在 IdM 中管理证书

步骤

1. 在 Identity 选项卡下，选择 Users、Hosts 或 Services 子选项卡。

2. 单击用户、主机或服务的名称，来打开其配置页面。

   图 2.1. 主机列表

   

   View larger image

   
3. 单击 Actions → New Certificate。
4. 可选：选择发布 CA 和配置文件 ID。
5. 按照屏幕上使用 certutil 命令行(CLI)工具的说明进行操作。
6. 单击 Issue。

步骤

1. 为证书数据库创建一个临时目录：

   # mkdir ~/certdb/

   Copy to Clipboard Toggle word wrap

2. 创建一个新的临时证书数据库，例如：

   # certutil -N -d ~/certdb/

   Copy to Clipboard Toggle word wrap

3. 创建 CSR，并将输出重定向到文件。例如，要为 4096 位证书创建 CSR，并将主题设为 CN=server.example.com,O=EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

   Copy to Clipboard Toggle word wrap

4. 将证书请求文件提交到在 IdM 服务器上运行的 CA。指定 Kerberos 主体来与新发布的证书关联：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   Copy to Clipboard Toggle word wrap

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM 根 CA ipa

     要选择子 CA，请使用 --ca 选项。

步骤

1. 为您的 Kerberos 主体 test/server.example.com 创建一个或多个别名。例如，test1/server.example.com 和 test2/server.example.com。

2. 在 CSR 中，为 dnsName(server.example.com)和otherName(test2/server.example.com)添加 subjectAltName。要做到这一点，将 openssl.conf 文件配置为包含以下指定 UPN otherName 和 subjectAltName 的行:

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

   Copy to Clipboard Toggle word wrap

3. 使用 openssl 创建证书请求：

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

   Copy to Clipboard Toggle word wrap

4. 将证书请求文件提交到在 IdM 服务器上运行的 CA。指定 Kerberos 主体来与新发布的证书关联：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   Copy to Clipboard Toggle word wrap

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM 根 CA ipa

     要选择子 CA，请使用 --ca 选项。

流程

1. 为您的用户、主机或服务生成一个证书签名请求(CSR)。例如，要使用 openssl 工具为运行 client.idm.example.com 上的 HTTP 服务生成一个 CSR，请输入：

   # openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout new.key -out new.csr -subj '/CN=client.idm.example.com,O=IDM.EXAMPLE.COM'

   Copy to Clipboard Toggle word wrap

   因此，CSR 存储在 new.csr 中。

2. 使用以下内容创建 Ansible playbook 文件 request-certificate.yml ：

   ---
   - name: Playbook to request a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Request a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         state: requested
         csr: |
           -----BEGIN CERTIFICATE REQUEST-----
           MIGYMEwCAQAwGTEXMBUGA1UEAwwOZnJlZWlwYSBydWxlcyEwKjAFBgMrZXADIQBs
           HlqIr4b/XNK+K8QLJKIzfvuNK0buBhLz3LAzY7QDEqAAMAUGAytlcANBAF4oSCbA
           5aIPukCidnZJdr491G4LBE+URecYXsPknwYb+V+ONnf5ycZHyaFv+jkUBFGFeDgU
           SYaXm/gF8cDYjQI=
           -----END CERTIFICATE REQUEST-----
         principal: HTTP/client.idm.example.com
       register: cert

   Copy to Clipboard Toggle word wrap

   将证书请求替换为 new.csr 中的 CSR。

3. 请求证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/request-certificate.yml

   Copy to Clipboard Toggle word wrap

流程

1. 使用以下内容创建 Ansible playbook 文件 revoke-certificate.yml ：

   ---
   - name: Playbook to revoke a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Revoke a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         revocation_reason: "keyCompromise"
         state: revoked

   Copy to Clipboard Toggle word wrap

2. 吊销证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/revoke-certificate.yml

   Copy to Clipboard Toggle word wrap

流程

1. 使用以下内容创建 Ansible playbook 文件 restore-certificate.yml ：

   ---
   - name: Playbook to restore a certificate
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Restore a certificate for a web service
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         state: released

   Copy to Clipboard Toggle word wrap

2. 运行 playbook:

