2.4. 使用 Ansible 为智能卡验证配置 IdM 客户端

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. （可选）使用 openssl x509 工具查看 PEM 格式的文件的内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中，例如：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 客户端。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • 根 CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-clients.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible 角色执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它将系统安全服务守护进程(SSSD)配置为允许用户使用其用户名和密码或者智能卡进行身份验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。