在 Ubuntu/Debian 虛擬機器上設定智慧卡重新導向

若要在 Ubuntu/Debian 虛擬機器 (VM) 上設定智慧卡重新導向，請安裝該功能所依賴的程式庫，以及支援受信任的智慧卡驗證所需的根憑證授權機構 (CA) 憑證。此外，您還必須編輯某些組態檔以完成驗證設定。

此程序中的某些範例使用預留位置值來代表您網路組態中的實體，例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊，如下表所說明。

先決條件

整合 Ubuntu/Debian 虛擬機器與 Active Directory 以支援智慧卡重新導向

程序

1. 在 Ubuntu/Debian 虛擬機器上安裝所需的程式庫。

   sudo apt-get install -y pcscd pcsc-tools pkg-config libpam-pkcs11 opensc libengine-pkcs11-openssl libnss3-tools
   

2. 安裝根 CA 憑證。

   1. 下載根 CA 憑證，並將其儲存到 Ubuntu 虛擬機器上的 /tmp/certificate.cer。請參閱如何匯出根憑證授權機構憑證。

   2. 找到您下載的根 CA 憑證並轉換為 .pem 檔案。

      sudo openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
      

   3. 將該根 CA 憑證複製到 /etc/pam_pkcs11/cacerts 目錄中。

      sudo cp /tmp/certificate.pem /etc/pam_pkcs11/cacerts
      

3. 建立 pkcs11 雜湊檔案。

   sudo chmod a+r certificate.pem
   sudo pkcs11_make_hash_link
   

4. 設定 pam_pkcs11 程式庫。

   1. 使用預設範例內容建立 pam_pkcs11.conf 檔案。

      • (Ubuntu 20.04、Debian 10.x) 依序執行下列命令。

        sudo mkdir /etc/pam_pkcs11
        sudo zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.example.gz | tee /etc/pam_pkcs11/pam_pkcs11.conf
        

      • (Ubuntu 20.04.1 及更新版本、Ubuntu 22.04、Debian 11.x) 依序執行下列命令。

        sudo mkdir /etc/pam_pkcs11
        sudo cat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.example | tee /etc/pam_pkcs11/pam_pkcs11.conf
        

   2. 編輯 /etc/pam_pkcs11/pam_pkcs11.conf 檔案，如下列範例所示。

      use_pkcs11_module = opensc;                            
      ...
      pkcs11_module opensc {                                 
           module = /usr/lib/x86_64-linux-gnu/opensc-pkcs11.so;         
           description = "OpenSC PKCS#11 module";               
           slot_num = 0;                           
           ca_dir = /etc/pam_pkcs11/cacerts;
           crl_dir = /etc/pam_pkcs11/crls;       
           support_threads = false;
           cert_policy = ca,signature;
           token_type = "Smart card";                       
      }                                                    
      ...
      use_mappers = cn, null;                        
      ...
      mapper cn {
           debug = false;
           module = internal;
           ignorecase = true;
           mapfile = file:///etc/pam_pkcs11/cn_map; 
      }
      

   3. 編輯 /etc/pam_pkcs11/cn_map 檔案，並加入下列一行。

      Common name -> Login ID
      

5. 編輯 /etc/pam.d/gdm-password 組態檔。將 pam_pkcs11.so 授權行放在 common-auth 這一行前面，如下列範例所示。

   #%PAM-1.0
   auth    requisite       pam_nologin.so
   auth    required        pam_succeed_if.so user != root quiet_success
   auth sufficient pam_pkcs11.so                                                                               
   @include common-auth
   auth    optional        pam_gnome_keyring.so
   @include common-account
   

6. 若要確認智慧卡硬體和安裝在智慧卡上的憑證，請執行下列命令。

   sudo pcsc_scan
   sudo pkcs11_listcerts
   sudo pkcs11_inspect
   

7. 安裝啟用智慧卡重新導向的 Horizon Agent 套件。

   sudo ./install_viewagent.sh -m yes
   

   **附註：**如果出現錯誤訊息，提示您需要安裝預設的 PC/SC Lite 程式庫，請先解除安裝機器上現有的自訂 PC/SC Lite 程式庫，然後使用下列命令安裝預設的 PC/SC Lite 程式庫。

   sudo apt-get install --reinstall pcscd libpcsclite1
   

   接著，您即可執行 Horizon Agent 安裝程式。

8. 如果您使用自訂的 PC/SC Lite 程式庫，請在 config 檔案中設定 pcscd.maxReaderContext 和 pcscd.readBody 選項。

   請參閱在 Linux 桌面平台上設定組態檔中的選項。

9. 重新啟動 Ubuntu 虛擬機器，並重新登入。