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/restore-certificate.yml

   Copy to Clipboard Toggle word wrap

流程

1. 使用以下内容创建 Ansible playbook 文件 retrieve-certificate.yml ：

   ---
   - name: Playbook to retrieve a certificate and store it locally on the managed node
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Retrieve a certificate and save it to file 'cert.pem'
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         certificate_out: cert.pem
         state: retrieved

   Copy to Clipboard Toggle word wrap

2. 检索证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/retrieve-certificate.yml

   Copy to Clipboard Toggle word wrap

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 点用户、主机或服务的名称，来打开其配置页面。

3. 点 Certificates 条目旁边的 Add。

   图 4.1. 在用户帐户中添加证书

   

   View larger image

   
4. 将 Base64 或 PEM 编码格式的证书粘贴到文本字段中，然后点 Add。
5. 点 Save 以保存更改。

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 点用户、主机或服务的名称，来打开其配置页面。
3. 单击要删除的证书旁边的 Actions ，然后选择 Delete。
4. 点 Save 以保存更改。

步骤

1. 通过复制现有的默认配置文件来创建自定义配置文件：

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert
   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

   Copy to Clipboard Toggle word wrap

2. 在文本编辑器中打开新创建的配置文件。

   $ vi  smime.cfg

   Copy to Clipboard Toggle word wrap

3. 将 Profile ID 更改为反映配置文件用法的名称，如 smime。

   注意

   当您导入新创建的配置文件时，如果有profileId 字段，则其必须与命令行中指定的 ID 匹配。

4. 更新扩展的密钥用法配置。默认的扩展的密钥用法扩展配置用于 TLS 服务器和客户端身份验证。例如，对于 S/MIME，必须为电子邮件保护配置扩展的密钥用法：

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

   Copy to Clipboard Toggle word wrap

5. 导入新配置文件：

   $ ipa certprofile-import smime --file smime.cfg \
     --desc "S/MIME certificates" --store TRUE
   
   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

   Copy to Clipboard Toggle word wrap

步骤

1. 为证书配置文件的用户创建一个新组：

   $ ipa group-add smime_users_group
   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

   Copy to Clipboard Toggle word wrap

2. 创建一个新用户来添加到 smime_user_group 组中：

   $ ipa user-add smime_user
   First name: smime
   Last name: user
   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

   Copy to Clipboard Toggle word wrap

3. 将 smime_user 添加到 smime_users_group 组中：

   $ ipa group-add-member smime_users_group --users=smime_user
     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

4. 创建 CA ACL 以允许组中的用户访问证书配置文件：

   $ ipa caacl-add smime_acl
   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

   Copy to Clipboard Toggle word wrap

5. 将用户组添加到 CA ACL 中：

   $ ipa caacl-add-user smime_acl --group smime_users_group
     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

6. 将证书配置文件添加到 CA ACL 中：

   $ ipa caacl-add-profile smime_acl --certprofile smime
     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

步骤

1. 为用户生成证书请求。例如，使用 OpenSSL:

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

   Copy to Clipboard Toggle word wrap

2. 为用户从 IdM CA 请求新证书：

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   Copy to Clipboard Toggle word wrap

   可选：将 --ca sub-CA_name 选项传给命令，以从子 CA 中请求证书，而不是根 CA。

步骤

1. 确定您要修改的证书配置文件的证书配置文件 ID。显示当前存储在 IdM 中的所有证书配置文件：

   # ipa certprofile-find
   
   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

   Copy to Clipboard Toggle word wrap

2. 修改证书配置文件描述。例如，如果您使用现有的配置文件为 S/MIME 证书创建了自定义证书配置文件，请按照新用法更改描述：

   # ipa certprofile-mod smime --desc "New certificate profile description"
   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

   Copy to Clipboard Toggle word wrap

3. 在文本编辑器中打开您的客户证书配置文件，并进行修改以满足您的要求：

   # vi smime.cfg

   Copy to Clipboard Toggle word wrap

   有关可以在证书配置文件中配置哪些选项的详情，请查看 证书配置文件配置参数。

4. 更新现有证书配置文件：

   # ipa certprofile-mod _profile_ID_ --file=smime.cfg

   Copy to Clipboard Toggle word wrap

步骤

1. 在 Authentication 菜单中，点击 Certificates > Certificates。

2. 单击证书的序列号，来打开证书信息页面。

   图 7.1. 证书列表

   

