スマート カード リダイレクトで RHEL 8.x 仮想マシン (VM) と Active Directory (AD) ドメインを統合するには、次の手順に従います。

注: RHEL 8.x デスクトップでは、スマート カード リダイレクトと Active Directory シングル サインオン (SSO) は同時に使用できません。RHEL 8.x デスクトップでスマート カード リダイレクトを設定すると、Active Directory SSO は機能しません。

説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。

プレースホルダーの値 説明
dns_IP_ADDRESS DNS ネーム サーバの IP アドレス
rhel8sc.domain.com RHEL 8.x 仮想マシンの完全修飾ホスト名
rhel8sc RHEL 8.x 仮想マシンの非修飾ホスト名
domain.com Active Directory ドメインの DNS 名
DOMAIN.COM Active Directory ドメインの DNS 名。すべて大文字にします。
DOMAIN ワークグループの DNS 名または Samba サーバが含まれている NT ドメインの DNS 名。すべて大文字にします。
dnsserver.domain.com Active Directory サーバのホスト名

手順

  1. RHEL 8.x 仮想マシンで、次の手順を行います。
    1. 組織の要件に応じて、ネットワークと DNS の設定を行います。
    2. [IPv6] を無効にします。
    3. [自動 DNS] を無効にします。
  2. 次の例のように、/etc/hosts 構成ファイルを設定します。
    127.0.0.1        rhel8sc.domain.com rhel8sc localhost localhost.localdomain localhost4 localhost4.localdomain4
    ::1              localhost localhost.localdomain localhost6 localhost6.localdomain6
     
    dns_IP_ADDRESS   dnsserver.domain.com
  3. 次の例のように、/etc/resolv.conf 構成ファイルを設定します。
    # Generated by NetworkManager
    search domain.com
    nameserver dns_IP_ADDRESS
  4. Active Directory 統合に必要なパッケージをインストールします。
    # yum install -y samba-common-tools oddjob-mkhomedir
  5. oddjobd サービスを有効にします。
    # systemctl enable oddjobd.service
    # systemctl start oddjobd.service
    
  6. システム ID と認証ソースを指定します。
    # authselect select sssd with-smartcard with-mkhomedir
    
    
  7. oddjobd サービスを開始します。
    # systemctl enable oddjobd.service
    # systemctl start oddjobd.service
    
  8. スマートカード認証をサポートするには、/etc/sssd/sssd.conf ファイルを作成します。
    # touch /etc/sssd/sssd.conf
    # chmod 600 /etc/sssd/sssd.conf
    # chown root:root /etc/sssd/sssd.conf
  9. 次の例のように、必要なコンテンツを /etc/sssd/sssd.conf に追加します。[pam] セクションに pam_cert_auth = True を指定します。
    [sssd]
    config_file_version = 2
    domains = domain.com
    services = nss, pam, pac
     
    [domain/DOMAIN.COM]
    id_provider = ad
    auth_provider = ad
    chpass_provider = ad
    access_provider = ad
    cache_credentials = true
     
    [pam]
    pam_cert_auth = True
  10. sssd サービスを有効にします。
    # systemctl enable sssd.service
    # systemctl start sssd.service
  11. 次の例のように、/etc/krb5.conf 構成ファイルを編集します。
    # To opt out of the system crypto-policies configuration of krb5, remove the
    # symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
    includedir /etc/krb5.conf.d/
     
    [logging]
        default = FILE:/var/log/krb5libs.log
        kdc = FILE:/var/log/krb5kdc.log
        admin_server = FILE:/var/log/kadmind.log
     
    [libdefaults]
        dns_lookup_realm = false
        ticket_lifetime = 24h
        renew_lifetime = 7d
        forwardable = true
        rdns = false
        pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
        spake_preauth_groups = edwards25519
        default_realm = DOMAIN.COM
        default_ccache_name = KEYRING:persistent:%{uid}
     
    [realms]
     DOMAIN.COM = {
         kdc = dnsserver.domain.com
         admin_server = dnsserver.domain.com
         default_domain = dnsserver.domain.com
         pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
         pkinit_cert_match = <KU>digitalSignature
         pkinit_kdc_hostname = dnsserver.domain.com
     }
     
    [domain_realm]
     .domain.com = DOMAIN.COM
     domain.com = DOMAIN.COM
  12. 次の例のように、/etc/samba/smb.conf 構成ファイルを編集します。
    [global]
            workgroup = DOMAIN
            security = ads
            passdb backend = tdbsam
            printing = cups
            printcap name = cups
            load printers = yes
            cups options = raw
            password server = dnsserver.domain.com
            realm = DOMAIN.COM
            idmap config * : range = 16777216-33554431
            template homedir =/home/DOMAIN/%U
            template shell = /bin/bash
            kerberos method = secrets and keytab
     
    [homes]
            comment = Home Directories
            valid users = %S, %D%w%S
            browseable = No
            read only = No
            inherit acls = Yes
     
    [printers]
            comment = All Printers
            path = /var/tmp
            printable = Yes
            create mask = 0600
            browseable = No
     
    [print$]
            comment = Printer Drivers
            path = /var/lib/samba/drivers
            write list = @printadmin root
            force group = @printadmin
            create mask = 0664
            directory mask = 0775
  13. 次の例のように、Active Directory ドメインに参加します。
    # net ads join -U AdminUser
    join コマンドを実行すると、次のような出力が返されます。
    Enter AdminUser's password:
    Using short domain name -- DOMAIN
    Joined 'RHEL8SC' to dns domain 'domain.com'
  14. RHEL 8.x 仮想マシンが Active Directory ドメインに正常に参加していることを確認します。
    # net ads testjoin
    
    Join is OK

次のタスク

RHEL 8.x 仮想マシンでのスマート カード リダイレクトの設定