3.3. 使用 ADCS 证书为智能卡身份验证配置 IdM 服务器和客户端
您必须配置 IdM（身份管理）服务器和客户端，以便能够在 IdM 环境中使用智能卡身份验证。IdM 包含进行了所有必要更改的 ipa-advise 脚本：
- 安装所需的软件包
- 配置 IdM 服务器和客户端
- 将 CA 证书复制到期望的位置
您可以在 IdM 服务器中运行 ipa-advise。
按照以下流程为智能卡验证配置服务器和客户端：
-
在 IdM 服务器中：准备
ipa-advise脚本，以配置您的 IdM 服务器进行智能卡验证。 -
在 IdM 服务器中：准备
ipa-advise脚本，以配置您的 IdM 客户端进行智能卡验证。 -
在 IdM 服务器中：使用 AD 证书在 IdM 服务器中应用
ipa-advise服务器脚本。 - 将客户端脚本移动到 IdM 客户端机器中。
-
在 IdM 客户端中：使用 AD 证书在 IdM 客户端中应用
ipa-advise客户端脚本。
先决条件
- 证书已复制到 IdM 服务器。
- 获取 Kerberos 票据。
- 以具有管理权限的用户身份登录。
步骤
在 IdM 服务器中，使用
ipa-advise脚本来配置客户端：[root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh
在 IdM 服务器中，使用
ipa-advise脚本来配置服务器：[root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh
在 IdM 服务器中执行脚本：
[root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer
- 它配置 IdM Apache HTTP 服务器。
- 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
- 它将 IdM Web UI 配置为接受智能卡授权请求。
将
sc_client.sh脚本复制到客户端系统中：[root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root Password: sc_client.sh 100% 2857 1.6MB/s 00:00
将 Windows 证书复制到客户端系统中：
[root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root Password: adcs-winserver-ca.cer 100% 1254 952.0KB/s 00:00
在客户端系统中运行客户端脚本：
[root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer
CA 证书以正确格式安装在 IdM 服务器和客户端系统中，下一步是将用户证书复制到智能卡本身。
