Configurar True SSO en los escritorios RHEL/CentOS 8.x

Para admitir True SSO en escritorios RHEL/CentOS 8.x, primero debe integrar la máquina virtual base con su dominio de Active Directory (AD). A continuación, debe modificar algunas configuraciones en el sistema para admitir la función True SSO.

Nota: True SSO no se admite en escritorios RHEL 8.x de clones instantáneos.

Algunos ejemplos incluidos en el procedimiento utilizan valores de marcador de posición para representar entidades en su configuración de red, como el nombre de DNS de su dominio de AD. Reemplace los valores de marcador de posición con información específica de su configuración, tal y como se describe en la siguiente tabla.

Valor del marcador de posición	Descripción
midominio.com	Nombre DNS de su dominio de AD
MIDOMINIO.COM	Nombre DNS de su dominio de AD, en mayúsculas
MIDOMINIO	Nombre del dominio NetBIOS

Requisitos previos

• Configure True SSO para Workspace ONE Access y Horizon Connection Server.
• Compruebe que el servidor de Active Directory (AD) se puede resolver mediante el DNS en la máquina virtual base RHEL/CentOS 8.x.
• Configure el nombre de host de la máquina virtual.
• Configure el protocolo de tiempo de redes (NTP) en la máquina virtual.

Procedimiento

1. En la máquina virtual RHEL/CentOS 8.x, compruebe la conexión de red con Active Directory.

   # realm discover mydomain.com

2. Instale los paquetes de dependencia necesarios.

   # yum install oddjob oddjob-mkhomedir sssd adcli samba-common-tools

3. Únase al dominio de AD.

   # realm join --verbose mydomain.com -U administrator

4. Descargue el certificado de CA raíz y cópielo en el directorio requerido como un archivo .pem.

   # openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
   
   # cp /tmp/certificate.pem /etc/sssd/pki/sssd_auth_ca_db.pem

5. Modifique el archivo de configuración /etc/sssd/sssd.conf, tal como se muestra en el siguiente ejemplo.

   [sssd]
   domains = mydomain.com
   config_file_version = 2
   services = nss, pam
    
   [domain/mydomain.com]
   ad_domain = mydomain.com
   krb5_realm = IMYDOMAIN.COM
   realmd_tags = manages-system joined-with-adcli
   cache_credentials = True
   id_provider = ad
   krb5_store_password_if_offline = True
   default_shell = /bin/bash
   ldap_id_mapping = True
   use_fully_qualified_names = False        <---------------- Use short name for user
   fallback_homedir = /home/%u@%d
   access_provider = ad
   ad_gpo_map_interactive = +gdm-vmwcred    <---------------- Add this line for SSO
    
   [pam]                                    <---------------- Add pam section for certificate logon
   pam_cert_auth = True                     <---------------- Add this line to enable certificate logon for system
   pam_p11_allowed_services = +gdm-vmwcred  <---------------- Add this line to enable certificate logon for VMware Horizon Agent
    
   [certmap/mydomain.com/truesso]          <---------------- Add this section and following lines to set match and map rule for certificate user
   matchrule = <EKU>msScLogin
   maprule = (|(userPrincipal={subject_principal})(samAccountName={subject_principal.short_name}))
   domains = mydomain.com
   priority = 10

6. Modifique el archivo de configuración /etc/krb5.conf estableciendo el modo igual a 644.
   Nota: Si no modifica /etc/krb5.conf según lo especificado, es posible que la función True SSO no funcione.
7. Instale el paquete Horizon Agent con True SSO habilitado.

   # sudo ./install_viewagent.sh -T yes

8. Modifique el archivo de configuración /etc/vmware/viewagent-custom.conf para que incluya la siguiente línea.

   NetbiosDomain = MYDOMAIN

9. Reinicie la máquina virtual y vuelva a iniciar sesión.