   View larger image

   
3. 在证书信息页面中，找到 Expires On 信息。

流程

1. 创建要进行配置的目录：

   [root@server]# mkdir ~/SmartCard/

   Copy to Clipboard Toggle word wrap

2. 进入该目录：

   [root@server]# cd ~/SmartCard/

   Copy to Clipboard Toggle word wrap

3. 获取存储在 PEM 格式文件中的相关 CA 证书。如果您的 CA 证书存储再不同格式的文件中，如 DER，请将其转换为 PEM 格式。IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

   将 DER 文件转换为 PEM 文件：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

4. 为方便起见，将证书复制到您要进行配置的目录中：

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

   Copy to Clipboard Toggle word wrap

5. 可选：如果您使用外部证书颁发机构的证书，请使用 openssl x509 工具查看 PEM 格式的文件的内容，以检查 Issuer 和 Subject 值是否正确：

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

   Copy to Clipboard Toggle word wrap

6. 使用管理员特权，通过内置的 ipa-advise 工具生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-server-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

7. 执行脚本，将包含根 CA 和子 CA 证书的 PEM 文件添加为参数：

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

8. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

   1. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

      SSLOCSPEnable off

      Copy to Clipboard Toggle word wrap

   2. 重启 Apache 守护进程(httpd)使更改立即生效：

      [root@server SmartCard]# systemctl restart httpd

      Copy to Clipboard Toggle word wrap
   警告

   如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

   有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

步骤

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. 创建一个专用于 CA 证书的子目录：

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证进行配置的 IdM 服务器。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 使用以下内容创建 install-smartcard-server.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

   Copy to Clipboard Toggle word wrap
8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_server Ansible 角色执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

10. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

    1. 以 root 用户身份连接到 IdM 服务器：

       ssh root@ipaserver.idm.example.com

       Copy to Clipboard Toggle word wrap

    2. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

       SSLOCSPEnable off

       Copy to Clipboard Toggle word wrap

    3. 重启 Apache 守护进程(httpd)使更改立即生效：

       # systemctl restart httpd

       Copy to Clipboard Toggle word wrap
    警告

    如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

    有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

步骤

1. 在 IdM 服务器上，使用管理员权限通过 ipa-advise 生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-client-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程 (SSSD)，允许用户使用其用户名和密码或其智能卡进行验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

2. 从 IdM 服务器中，将脚本复制到 IdM 客户端机器中选择的目录中：

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

   Copy to Clipboard Toggle word wrap

3. 为了方便起见，将 IdM 服务器上的 PEM 格式的 CA 证书文件复制到 IdM 客户端机器上与在上一步中所使用的相同的目录中：

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

   Copy to Clipboard Toggle word wrap

4. 在客户端机器上执行脚本，将包含 CA 证书的 PEM 文件添加为参数：

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

   IdM CA 证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

   Copy to Clipboard Toggle word wrap

3. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

4. 创建一个专用于 CA 证书的子目录：

   $ mkdir SmartCard/

   Copy to Clipboard Toggle word wrap

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中，例如：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 客户端。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

   Copy to Clipboard Toggle word wrap

7. 使用以下内容创建 install-smartcard-clients.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

   Copy to Clipboard Toggle word wrap
8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   Copy to Clipboard Toggle word wrap

   ipasmartcard_client Ansible 角色执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程(SSSD)，以允许用户使用其用户名和密码或者智能卡进行身份验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM Web UI。要在您自己的配置文件中添加证书，您不需要管理员的凭证。
2. 导航到 Users → Active users → sc_user。
3. 找到 Certificate 选项，并单击 Add 。

4. 在命令行中，使用 cat 实用程序或文本编辑器以 PEM 格式显示证书：

   [user@client SmartCard]$ cat testuser.crt

   Copy to Clipboard Toggle word wrap
5. 将证书从 CLI 复制并粘贴到 Web UI 中打开的窗口中。
6. 点击 Add。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM CLI：

