20.7. 在 IdM 客户端上为 sudo 启用 GSSAPI 身份验证

流程

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 在 [domain/<domain_name> ] 部分中添加以下条目。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

   Copy to Clipboard Toggle word wrap
3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

5. 在 RHEL 9.2 或更高版本上：

   1. 可选：确定您是否已选择了 sssd authselect 配置文件：

      # authselect current
      Profile ID: sssd

      Copy to Clipboard Toggle word wrap

   2. 如果选择了 sssd authselect 配置文件，请启用 GSSAPI 身份验证：

      # authselect enable-feature with-gssapi

      Copy to Clipboard Toggle word wrap

   3. 如果没有选择 sssd authselect 配置文件，请选择它并启用 GSSAPI 身份验证：

      # authselect select sssd with-gssapi

      Copy to Clipboard Toggle word wrap

6. 在 RHEL 9.1 或更早版本上：

   1. 打开 /etc/pam.d/sudo PAM 配置文件。

   2. 添加下列条目，作为 /etc/pam.d/sudo 文件中的 auth 部分的第一行。

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      system-auth
      account    include      system-auth
      password   include      system-auth
      session    include      system-auth

      Copy to Clipboard Toggle word wrap
   3. 保存并关闭 /etc/pam.d/sudo 文件。

验证

1. 以 idm_user 帐户身份登录到主机。

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

   Copy to Clipboard Toggle word wrap

2. 验证您有一个票据授予票据作为 idm_user 帐户。

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

   Copy to Clipboard Toggle word wrap

3. 可选：如果您没有 idm_user 帐户的 Kerberos 凭证，请删除当前的 Kerberos 凭证，并请求正确的凭证。

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

   Copy to Clipboard Toggle word wrap

4. 使用 sudo 重启机器，而不用指定密码。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap