Configurer l'authentification unique réelle sur des postes de travail SLED/SLES

Pour activer la fonctionnalité d'authentification unique réelle sur un poste de travail SLED/SLES 12.x SP3, installez les bibliothèques dont dépend la fonctionnalité d'authentification unique réelle, le certificat d'autorité de certification racine pour prendre en charge l'authentification approuvée et Horizon Agent. En outre, vous devez modifier certains fichiers de configuration pour terminer la configuration de l'authentification.

Utilisez la procédure suivante pour activer l'authentification unique réelle sur des postes de travail SLED 12.x SP3 et SLES 12.x SP3. Pour prendre en charge l'authentification unique réelle sur ces postes de travail, vous devez installer Horizon Agent 7.8 ou version ultérieure.

Conditions préalables

Configurez l'authentification unique réelle pour VMware Identity Manager et Horizon Connection Server.
Intégrer un poste de travail SLED/SLES à Active Directory pour l'authentification unique réelle
Procurez-vous un certificat d'autorité de certification racine et enregistrez-le dans /tmp/certificate.cer sur votre poste de travail SLED/SLES 12.x SP3. Reportez-vous à Exportation du certificat d'autorité de certification de racine.

Procédure

Pour un poste de travail SLES 12.x SP3, installez les modules nécessaires en exécutant la commande suivante.
```
zypper install mozilla-nss-tools pam_krb5 krb5-client krb5-plugin-preauth-pkinit
```
Pour un poste de travail SLED 12.x SP3, installez les modules nécessaires en exécutant les étapes suivantes.
1. Téléchargez un fichier .iso SLES sur le disque local de votre poste de travail SLED (par exemple, /tmp/SLE-12-SP3-Server-DVD-x86_64-GM-DVD1.iso).
  Vous devez ajouter le fichier .iso SLES comme source de module pour votre poste de travail SLED, car le module krb5-plugin-preauth-pkinit nécessaire est disponible uniquement pour les systèmes SLES.
2. Montez le fichier .iso SLES sur votre poste de travail SLED et installez les modules nécessaires.
```
sudo mkdir -p /mnt/sles
sudo mount -t iso9660 /tmp/SLE-12-SP3-Server-DVD-x86_64-GM-DVD1.iso /mnt/sles
sudo zypper ar -f /mnt/sles sles
zypper install mozilla-nss-tools pam_krb5 krb5-client krb5-plugin-preauth-pkinit
```
3. Lorsque l'installation est terminée, démontez le fichier .iso SLES.
```
sudo unmount /mnt/sles
```
Installez un certificat d'autorité de certification racine (CA).
1. Localisez le certificat d'autorité de certification racine que vous avez téléchargé et transférez-le vers un fichier .pem.
```
openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
```
2. Utilisez la commande certutil pour installer le certificat d'autorité de certification racine dans la base de données système /etc/pki/nssdb.
```
certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
```
3. Ajoutez le certificat d'autorité de certification racine à pam_pkcs11.
```
cp /tmp/certificate.pem /etc/pki/ca-trust/source/anchors/ca_cert.pem
```

Modifiez le fichier de configuration /etc/krb5.conf afin que son contenu soit semblable à l'exemple suivant.

[libdefaults]
      default_realm = MYDOMAIN.COM
      dns_lookup_realm = false
      ticket_lifetime = 24h
      renew_lifetime = 7d
      forwardable = true
      rdns = false
      default_ccache_name = KEYRING:persistent:%{uid}

[realms]
      MYDOMAIN.COM = {
            kdc = ads-hostname
            admin_server = ads-hostname 
            pkinit_anchors = DIR:/etc/pki/ca-trust/source/anchors
            pkinit_kdc_hostname = ads-hostname
            pkinit_eku_checking = kpServerAuth
      }

[domain_realm]
      .mydomain.com = MYDOMAIN.COMmydomain.com = MYDOMAIN.COM

Remplacez les valeurs d'espace réservé dans l'exemple par des informations spécifiques à votre configuration réseau, comme décrit dans le tableau suivant.


Valeur d'espace réservé	Description
mydomain.com	Nom DNS de votre domaine AD
MYDOMAIN.COM	Nom DNS de votre domaine AD (en majuscules)
ads-hostname	Nom d'hôte de votre serveur AD (sensible à la casse)

Installez le module Horizon Agent, avec l'authentification unique réelle activée.
```
sudo ./install_viewagent.sh -T yes
```
Note : Pour utiliser la fonctionnalité d'authentification unique réelle, vous devez installer Horizon Agent 7.8 ou version ultérieure.
Ajoutez le paramètre suivant au fichier de configuration personnalisé Horizon Agent/etc/vmware/viewagent-custom.conf. Utilisez l'exemple suivant, où NETBIOS_NAME_OF_DOMAINE est le nom NetBIOS du domaine de votre organisation.
```
NetbiosDomain=NETBIOS_NAME_OF_DOMAIN
```
Redémarrez votre système et reconnectez-vous.