SLED/SLES 仮想マシンでの True SSO の設定

SLED/SLES 仮想マシン (VM) で True SSO 機能を有効にするには、True SSO 機能が依存するライブラリ、信頼できる認証をサポートするルート認証局 (CA) 証明書、Horizon Agent をインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。

次の手順に従って、SLED または SLES 仮想マシンで True SSO を有効にします。

前提条件

• Workspace ONE Access と Horizon Connection Server に True SSO を設定します。

• 「True SSO での SLED/SLES 仮想マシンと Active Directory の統合」で説明する手順を実行します。

• ルート CA 証明書を取得し、SLED/SLES 仮想マシンの /tmp/certificate.cer に保存します。「ルート CA 証明書をエクスポートする方法」を参照してください。

  下位認証局 (CA) も発行機関の場合は、ルートおよび下位 CA 証明書のチェーン全体を取得し、仮想マシンの /tmp/certificate.cer に保存します。

手順

1. 次のコマンドを実行して、必須パッケージをインストールします。

   sudo zypper install mozilla-nss-tools pam_krb5 krb5-client krb5-plugin-preauth-pkinit
   

2. ルート CA 証明書または証明書チェーンをインストールします。

   1. ダウンロードしたルート CA 証明書または証明書チェーンを見つけて、PEM ファイルに転送します。

      sudo openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
      

   2. システム データベースを格納する /etc/pki/nssdb ディレクトリを作成します。

      sudo mkdir -p /etc/pki/nssdb
      

   3. certutil コマンドを使用して、ルート CA 証明書または証明書チェーンをシステム データベース /etc/pki/nssdb にインストールします。

      次のコマンド例の「root CA cert」は、システム データベースのルート CA 証明書の名前に置き換えます。

      sudo certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
          
      

   4. ルート CA 証明書を pam_pkcs11 に追加します。

      sudo cp /tmp/certificate.pem /etc/pki/ca-trust/source/anchors/ca_cert.pem
      

3. 次の例のように、/etc/krb5.conf 構成ファイルの内容を編集します。

   [libdefaults]
         default_realm = MYDOMAIN.COM
         dns_lookup_realm = false
         ticket_lifetime = 24h
         renew_lifetime = 7d
         forwardable = true
         rdns = false
         default_ccache_name = KEYRING:persistent:%{uid}
   
   [realms]
         MYDOMAIN.COM = {
               kdc = ads-hostname
               admin_server = ads-hostname 
               pkinit_anchors = DIR:/etc/pki/ca-trust/source/anchors
               pkinit_kdc_hostname = ADS-HOSTNAME
               pkinit_eku_checking = kpServerAuth
         }
   
   [domain_realm]
         .mydomain.com = MYDOMAIN.COM
         mydomain.com = MYDOMAIN.COM
   
   

   **注：**また、/etc/krb5.conf でファイル権限を 644 に設定する必要があります。そうしないと、True SSO 機能が動作しない場合があります。

   次の表を参考にして、サンプルのプレースホルダーの値をご使用のネットワーク環境に合わせて変更してください。

   プレースホルダーの値	説明
   mydomain.com	Active Directory ドメインの DNS 名
   MYDOMAIN.COM	Active Directory ドメインの DNS 名。すべて大文字にします。
   ads-hostname	Active Directory サーバのホスト名
   ADS-HOSTNAME	Active Directory サーバのホスト名（すべて大文字）

4. Horizon Agent パッケージをインストールして、True SSO を有効にします。

   sudo ./install_viewagent.sh -T yes
   

5. 次のパラメータを Horizon Agent カスタム構成ファイル (viewagent-custom.conf) に追加します。次の構文を使用します。NETBIOS_NAME_OF_DOMAIN は、組織の NetBIOS ドメインの名前です。

   NetbiosDomain=NETBIOS_NAME_OF_DOMAIN
   

   **注：**NetBIOS ドメインの長い名前を常に使用します（LXD.VDI など）。LXD などの短縮名を使用すると、True SSO 機能が動作しません。

6. 仮想マシンを再起動して、再度ログインします。