使用 RHEL 9 web 控制台管理系统

流程

1. 如果在安装变体中没有默认安装 Web 控制台，请手动安装 cockpit 软件包：

   # dnf install cockpit

   Copy to Clipboard

2. 启用并启动 cockpit.socket 服务，该服务运行一个 Web 服务器：

   # systemctl enable --now cockpit.socket

   Copy to Clipboard

3. 如果在安装变体中没有默认安装 Web 控制台，且您使用自定义防火墙配置集，请将 cockpit 服务添加到 firewalld 中，以在防火墙中打开端口 9090：

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

   Copy to Clipboard

流程

1. 在网页浏览器中输入以下地址来访问 Web 控制台：

   https://localhost:9090

   Copy to Clipboard
   注意

   这为您提供了本地计算机上的 web 控制台登录。如果要登录到远程系统的 Web 控制台，请参阅 第 1.5 节 “从远程机器连接至 web 控制台”

   如果您使用自签名证书，浏览器会显示一个警告。检查证书，并接受安全例外以进行登录。

   控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 在登录屏幕中输入您的系统用户名和密码。
3. 点 Log In。

流程

1. 在您首选的文本编辑器中，在 /etc/cockpit/ 目录中打开或创建 cockpit.conf 文件，例如：

   # vi cockpit.conf

   Copy to Clipboard

2. 添加以下文本：

   [basic]
   action = none

   Copy to Clipboard
3. 保存这个文件。

4. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

   Copy to Clipboard

流程

1. 打开浏览器。

2. 使用以下格式输入远程服务器地址：

   1. 使用服务器主机名：

      https://<server.hostname.example.com>:<port-number>

      Copy to Clipboard

      例如：

      https://example.com:9090

      Copy to Clipboard

   2. 使用服务器 IP 地址：

      https://<server.IP_address>:<port-number>

      Copy to Clipboard

      例如：

      https://192.0.2.2:9090

      Copy to Clipboard
3. 登录界面打开后，使用 RHEL 系统凭证登录。

流程

1. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 disallowed-users 文件，例如：

   # vi /etc/cockpit/disallowed-users

   Copy to Clipboard

2. 编辑文件并删除 root 用户的行：

   # List of users which are not allowed to login to Cockpit root
    

   Copy to Clipboard
3. 保存更改并退出编辑器。

流程

1. 在浏览器中打开 RHEL web 控制台：

   • 本地：https://localhost:PORT_NUMBER
   • 远程使用服务器主机名： https://example.com:PORT_NUMBER

   • 远程使用服务器 IP 地址： https://EXAMPLE.SERVER.IP.ADDR:PORT_NUMBER

     如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。

     控制台从 /etc/cockpit/ws-certs.d 目录中加载证书，并使用带有 .cert 扩展名的最后一个文件（按字母排序）。要避免接受安全例外的操作，安装由证书颁发机构（CA）签名的证书。

2. 登录窗口将打开。在登录窗口中输入您的系统用户名和密码。
3. 在您的设备中生成一次性密码。
4. 在确认您的密码后，在 web 控制台界面中出现的新字段输入一次性密码。
5. 点登录。
6. 成功登录会进入 web 控制台界面的 Overview 页面。

流程

1. 在您首选的文本编辑器中打开 /etc/issue.cockpit 文件：

   # vi /etc/issue.cockpit

   Copy to Clipboard

2. 将您要显示的内容作为横幅添加到文件中，例如：

   This is an example banner for the RHEL web console login page.

