SLED/SLES 가상 시스템에서 스마트 카드 리디렉션 설정

SLED/SLES VM(가상 시스템)에서 스마트 카드 리디렉션을 구성하려면 해당 기능이 의존하는 라이브러리와 스마트 카드의 신뢰할 수 있는 인증을 지원하기 위한 루트 CA(인증 기관) 인증서를 설치합니다. 또한 인증 설정을 완료하려면 일부 구성 파일을 편집해야 합니다.

이 절차의 일부 예시는 AD 도메인의 DNS 이름과 같은 네트워크 구성의 엔티티를 나타내기 위해 자리 표시자 값을 사용합니다. 다음 표에 설명된 대로 자리 표시자 값을 구성과 관련된 정보로 바꿉니다.

사전 요구 사항

스마트 카드 리디렉션을 위해 SLED/SLES 가상 시스템을 Active Directory와 통합에 설명된 단계를 완료하십시오.

절차

1. PAM 라이브러리 및 기타 필수 패키지를 설치합니다.

   sudo zypper install pam_pkcs11 mozilla-nss mozilla-nss-tools pcsc-lite pcsc-ccid opensc pcsc-tools
   

   모든 이전 패키지를 설치하려면 PackageHub와 같은 확장을 사용하도록 설정해야 할 수 있습니다.

2. 루트 CA 인증서를 설치합니다.

   1. 루트 CA 인증서를 다운로드하고 시스템의 /tmp/certificate.cer에 저장합니다. 루트 인증 기관 인증서를 내보내는 방법을 참조하십시오.

   2. NSS 데이터베이스에 신뢰 앵커를 설치합니다.

      sudo mkdir /etc/pam_pkcs11/nssdb
      sudo certutil -N -d /etc/pam_pkcs11/nssdb
      sudo certutil -L -d /etc/pam_pkcs11/nssdb
      sudo certutil -A -n rootca -i certificate.pem -t "CT,CT,CT" -d /etc/pam_pkcs11/nssdb
      

   3. 필요한 드라이버를 설치합니다.

      sudo modutil -add "opensc lib" -libfile /usr/lib64/opensc-pkcs11.so -dbdir /etc/pam_pkcs11/nssdb/
      

3. 다음 예시와 같이 /etc/pam_pkcs11/pam_pkcs11.conf 파일을 편집합니다.

   use_pkcs11_module = opensc;
   ...
   pkcs11_module opensc {
        module = /usr/lib64/opensc-pkcs11.so;
        description = "OpenSC PKCS#11 module";
        slot_num = 0;
        nss_dir = /etc/pam_pkcs11/nssdb;
        crl_dir = /etc/pam_pkcs11/crls;
        support_threads = false;
        cert_policy = ca,signature;
        token_type = "Smart card";
   }
   ...
   use_mappers = cn, null;                         
   ...
   mapper cn {
        debug = false;
        module = internal;
        ignorecase = true;
        mapfile = file:///etc/pam_pkcs11/cn_map;         
   }
   

4. 다음 줄을 포함하도록 /etc/pam_pkcs11/cn_map 구성 파일을 편집합니다.

   ads-hostname -> ads-hostname
   

5. PAM 구성을 수정합니다.

   1. 스마트 카드 인증을 구성할 수 있도록 하려면 먼저 pam_config 도구를 비활성화합니다.

      sudo find /etc/pam.d/ -type l -iname "common-*" -delete
      sudo for X in /etc/pam.d/common-*-pc; do cp -ivp $X ${X:0:-3}; done
      

   2. /etc/pam.d/ 디렉토리에 common-auth-smartcard라는 파일을 생성합니다. 파일에 다음 컨텐츠를 추가합니다.

      auth    required        pam_env.so
      auth    sufficient      pam_pkcs11.so
      auth    optional        pam_gnome_keyring.so
      auth    [success=1 default=ignore]      pam_unix.so nullok_secure try_first_pass
      auth    required        pam_winbind.so  use_first_pass
      

   3. 두 파일 /etc/pam.d/gdm 및 /etc/pam.d/xscreensaver에서 auth include common-auth 줄을 auth include common-auth-smartcard 줄로 바꿉니다.

6. VM이 다시 시작된 후에 pcscd 서비스가 자동으로 시작되도록 구성하려면 pcscd.service 파일을 편집합니다.

   1. 파일이 다음 예제와 비슷해지도록 /usr/lib/systemd/system/pcscd.service에 WantedBy=multi-user.target 행을 추가합니다.

      [Unit]
      Description=PC/SC Smart Card Daemon
      Requires=pcscd.socket
          
      [Service]
      ExecStart=/usr/sbin/pcscd --foreground --auto-exit
      ExecReload=/usr/sbin/pcscd --hotplug
          
      [Install]
      Also=pcscd.socket
      WantedBy=multi-user.target
      

   2. pcscd.service 파일을 편집한 후 다음 명령을 실행합니다.

      sudo systemctl enable pcscd
      

   참고: VM이 다시 시작된 후에 pcscd 서비스가 시작되지 않으면 pam_pkcs11을 통한 첫 번째 로그인에 실패합니다.

7. 방화벽을 해제합니다.

   sudo rcSuSEfirewall2 stop
   sudo chkconfig SuSEfirewall2_setup off
   sudo chkconfig SuSEfirewall2_init off
   

   참고: 방화벽이 사용하도록 설정되어 있으면 스마트 카드 리디렉션이 실패할 수 있습니다.

8. 스마트 카드 SSO(Single Sign-On) 기능을 지원하려면 viewagent-greeter.conf 파일을 구성합니다. Linux 데스크톱의 구성 파일에서 옵션 설정을 참조하십시오.

9. 스마트 카드 리디렉션을 사용하도록 설정하고 Horizon Agent 패키지를 설치합니다.

   sudo ./install_viewagent.sh -m yes
   

   참고: 기본 PC/SC Lite 라이브러리를 설치하라는 오류 메시지가 표시되면 시스템에 현재 있는 사용자 지정 PC/SC Lite 라이브러리를 제거하고 다음 명령을 사용하여 기본 PC/SC Lite 라이브러리를 설치합니다.

   sudo zypper install -f -y pcsc-lite libpcsclite1
   

   그런 다음, Horizon Agent 설치 관리자를 실행할 수 있습니다.

10. 사용자 지정 PC/SC Lite 라이브러리를 사용하는 경우 config 파일에서 pcscd.maxReaderContext 및 pcscd.readBody 옵션을 구성합니다.

    Linux 데스크톱의 구성 파일에서 옵션 설정을 참조하십시오.

11. VM을 다시 시작하고 다시 로그인합니다.