RHEL 7.9 仮想マシンでのスマート カード リダイレクトの設定

RHEL 7.9 仮想マシン (VM) でスマート カード リダイレクトを構成するには、この機能が依存するライブラリと、認証で使用するルート認証局 (CA) 証明書をインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。

RHEL 7.9 仮想マシンでスマート カード リダイレクトを設定するには、次の手順を実行します。

説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。

**注：**Horizon Agent がインストールされ、スマート カード リダイレクトが有効になっている RHEL 7.9 仮想マシンに vSphere コンソールからログインすると、ログアウト時間が 2 分以上遅くなることがあります。このログアウトの遅れは、vSphere コンソールからログインした場合にのみ発生します。Horizon Client から RHEL 7.9 のログアウトを行う場合は、このような影響を受けることはありません。

前提条件

スマート カード リダイレクトでの RHEL 7.9 仮想マシンと Active Directory の統合

手順

1. 必要なライブラリをインストールします。

   sudo yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig 
         authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs
   
   

2. ルート CA 証明書をインストールします。

   1. ルート CA 証明書をダウンロードし、デスクトップの /tmp/certificate.cer に保存します。「ルート CA 証明書をエクスポートする方法」を参照してください。

   2. ダウンロードしたルート CA 証明書を .pem ファイルに転送します。

      openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
      

   3. certutil コマンドを使用して、ルート CA 証明書をシステム データベース /etc/pki/nssdb にインストールします。

      次のコマンド例の「root CA cert」は、システム データベースのルート CA 証明書の名前に置き換えます。

      sudo certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
      

3. [アプリケーション] > [Sundry] > [認証] の順に移動し、[スマート カード サポートを有効にする] チェック ボックスを選択して [適用] をクリックします。

4. 次の例のように、/etc/pam_pkcs11/pam_pkcs11.conf 構成ファイルの module設定を編集します。

   use_pkcs11_module = coolkey;
   ...
   pkcs11_module coolkey {
         module = libcoolkeypk11.so;                
         description = "Cool Key";
         slot_num = 0;
         nss_dir = /etc/pki/nssdb;
         cert_policy = ca, signature;
   }
   

5. 次の例に似たコンテンツが含まれるように、/etc/pam_pkcs11/cn_map ファイルを編集します。追加する情報の詳細については、スマート カードの証明書にあるユーザー情報を参照してください。

   user sc -> user-sc
   

6. 次の例のように、/etc/krb5.conf/ 構成ファイルを編集します。

   [libdefaults]
         dns_lookup_realm = false
         ticket_lifetime = 24h
         renew_lifetime = 7d
         forwardable = true
         rdns = false
         default_realm = MYDOMAIN.COM
         default_ccache_name = KEYRING:persistent:%{uid}
   
   [realms]
         MYDOMAIN.COM = {
               kdc = ads-hostname
               admin_server = ads-hostname
               default_domain = ads-hostname
               pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
               pkinit_cert_match = <KU>digitalSignature
               pkinit_kdc_hostname = ads-hostname
         }
   
   [domain_realm]
         .mydomain.com = MYDOMAIN.COM
         mydomain.com = MYDOMAIN.COM
   

7. 仮想マシンが MATE デスクトップ環境を実行している場合は、次の例のように、/etc/pam.d/mate-screensaver の先頭に auth include smartcard-auth 行を追加します。

   #%PAM-1.0
    
   # Fedora Core
   auth include smartcard-auth            
   auth       include      system-auth
   auth       optional     pam_gnome_keyring.so
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth
   
   

   スマート カードでログインするときにユーザーが画面のロックを解除できるようにするには、この構成を行う必要があります。

8. スマート カード シングル サインオン (SSO) 機能をサポートするには、viewagent-greeter.conf ファイルを構成します。「Linux デスクトップでの構成ファイルのオプション設定」を参照してください。

9. PC/SC デーモンを再起動します。

   sudo chkconfig pcscd on
   sudo service pcscd start
   

10. Horizon Agent パッケージをインストールして、スマート カード リダイレクトを有効にします。

    sudo ./install_viewagent.sh -m yes
    

    **注：**デフォルトの PC/SC Lite ライブラリをインストールするように指示するエラー メッセージが表示された場合は、マシンに現在存在するカスタム PC/SC Lite ライブラリをアンインストールし、次のコマンドを使用してデフォルトの PC/SC Lite ライブラリをインストールします。

    yum reinstall pcsc-lite-libs pcsc-lite
    

    その後、Horizon Agent インストーラを実行できます。

11. カスタム PC/SC Lite ライブラリを使用している場合は、config ファイルで pcscd.maxReaderContext および pcscd.readBody オプションを構成します。

    「Linux デスクトップでの構成ファイルのオプション設定」を参照してください。

12. 仮想マシンを再起動して、再度ログインします。