   Copy to Clipboard

   您不能在文件中包含任何宏，但您可以使用换行符和 ASCII 工件。

3. 保存这个文件。

4. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   # vi /etc/cockpit/cockpit.conf

   Copy to Clipboard

5. 在文件中添加以下文本：

   [Session]
   Banner=/etc/issue.cockpit

   Copy to Clipboard
6. 保存这个文件。

7. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

   Copy to Clipboard

流程

1. 在您首选的文本编辑器中打开 /etc/cockpit/ 目录中的 cockpit.conf 文件，例如：

   # vi /etc/cockpit/cockpit.conf

   Copy to Clipboard

2. 在文件中添加以下文本：

   [Session]
   IdleTimeout=<X>

   Copy to Clipboard

   将 <X> 替换为您选择的时间段数（以分钟为单位）。

3. 保存该文件。

4. 重启 Web 控制台以使更改生效。

   # systemctl try-restart cockpit

   Copy to Clipboard

流程

1. 选择一个未占用的端口，例如 <4488/tcp>，并指示 SELinux 允许 cockpit 服务绑定到该端口：

   # semanage port -a -t websm_port_t -p tcp <4488>

   Copy to Clipboard

   请注意，一个端口只能供一个服务使用，因此试图使用一个已有的端口意味着 ValueError：Port already defined 错误信息。

2. 打开新端口，并在防火墙中关闭之前的端口：

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

   Copy to Clipboard

3. 为 cockpit.socket 服务创建一个覆盖文件：

   # systemctl edit cockpit.socket

   Copy to Clipboard

4. 在以下编辑器屏幕中，其打开了 /etc/systemd/system/cockpit.socket.d/ 目录中的一个空 override.conf 文件，通过添加以下行，将 web 控制台的默认端口从 9090 改为之前选择的号：

   [Socket]
   ListenStream=
   ListenStream=<4488>

   Copy to Clipboard

   请注意，第一个具有空值的 ListenStream= 指令是故意的。您可以在单个套接字单元中声明多个 ListenStream 指令，插入文件中的空值会重置列表，并从原始单元中禁用默认端口 9090。

   重要

   在以 # Anything between here 和 # Lines below this 开头的行之间插入之前的代码段。否则，系统会丢弃您的更改。

5. 按 Ctrl+O 和 Enter 保存更改。按 Ctrl+X 退出编辑器。

6. 重新载入更改的配置：

   # systemctl daemon-reload

   Copy to Clipboard

7. 检查您的配置是否正常工作：

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

   Copy to Clipboard

8. 重启 cockpit.socket ：

   # systemctl restart cockpit.socket

   Copy to Clipboard

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   Copy to Clipboard

   示例 playbook 中指定的设置包括以下内容：

   cockpit_manage_selinux: true

   允许使用 selinux 系统角色配置 SELinux，以对 websm_port_t SELinux 类型设置正确的端口权限。

   cockpit_manage_firewall: true

   允许 cockpit 系统角色使用 firewalld 系统角色添加端口。

   cockpit_certificates: <YAML_dictionary>

   默认情况下，RHEL web 控制台使用自签名证书。或者，您可以向 playbook 中添加 cockpit_certificates 变量，并将角色配置为从 IdM 证书颁发机构(CA)请求证书，或使用受管节点上可用的现有证书和私钥。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

流程

1. 在您选择的文本编辑器中覆盖<systemd>.override.json 文件中的清单设置，例如：

   1. 要为所有用户编辑，请输入：

      # vi /etc/cockpit/<systemd>.override.json

      Copy to Clipboard

   2. 要为单个用户编辑，请输入：

      # vi ~/.config/cockpit/<systemd>.override.json

      Copy to Clipboard

2. 使用以下详情编辑所需的文件：

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   Copy to Clipboard
   • null 值隐藏了 services 选项卡
   • -1 值将 logs 选项卡移到第一个位置。

3. 重启 cockpit 服务：

   # systemctl restart cockpit.service

   Copy to Clipboard

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。

   可用更新列表在 24 小时后自动刷新。要触发刷新，请点 Check for Updates 按钮。

3. 应用更新。您可以在更新运行时监控更新日志。

   1. 要安装所有可用更新，请点安装所有更新按钮。
   2. 如果您有可用的安全更新，请点击安装安全更新按钮单独安装它们。
   3. 如果您有 kpatch 更新可用，请点 Install kpatch updates 按钮单独安装它们。

