red Hat Lightspeed，请清除 Insights 复选框。
6. 点 Register。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入带有您的订阅信息的页面。

   

   .

3. 在 Overview 字段中，点 Register。
4. 在 Register system 对话框中，选择 Activation key 以使用激活码进行注册。
5. 输入您的密钥或密钥。

6. 输入您的机构名称或 ID。

   要获得机构 ID，请联系您的红帽联系点。

   • 如果您不想将您的系统连接到 Red Hat Lightspeed，请清除 Insights 复选框。
7. 点 Register。

流程

1. 打开 Web 控制台登录页面。
2. 在 User name 字段中输入远程主机上的用户名。
3. 单击 Other options 以显示 Connect to 文本字段。
4. 在 Connect to 文本字段中，指定要使用 SSH 连接到的远程主机。如果没有指定任何端口，Web 控制台会尝试连接到指定远程主机上的端口 22。
5. 点登录。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 RHEL web 控制台中，点 Overview 页面左上角的 &lt;username> @ <hostname >。

   
3. 在下拉菜单中，单击 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。

5. 可选：为您要连接的帐户添加用户名。

   您可以使用远程系统的任意用户帐户。但是，如果您使用没有管理特权的用户凭证，则无法执行管理任务。

   如果您使用与本地系统相同的凭证，Web 控制台会在您登录时都自动验证远程系统。

   重要

   Web 控制台不保存用来登录到远程系统的密码。

6. 可选：点击 Color 字段更改系统颜色。
7. 点Add。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 RHEL web 控制台中，点 Overview 页面左上角的 <username>@<hostname>。

   
3. 在下拉菜单中，单击 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。如果您第一次连接到主机，您必须单击以下对话框中的 Trust and add new host。

5. 密码对话框因主机上 SSH 密钥文件的存在而有所不同：

   1. 如果您已有主机的 SSH 密钥，请选择 Authorize SSH key 选项。
   2. 如果您没有 SSH 密钥，请选择 Create a new SSH key and authorize it 选项。Web 控制台创建密钥。
6. 添加并确认 SSH 密钥的密码。
7. 点登录。

验证

1. 注销。
2. 重新登录。
3. 在 Not connected to host 屏幕中点 Log in。
4. 选择 SSH 密钥 作为您的身份验证选项。
5. 输入您的密钥密码。
6. 点登录。

流程

1. 在 Terminal 页面中，验证 web 控制台是否已在用户会话中为 User to Proxy (S4U2proxy) Kerberos 票据创建了一个服务：

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 创建委派规则可访问的目标主机列表：

   1. 创建服务委托目标：

      $ ipa servicedelegationtarget-add cockpit-target

   2. 将目标主机添加到委派目标：

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

3. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      $ ipa servicedelegationrule-add cockpit-delegation

   2. 将 Web 控制台客户端添加到委派规则中：

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 将委派目标添加到委派规则中：

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

4. 在 remote.idm.example.com 主机上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 将 GSSAPIAuthentication yes 设置添加到 /etc/ssh/sshd_config 文件中。

5. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service

流程

1. 在 Terminal 页面中，验证 web 控制台是否已在用户会话中创建了一个 Service for User to Proxy (S4U2proxy) Kerberos 票据：

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

3. 创建包含以下内容的 web-console-smart-card-ssh.yml playbook：

   1. 创建确保存在委派目标的任务：

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 添加将目标主机添加到委派目标的任务：

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 添加一个任务来确保存在委派规则：

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. 添加一项任务，该任务确保 Web 控制台客户端服务的 Kerberos 主体是受限委派规则的成员：

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 添加一个任务，以确保 delegation 规则与 web-console-delegation-target 委派目标关联：

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件和清单文件的密码的文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

6. 在 remote.idm.example.com 上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 将 GSSAPIAuthentication yes 设置添加到 /etc/ssh/sshd_config 文件中。

7. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service

流程

1. 获取您的 Kerberos 票据授予票据：

   $ kinit idmuser@IDM.EXAMPLE.COM
   Password for idmuser@IDM.EXAMPLE.COM:

2. 输入运行 Web 控制台服务的主机的完全限定名称：

   https://<dns_name>:9090

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 选项卡的 Configuration 字段中点 Join Domain。
3. 在 Join a Domain 对话框的 Domain Address 字段中输入 IdM 服务器的主机名。
4. 在 Domain administrator name 字段中输入 IdM 管理帐户的用户名。
5. 在域 管理员密码 中，添加密码。
6. 点 Join。

验证

1. 如果 RHEL 8 web 控制台没有显示错误，该系统就被加入到 IdM 域，您可以在 系统 屏幕中看到域名。

2. 要验证该用户是否为域的成员，点 Terminal 页面并输入 id 命令：

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # yum -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：包含智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Terminal。

3. 在 /etc/cockpit/cockpit.conf 中，将 ClientCertAuthentication 设置为 yes ：

   [WebService]
   ClientCertAuthentication = yes

4. 可选：使用以下命令禁用 cockpit.conf 中基于密码的身份验证：

   [Basic]
   action = none

   这个配置禁用了密码验证，且必须总是使用智能卡。

5. 重启 Web 控制台，以确保 cockpit.service 接受更改：

   # systemctl restart cockpit

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

   浏览器要求您添加 PIN 保护保存在智能卡中的证书。

2. 在 Password Required 对话框中，输入 PIN 并点 OK。
3. 在 User Identification Request 对话框中，选择保存在智能卡中的证书。

4. 选择 Remember this decision。

   系统下次打开这个窗口。

   注意

   此步骤不适用于 Google Chrome 用户。

5. 点击 OK。

流程

1. 在终端中，打开 system-cockpithttps.slice 配置文件：

   # systemctl edit system-cockpithttps.slice

2. 将 TasksMax 限制为 100，将 CPUQuota 限制为 30% ：

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

3. 要应用这些更改，请重启系统：

   # systemctl daemon-reload
   # systemctl stop cockpit