RHEL 7.x 仮想マシン (VM) でスマート カード リダイレクトを設定するには、この機能が依存するライブラリ、認証で使用するルート CA 証明書、必要な PC/SC Lite ライブラリをインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。
RHEL 7.x 仮想マシンのスマート カード リダイレクトを設定するには、次の手順に従います。
説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。
| プレースホルダーの値 |
説明 |
| dns_IP_ADDRESS |
DNS ネーム サーバの IP アドレス |
| mydomain.com |
Active Directory ドメインの DNS 名 |
| MYDOMAIN.COM |
Active Directory ドメインの DNS 名。すべて大文字にします。 |
| MYDOMAIN |
ワークグループの DNS 名または Samba サーバが含まれている NT ドメインの DNS 名。すべて大文字にします。 |
| ads-hostname |
Active Directory サーバのホスト名 |
スマート カード リレダイレクトは、RHEL 7.2 以降が実行されているデスクトップでサポートされます。
注：
Horizon Agent がインストールされ、スマート カード リダイレクトが有効になっている RHEL 7.x 仮想マシンに
vSphere コンソールからログインすると、ログアウト時間が 2 分以上遅くなることがあります。このログアウトの遅れは、
vSphere コンソールからログインした場合にのみ発生します。
Horizon Client から RHEL 7.x のログアウトを行う場合は、このような影響を受けることはありません。
手順
- 必要なライブラリをインストールします。
yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig
authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs
- ルート CA 証明書をインストールします。
- ルート CA 証明書をダウンロードし、デスクトップの /tmp/certificate.cer に保存します。ルート CA 証明書をエクスポートする方法を参照してください。
- ダウンロードしたルート CA 証明書を .pem ファイルに転送します。
openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
- certutil コマンドを使用して、ルート CA 証明書をシステム データベース /etc/pki/nssdb にインストールします。
certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
- ルート CA 証明書を /etc/pam_pkcs11/cacerts にディレクトリにコピーします。
mkdir -p /etc/pam_pkcs11/cacerts
cp /tmp/certificate.pem /etc/pam_pkcs11/cacerts
- の順に移動し、[スマート カード サポートを有効にする] チェック ボックスを選択して [適用] をクリックします。
- スマート カードのドライバをコピーし、システム データベース (/etc/pki/nssdb) にドライバ ライブラリを追加します。
cp libcmP11.so /usr/lib64/
modutil -add "piv card 2.0" -libfile /usr/lib64/libcmP11.so -dbdir /etc/pki/nssdb/
- 次の例のように、/etc/pam_pkcs11/pam_pkcs11.conf 構成ファイルの モジュール 設定を編集します。
pkcs11_module coolkey {
module = libcmP11.so;
description = "Cool Key";
slot_num = 0;
ca_dir = /etc/pam_pkcs11/cacerts;
nss_dir = /etc/pki/nssdb;
cert_policy = ca, signature;
}
- 次の例に似たコンテンツが含まれるように、/etc/pam_pkcs11/cn_map 構成ファイルを編集します。追加する情報の詳細については、スマート カードの証明書にあるユーザー情報を参照してください。
- 次の例のように、/etc/krb5.conf/ 構成ファイルを編集します。
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_realm = MYDOMAIN.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
MYDOMAIN.COM = {
kdc = ads-hostname
admin_server = ads-hostname
default_domain = ads-hostname
pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
pkinit_cert_match = <KU>digitalSignature
pkinit_kdc_hostname = ads-hostname
}
[domain_realm]
.mydomain.com = MYDOMAIN.COM
mydomain.com = MYDOMAIN.COM
- 次のような行が含まれるように、/etc/pam.d/system-auth 構成ファイルを編集します。改行せずにコンテンツが 1 行になっていることを確認します。
auth optional pam_krb5.so use_first_pass no_subsequent_prompt preauth_options=X509_user_identity=PKCS11:/usr/lib64/libcmP11.so
- PC/SC デーモンを再起動します。
chkconfig pcscd on
service pcscd start
- PC/SC Lite バージョン 1.8.8 をインストールします。
yum install git flex autoconf automake libtool libudev-devel flex
git clone https://salsa.debian.org/rousseau/PCSC.git
cd PCSC
git checkout -b pcsc-1.8.8 1.8.8
./bootstrap
./configure --build=x86_64-redhat-linux-gnu --host=x86_64-redhat-linux-gnu --program-prefix=
--disable-dependency-tracking --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin
--sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libdir=/usr/lib64
--libexecdir=/usr/libexec --localstatedir=/var --sharedstatedir=/var/lib --mandir=/usr/share/man
--infodir=/usr/share/info --disable-static --enable-usbdropdir=/usr/lib64/pcsc/drivers
make
make install
- Horizon Agent パッケージをインストールして、スマート カード リダイレクトを有効にします。
sudo ./install_viewagent.sh -m yes
- RHEL 7.x 仮想マシンを再起動して、再度ログインします。