4. 可选：您可以选择 Reboot after completion 来自动重启您的系统。

   如果执行此步骤，您可以跳过这个过程的剩余步骤。

5. 在系统应用更新后，您会看到重启系统的建议。如果更新包括一个新内核或您不想单独重启的系统服务，请重启系统。

6. 点 Ignore 以取消重启，或选择 Restart Now 重启系统。

   系统重启后，登录到 web 控制台，并进入 Software Updates 页面，以验证更新是否成功。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。
3. 在 Settings 表中，点 Edit 按钮。
4. 挑选一种自动更新类型。您可以选择 Security updates only 或 All updates。
5. 要修改自动更新的日期，在下拉菜单中点 every day 并选择特定日期。
6. 要修改自动更新的时间，请点击 6:00 字段并选择或输入特定时间。
7. 如果要禁用自动软件更新，请选择 No update 类型。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。
3. 对您的系统应用更新。
4. 成功更新后，点 Reboot system…​, restart services…​或 Ignore

5. 如果您决定忽略，您可以通过执行以下操作之一来返回到重启或重启菜单：

   1. 重新引导：

      1. 点 Software Updates 页面的 Status 字段中的 Reboot system 按钮。
      2. 可选：向登录的用户写一条消息。
      3. 从 Delay 下拉菜单中选择一个延迟。
      4. 点Reboot。

   2. 重启服务：

      1. 点 Software Updates 页面的 Status 字段中的 Restart services 按钮。

         您将看到需要重启的所有服务的列表。

      2. 点 重启服务。

         根据您的选择，系统将重新启动，或者您的服务将重启。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点软件更新。

3. 检查内核补丁设置的状态。

   1. 如果没有安装补丁，点 Install。

      

   2. 要启用内核补丁，请点击 启用。

      

   3. 选中应用内核补丁的复选框。

   4. 选择您是否想只为当前和将来的内核或当前内核应用补丁。如果您决定订阅，以为将来的内核应用补丁，系统也会为即将发布的内核版本应用补丁。

      

   5. 点应用。

流程

1. 在浏览器中打开 https://<ip_address_or_hostname>:9090，并登录到 web 控制台。
2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入页面。
3. 在 Overview 字段中，点 Register。

4. 在 注册系统 对话框中，选择注册方法。

   可选：输入您的机构名称或 ID。如果您的帐户属于红帽客户门户网站中的多个机构，您必须添加机构名称或 ID。要获得机构 ID，请在红帽与您的大客户经理联系。

5. 如果您不想将您的系统连接到 Red Hat Insights，请清除 Insights 复选框。
6. 点 Register。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 页面的 Health 字段中，点击 Not registered 警告，或者点击主菜单中的 Subscriptions 来进入到订阅信息页面。

   .

3. 在 Overview 字段中，点击 Register。

4. 在 Register system 对话框中，选择 Activation key ，以使用激活码进行注册。

   

5. 输入您的密钥或密钥。

6. 输入您的机构名称或 ID。

   要获得机构 ID，请联系您的红帽联系点。

   • 如果您不想将您的系统连接到 Red Hat Insights，请取消选中 Insights 复选框。
7. 点 Register。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 RHEL 9 web 控制台中，点 Overview 页面左上角的 <username>@<hostname>。

   

3. 从下拉菜单中选择 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。

5. 可选：为要连接的帐户添加用户名。

   您可以使用远程系统的任意用户帐户。但是，如果您使用没有管理特权的用户凭证，则无法执行管理任务。

   如果您使用与本地系统上相同的凭证，Web 控制台会在您每次登录时都自动验证远程系统。请注意，在多个系统上使用相同的凭证会降低安全性。

6. 可选：点 Color 字段来更改系统的颜色。
7. 点击 Add。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 RHEL 9 web 控制台中，点 Overview 页面左上角的 <username>@<hostname>。

   

