在 RHEL 9.x/8.x 虚拟机上配置智能卡重定向功能

要在 RHEL 9.x/8.x 虚拟机 (VM) 上配置智能卡重定向功能，请安装该功能所依赖的库以及用于支持可信智能卡身份验证的根证书颁发机构 (CA) 证书。

前提条件

将 RHEL 9.x/8.x 虚拟机与 Active Directory 集成以进行智能卡重定向
要在 FIPS 模式下使用智能卡单点登录 (SSO) 功能，请确保您已完成配置符合 FIPS 的 Linux 虚拟机中所述的所有步骤。您必须将 VMwareBlastServer 的可信 CA 证书添加到 /etc/vmware/ssl/rui.crt，并将与 rui.crt 配对的密钥添加到 /etc/vmware/ssl/rui.key。

过程

安装所需的库。

yum install -y opensc pcsc-lite pcsc-lite-libs pcsc-lite-ccid nss-tools

启用 pcscd 服务。

systemctl enable pcscd
systemctl start pcscd

确保 /etc/sssd/sssd.conf 配置文件包含以下行，这些行将启用智能卡身份验证。
```
[pam]
pam_cert_auth = True
```

将所需的 CA 证书复制到 /etc/sssd/pki/sssd_auth_ca_db.pem。

openssl x509 -inform der -in certificate.cer -out certificate.pem
cp certificate.pem /etc/sssd/pki/sssd_auth_ca_db.pem

要验证智能卡的状态，请运行以下 pkcs11-tool 命令，并确认它们返回正确的输出。
```
pkcs11-tool -L

pkcs11-tool --login -O

pkcs11-tool --test --login
```

复制所需的驱动程序，并将必要的库文件添加到 nssdb 目录。

运行类似于以下示例的命令。

这些示例命令展示了如何将 Gemalto PIV 2.0 卡的驱动程序文件 libcmP11.so 添加到 nssdb 目录。您可以将 libcmP11.so 替换为智能卡的驱动程序文件。

cp libcmP11.so /usr/lib64/
mkdir -p /etc/pki/nssdb
certutil -N -d /etc/pki/nssdb
certutil -A -n rootca -i certificate.pem -t "CT,CT,CT" -d /etc/pki/nssdb
modutil -dbdir /etc/pki/nssdb/  -add "piv card 2.0" -libfile /usr/lib64/libcmP11.so

运行以下命令，确认已成功加载所需的证书。
```
# certutil -L -d /etc/pki/nssdb
```
确认命令返回的输出与以下示例类似。
```
Certificate Nickname
rootca
```

运行以下命令，确认已成功添加所需的库。

modutil -dbdir /etc/pki/nssdb -list

确认命令返回的输出与以下示例类似。

Listing of PKCS #11 Modules
–-----------------------------------------------------------
  1. NSS Internal PKCS #11 Module
         slots: 2 slots attached
        status: loaded

         slot: NSS Internal Cryptographic Services
        token: NSS Generic Crypto Services

         slot: NSS User Private Key and Certificate Services
        token: NSS Certificate DB

  2. piv card 2.0
        library name: /usr/lib/libcmP11.so
         slots: There are no slots attached to this module
        status: loaded
–-----------------------------------------------------------

创建 /usr/share/p11-kit/modules/libcmP11.module 文件。在该文件中添加以下内容。

# This file describes how to load the opensc module
# See: http://p11-glue.freedesktop.org/doc/p11-kit/config.html
 
# This is a relative path, which means it will be loaded from
# the p11-kit default path which is usually $(libdir)/pkcs11.
# Doing it this way allows for packagers to package opensc for
# 32-bit and 64-bit and make them parallel installable
module: /usr/lib64/libcmP11.so
priority: 99

注： (RHEL 9.x) 您还必须从系统中移除 /usr/share/p11-kit/modules/p11-kit-trust.module 文件。此外，如果不使用 opensc，则必须移除 /usr/share/p11-kit/modules/opensc.module 文件。

要支持智能卡 SSO 功能，请配置 /etc/vmware/viewagent-greeter.conf 文件。请参阅在 Linux 桌面上的配置文件中设置选项。
安装 Horizon Agent 软件包并启用智能卡重定向。
- 如果使用 .rpm 安装程序：
  1. 运行安装程序以使用默认功能选项安装 Horizon Agent。
```
sudo rpm -ivh VMware-horizonagent-linux-YYMM-y.y.y-xxxxxxx.el8.x86_64.rpm
```
  2. 要添加智能卡重定向功能，请运行 ViewSetup.sh 脚本。
```
/usr/lib/vmware/viewagent/bin/ViewSetup.sh -m yes
```
- 如果使用 .tar.gz 安装程序，请使用用于启用智能卡重定向功能的参数运行安装程序：
```
sudo ./install_viewagent.sh -m yes
```
注：如果您收到一条错误消息，指示您安装默认 PC/SC Lite 库，请卸载计算机上当前存在的自定义 PC/SC Lite 库，并使用以下命令安装默认 PC/SC Lite 库。
```
yum reinstall pcsc-lite-libs pcsc-lite
```
然后，可以运行 Horizon Agent 安装程序。
如果您使用的是自定义 PC/SC Lite 库，请在 /etc/vmware/config 文件中配置 pcscd.maxReaderContext 和 pcscd.readBody 选项。
请参阅在 Linux 桌面上的配置文件中设置选项。
重新启动虚拟机，然后重新登录。