5.6. 为智能卡用户启用无密码的 sudo 验证

步骤

1. 设置约束委派规则，以列出托管票据可以访问哪些主机。

   例 5.1. 设置约束委派规则

   Web 控制台会话运行主机 host.example.com，并应受信任，以通过 sudo 访问自己的主机。此外，我们还添加了第二个可信主机 - remote.example.com。

   • 创建以下委派：

     • 运行以下命令添加特定规则可以访问的目标机器列表：

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • 要允许 Web 控制台会话(HTTP/principal)访问该主机列表，请使用以下命令：

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 在对应服务中启用 GSS 身份验证：

   1. 对于 sudo，在 /etc/sssd/sssd.conf 文件中启用 pam_sss_gss 模块：

      1. 以 root 用户身份，将域的条目添加到 /etc/sssd/sssd.conf 配置文件。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. 在第一行启用 /etc/pam.d/sudo 文件中的模块。

         auth sufficient pam_sss_gss.so

   2. 对于 SSH，将 /etc/ssh/sshd_config 文件中的 GSSAPIAuthentication 选项更新为 yes。

验证

1. 使用智能卡登录到 web 控制台。
2. 点 Limited access 按钮。
3. 使用您的智能卡进行验证。