3. 从下拉菜单中选择 Add new host。
4. 在 Add new host 对话框中，指定要添加的主机。

5. 为要连接的帐户添加用户名。

   您可以使用远程系统的任意用户帐户。但是，如果您使用没有管理特权的用户帐户，则无法执行管理任务。

6. 可选：点 Color 字段来更改系统的颜色。

7. 点击 Add。

   此时会出现一个新对话框窗口，要求输入密码。

8. 输入用户帐户密码。

9. 如果您已有一个 SSH 密钥，请选择 Authorize SSH key。

   

10. 如果您没有 SSH 密钥，选择 Create a new SSH key and authorize it。Web 控制台创建密钥。

    

    1. 为 SSH 密钥添加密码。
    2. 确认密码。
11. 点登录。

验证

1. 注销。
2. 重新登录。
3. 在 Not connected to host 屏幕中点 Log in。

4. 选择 SSH 密钥 作为您的身份验证选项。

   
5. 输入您的密钥密码。
6. 点登录。

流程

1. 创建委派规则可访问的目标主机列表：

   1. 创建服务委托目标：

      $ ipa servicedelegationtarget-add cockpit-target

      Copy to Clipboard

   2. 将目标主机添加到委派目标：

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard

2. 通过创建服务委派规则并将 HTTP 服务 Kerberos 主体添加到其中，允许 cockpit 会话访问目标主机列表：

   1. 创建服务委派规则：

      $ ipa servicedelegationrule-add cockpit-delegation

      Copy to Clipboard

   2. 将 Web 控制台客户端添加到委派规则中：

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard

   3. 将委派目标添加到委派规则中：

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

      Copy to Clipboard

3. 在 remote.idm.example.com 主机上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 打开 /etc/ssh/sshd_config 文件进行编辑。
   3. 通过取消注释 GSSAPIAuthentication no 行，并将它替换为 GSSAPIAuthentication yes 来启用 GSSAPIAuthentication。

4. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 创建包含以下内容的 web-console-smart-card-ssh.yml playbook：

   1. 创建确保存在委派目标的任务：

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

      Copy to Clipboard

   2. 添加将目标主机添加到委派目标的任务：

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

      Copy to Clipboard

   3. 添加一个任务来确保存在委派规则：

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

      Copy to Clipboard

   4. 添加一项任务，该任务确保 Web 控制台客户端服务的 Kerberos 主体是受限委派规则的成员：

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

      Copy to Clipboard

   5. 添加一个任务，以确保 delegation 规则与 web-console-delegation-target 委派目标关联：

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

      Copy to Clipboard
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

   Copy to Clipboard

5. 在 remote.idm.example.com 上启用 Kerberos 身份验证：

   1. 以 root 身份通过 SSH 连接到 remote.idm.example.com。
   2. 打开 /etc/ssh/sshd_config 文件进行编辑。
   3. 通过取消注释 GSSAPIAuthentication no 行，并将它替换为 GSSAPIAuthentication yes 来启用 GSSAPIAuthentication。

6. 在 remote.idm.example.com 上重启 sshd 服务，以便更改生效：

   $ systemctl try-restart sshd.service

   Copy to Clipboard

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 选项卡的 Configuration 字段中点 Join Domain。
3. 在 Join a Domain 对话框的 Domain Address 字段中输入 IdM 服务器的主机名。
4. 在 Domain administrator name 字段中输入 IdM 管理帐户的用户名。
5. 在域 管理员密码 中，添加密码。
6. 点 Join。

验证

1. 如果 RHEL 9 web 控制台没有显示错误，系统已加入到 IdM 域，您可以在 System 屏幕中看到域名。

2. 要验证该用户是否为域的成员，点 Terminal 页面并输入 id 命令：

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard

流程

1. 获取您的 Kerberos 票据授予票据：

   $ kinit idmuser@IDM.EXAMPLE.COM
   Password for idmuser@IDM.EXAMPLE.COM:

