要在 RHEL 7.x/6.x 桌面上配置智能卡重定向功能，请安装该功能所依赖的库、身份验证所需要的根 CA 证书以及所需的 PC/SC Lite 库。此外，您还必须编辑某些配置文件以完成身份验证设置。
可以使用以下过程为 RHEL 7.x/6.x 桌面设置智能卡重定向功能。
该过程中的一些示例使用占位符值以表示网络配置中的实体，例如，AD 域的 DNS 名称。请将占位符值替换为您的配置特定的信息，如下表中所述。
| 占位符值 |
描述 |
| dns_IP_ADDRESS |
DNS 名称服务器的 IP 地址 |
| mydomain.com |
AD 域的 DNS 名称 |
| MYDOMAIN.COM |
AD 域的 DNS 名称，全部为大写字母 |
| MYDOMAIN |
包含 Samba 服务器的工作组或 NT 域的 DNS 名称，全部为大写字母 |
| ads-hostname |
AD 服务器的主机名 |
在运行 RHEL 6.0 或更高版本或者 RHEL 7.1 或更高版本的桌面上支持智能卡重定向。
注： 如果您使用
vSphere 控制台登录到已安装
Horizon Agent 并启用智能卡重定向功能的 RHEL 7.x 系统，那么您可能会遇到两分钟或更长时间的注销时间延迟。只有
vSphere 控制台中才会出现这种注销时间延迟。
Horizon Client 中的 RHEL 7.x 注销体验不受影响。
过程
- 安装所需的库。
yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig
authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs
- 安装根证书颁发机构 (Certification Authority, CA) 证书。
- 下载一个根 CA 证书，并将其保存到桌面上的 /tmp/certificate.cer 中。请参阅如何导出根证书颁发机构证书。
- 找到下载的根 CA 证书，并将其传输到 .pem 文件。
openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
- 使用 certutil 命令将根 CA 证书安装到系统数据库 /etc/pki/nssdb 中。
certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
- 将根 CA 证书复制到 /etc/pam_pkcs11/cacerts 目录中。
mkdir -p /etc/pam_pkcs11/cacerts
cp /tmp/certificate.pem /etc/pam_pkcs11/cacerts
- 导航到 ，选中 Enable smart card support (启用智能卡支持) 复选框，然后单击 Apply (应用)。
- 复制智能卡驱动程序，并将驱动程序库添加到系统数据库 /etc/pki/nssdb 中。
cp libcmP11.so /usr/lib64/
modutil -add "piv card 2.0" -libfile /usr/lib64/libcmP11.so -dbdir /etc/pki/nssdb/
- 在 /etc/pam_pkcs11/pam_pkcs11.conf 配置文件中编辑 module 设置，如以下示例中所示。
pkcs11_module coolkey {
module = libcmP11.so;
description = "Cool Key";
slot_num = 0;
ca_dir = /etc/pam_pkcs11/cacerts;
nss_dir = /etc/pki/nssdb;
cert_policy = ca, signature;
}
- 编辑 /etc/pam_pkcs11/cn_map 文件，以使其包含类似于以下示例的内容。要包含特定的内容，请参阅智能卡证书中列出的用户信息。
- 编辑 /etc/krb5.conf/ 配置文件，如以下示例中所示。
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_realm = MYDOMAIN.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
MYDOMAIN.COM = {
kdc = ads-hostname
admin_server = ads-hostname
default_domain = ads-hostname
pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
pkinit_cert_match = <KU>digitalSignature
pkinit_kdc_hostname = ads-hostname
}
[domain_realm]
.mydomain.com = MYDOMAIN.COM
mydomain.com = MYDOMAIN.COM
- 编辑 /etc/pam.d/system-auth 配置文件，以使其包含以下示例中显示的行。
auth optional pam_krb5.so use_first_pass no_subsequent_prompt
preauth_options=X509_user_identity=PKCS11:/usr/lib64/libcmP11.so
- 重新启动 PC/SC 守护进程。
chkconfig pcscd on
service pcscd start
- 为您的 RHEL 分发包安装所需的 PC/SC Lite 版本。
- 对于 RHEL 7.x，请安装 PC/SC Lite 版本 1.8.8。
yum install git flex autoconf automake libtool libudev-devel flex
git clone https://salsa.debian.org/rousseau/PCSC.git
cd PCSC
git checkout -b pcsc-1.8.8 1.8.8
./bootstrap
./configure --build=x86_64-redhat-linux-gnu --host=x86_64-redhat-linux-gnu --program-prefix=
--disable-dependency-tracking --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin
--sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libdir=/usr/lib64
--libexecdir=/usr/libexec --localstatedir=/var --sharedstatedir=/var/lib --mandir=/usr/share/man
--infodir=/usr/share/info --disable-static --enable-usbdropdir=/usr/lib64/pcsc/drivers
make
make install
- 对于 RHEL 6.x，请安装 PC/SC Lite 版本 1.7.4。
yum groupinstall "Development tools"
yum install libudev-devel
service pcscd stop
wget https://alioth.debian.org/frs/download.php/file/3598/pcsc-lite-1.7.4.tar.bz2
tar -xjvf pcsc-lite-1.7.4.tar.bz2
cd ./pcsc-lite-1.7.4
./configure --prefix=/usr/ --libdir=/usr/lib64/ --enable-usbdropdir=/usr/lib64/pcsc/drivers
--enable-confdir=/etc --enable-ipcdir=/var/run --disable-libusb --disable-serial --disable-usb
--disable-libudev
make
make install
service pcscd start
- 安装 Horizon Agent 软件包并启用智能卡重定向。
sudo ./install_viewagent.sh -M yes
为 RHEL 分发包安装所需的软件包：
- 对于 RHEL 7.x，请安装 Horizon Agent 7.8 或更高版本。
- 对于 RHEL 6.x，请安装 View Agent 6.2.1 或更高版本。
- 重新引导系统，然后重新登录。
