RHEL/CentOS 8.x デスクトップでの True SSO の設定

RHEL/CentOS 8.x デスクトップで True SSO をサポートするには、まず Active Directory (AD) ドメインとシステムを統合する必要があります。次に、True SSO 機能をサポートするように、システムで特定の設定を変更する必要があります。

RHEL/CentOS 8.1 デスクトップで True SSO をサポートするには、Horizon Agent 7.12 以降をインストールする必要があります。

RHEL/CentOS 8.0 デスクトップで True SSO をサポートするには、Horizon Agent 7.11 以降をインストールする必要があります。

注：インスタントクローンの RHEL 8.x デスクトップでは、True SSO はサポートされていません。

説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。


プレースホルダーの値	説明
mydomain.com	Active Directory ドメインの DNS 名
MYDOMAIN.COM	Active Directory ドメインの DNS 名。すべて大文字にします。
MYDOMAIN	NetBIOS ドメインの名前

前提条件

Active Directory (AD) サーバが RHEL/CentOS 8.x システムの DNS で解決できることを確認します。
システムのホスト名を設定します。
システムで NTP (Network Time Protocol) を設定します。

手順

RHEL/CentOS 8.x システムで、Active Directory とのネットワーク接続を確認します。
```
# realm discover mydomain.com
```

必要な依存パッケージをインストールします。

# yum install oddjob oddjob-mkhomedir sssd adcli samba-common-tools

Active Directory ドメインに参加します。

# realm join --verbose mydomain.com -U administrator

ルート CA 証明書をダウンロードして、必要なディレクトリに .pem ファイルとしてコピーします。

# openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem

# cp /tmp/certificate.pem /etc/sssd/pki/sssd_auth_ca_db.pem

次の例のように、/etc/sssd/sssd.conf 構成ファイルを変更します。

[sssd]
domains = mydomain.com
config_file_version = 2
services = nss, pam
 
[domain/mydomain.com]
ad_domain = mydomain.com
krb5_realm = IMYDOMAIN.COM
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False        <---------------- Use short name for user
fallback_homedir = /home/%u@%d
access_provider = ad
ad_gpo_map_interactive = +gdm-vmwcred    <---------------- Add this line for SSO
 
[pam]                                    <---------------- Add pam section for certificate logon
pam_cert_auth = True                     <---------------- Add this line to enable certificate logon for system
pam_p11_allowed_services = +gdm-vmwcred  <---------------- Add this line to enable certificate logon for VMware Horizon Agent
 
[certmap/mydomain.com/truesso]          <---------------- Add this section and following lines to set match and map rule for certificate user
matchrule = <EKU>msScLogin
maprule = (|(userPrincipal={subject_principal})(samAccountName={subject_principal.short_name}))
domains = mydomain.com
priority = 10

Horizon Agent パッケージをインストールして、True SSO を有効にします。

# sudo ./install_viewagent.sh -T yes

注： True SSO 機能を使用するには、次の表に示すように、Linux ディストリビューションに必要なバージョンの Horizon Agent をインストールする必要があります。


Linux ディストリビューション	Horizon Agent
RHEL/CentOS 8.1	Horizon Agent7.12 以降
RHEL/CentOS 8.0	Horizon Agent7.11 以降

/etc/vmware/viewagent-custom.conf 構成ファイルに次の行を追加します。
```
NetbiosDomain = MYDOMAIN
```
システムを再起動して再びログインします。