   Copy to Clipboard

2. 输入运行 Web 控制台服务的主机的完全限定名称：

    https://<dns_name>:9090

   Copy to Clipboard
   

   此时，您已成功连接到 RHEL web 控制台，您可以使用配置启动。例如，您可以在 web 控制台中将 RHEL 9 系统加入到 IdM 域中。

流程

1. 创建符号链接：

   # ln -s /var/lib/ipa/gssproxy/http.keytab /etc/cockpit/krb5.keytab

   Copy to Clipboard

2. 设置证书文件 Bash 变量：

   # CERT_FILE=/etc/cockpit/ws-certs.d/50-certmonger.crt

   Copy to Clipboard

3. 设置证书密钥 Bash 变量：

   # KEY_FILE=/etc/cockpit/ws-certs.d/50-certmonger.key

   Copy to Clipboard

4. 生成证书密钥对：

   # ipa-getcert request -f ${CERT_FILE} -k ${KEY_FILE} -D $(hostname --fqdn)

   Copy to Clipboard

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard

2. 启动 pcscd 服务。

   # systemctl start pcscd

   Copy to Clipboard

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard
   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard

6. 可选：在智能卡上的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard
   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   Copy to Clipboard

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Terminal。

3. 在 /etc/cockpit/cockpit.conf 中，将 ClientCertAuthentication 设置为 yes ：

   [WebService]
   ClientCertAuthentication = yes

   Copy to Clipboard

4. 可选：在 cockpit.conf 中禁用基于密码的身份验证：

   [Basic]
   action = none

   Copy to Clipboard

   这个配置禁用了密码验证，且必须总是使用智能卡。

5. 重启 Web 控制台，以确保 cockpit.service 接受更改：

   # systemctl restart cockpit

   Copy to Clipboard

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

   浏览器要求您添加 PIN 保护保存在智能卡中的证书。

2. 在 Password Required 对话框中，输入 PIN 并点 OK。
3. 在 User Identification Request 对话框中，选择保存在智能卡中的证书。

4. 选择 Remember this decision。

   系统下次打开这个窗口。

   注意

   此步骤不适用于 Google Chrome 用户。

5. 点击 确定。

流程

1. 设置约束委派规则，以列出托管票据可以访问哪些主机。

   例 8.1. 设置约束委派规则

   Web 控制台会话运行主机 host.example.com，并应受信任，以通过 sudo 访问自己的主机。此外，我们还添加了第二个可信主机 - remote.example.com。

   • 创建以下委派：

     • 运行以下命令添加特定规则可以访问的目标机器列表：

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \
          --principals=host/host.example.com@EXAMPLE.COM \
          --principals=host/remote.example.com@EXAMPLE.COM

       Copy to Clipboard

     • 要允许 Web 控制台会话(HTTP/principal)访问该主机列表，请使用以下命令：

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \
         --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \
         --servicedelegationtargets=cockpit-target

       Copy to Clipboard

2. 在对应服务中启用 GSS 身份验证：

   1. 对于 sudo，在 /etc/sssd/sssd.conf 文件中启用 pam_sss_gss 模块：

      1. 以 root 用户身份，将域的条目添加到 /etc/sssd/sssd.conf 配置文件。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

         Copy to Clipboard

      2. 在第一行启用 /etc/pam.d/sudo 文件中的模块。

         auth sufficient pam_sss_gss.so

         Copy to Clipboard
   2. 对于 SSH，将 /etc/ssh/sshd_config 文件中的 GSSAPIAuthentication 选项更新为 yes。

验证

1. 使用智能卡登录到 web 控制台。
2. 点 Limited access 按钮。
3. 使用您的智能卡进行验证。

流程

1. 在终端中，打开 system-cockpithttps.slice 配置文件：

   # systemctl edit system-cockpithttps.slice

   Copy to Clipboard

2. 将 TasksMax 限制为 100，将 CPUQuota 限制为 30% ：

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

   Copy to Clipboard

3. 要应用这些更改，请重启系统：

   # systemctl daemon-reload
   # systemctl stop cockpit

   Copy to Clipboard