   [user@client SmartCard]$ kinit admin

   Copy to Clipboard Toggle word wrap

   要在您自己的配置文件中添加证书，您不需要管理员的凭证。

   [user@client SmartCard]$ kinit <smartcard_user>

   Copy to Clipboard Toggle word wrap

2. 创建一个包含证书的环境变量，该变量移除了标头和页脚，并串联成一行，这是 ipa user-add-cert 命令期望的格式：

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   Copy to Clipboard Toggle word wrap

   请注意，testuser.crt 文件中的证书必须是 PEM 格式。

3. 使用 ipa user-add-cert 命令将证书添加到 & lt;smartcard_user > 的配置集中：

   [user@client SmartCard]$ ipa user-add-cert <smartcard_user> --certificate=$CERT

   Copy to Clipboard Toggle word wrap

步骤

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. 启动 pcscd 服务。

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 在浏览器中打开 IdM Web UI。
2. 点使用证书登陆。

3. 如果 Password Required 对话框打开，请添加 PIN 来解锁智能卡，然后单击 OK 按钮。

   此时会打开 User Identification Request 对话框。

   如果智能卡包含多个证书，请在 选择用于验证的证书 下方的下拉列表中选择您要用于身份验证的证书。

4. 单击 OK 按钮。

流程

1. 在读取器中插入智能卡。
2. 输入智能卡 PIN。
3. 点 Sign In。

步骤

1. 从 IdM 服务器 连接，并将 adcs-winserver-ca.cer 根证书复制到 IdM 服务器：

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <Path to certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <Path to certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <Path to certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

   Copy to Clipboard Toggle word wrap

2. 从 IdM 客户端 连接，并将 aduser1.pfx 用户证书复制到客户端：

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<Path to certificates>
   sftp> get aduser1.pfx
   Fetching <Path to certificates>/aduser1.pfx to aduser1.pfx
   <Path to certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

   Copy to Clipboard Toggle word wrap

步骤

1. 在 IdM 服务器中，使用 ipa-advise 脚本来配置客户端：

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

   Copy to Clipboard Toggle word wrap

2. 在 IdM 服务器中，使用 ipa-advise 脚本来配置服务器：

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

   Copy to Clipboard Toggle word wrap

3. 在 IdM 服务器中执行脚本：

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   Copy to Clipboard Toggle word wrap
   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

4. 将 sc_client.sh 脚本复制到客户端系统中：

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

   Copy to Clipboard Toggle word wrap

5. 将 Windows 证书复制到客户端系统中：

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

   Copy to Clipboard Toggle word wrap

6. 在客户端系统中运行客户端脚本：

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

   Copy to Clipboard Toggle word wrap

流程

1. 在 IdM 客户端上，将文件转换为 PEM 格式：

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

   Copy to Clipboard Toggle word wrap

2. 将密钥提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

   Copy to Clipboard Toggle word wrap

3. 将公共证书提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

   Copy to Clipboard Toggle word wrap

步骤

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. 启动 pcscd 服务。

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

步骤

1. 打开 sssd.conf 文件：

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

2. 更改 p11_child_timeout 的值：

   [pam]
   p11_child_timeout = 60

   Copy to Clipboard Toggle word wrap

3. 更改 krb5_auth_timeout 的值：

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

   Copy to Clipboard Toggle word wrap
4. 保存设置。

1. 管理员必须将证书映射数据或完整证书加载到用户帐户中。
2. 管理员必须创建证书映射规则，以允许为其帐户包含与证书信息匹配的证书映射数据条目的用户成功登录到 IdM。

步骤

1. 创建一个指向证书的变量，该变量还确保其被正确编码，以便您可以检索所需的数据。

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

   Copy to Clipboard Toggle word wrap

2. 使用 sssctl cert-eval-rule 来确定匹配的数据。在以下示例中，使用了证书序列号。

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   Copy to Clipboard Toggle word wrap

   在这种情况下，将 altSecurityIdentities= 后的所有内容添加到 AD 中用户的 altSecurityIdentities 属性中。如果使用 SKI 映射，请使用 --map='LDAPU1: (altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})'。

3. 可选：要在 CLI 中基于匹配规则创建一个新的映射规则，该规则必须与 ad.example.com 域的 adcs19-WIN1-CA 匹配，证书的序列号必须与用户帐户中的 altSecurityIdentities 条目匹配：

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

   Copy to Clipboard Toggle word wrap