RHEL 7.9 仮想マシンでのスマートカードリダイレクトの設定

RHEL 7.9 仮想マシン (VM) でスマートカードリダイレクトを構成するには、この機能が依存するライブラリと、認証で使用するルート認証局 (CA) 証明書をインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。

RHEL 7.9 仮想マシンでスマートカードリダイレクトを設定するには、次の手順を実行します。

説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。


プレースホルダーの値	説明
dns_IP_ADDRESS	DNS ネームサーバの IP アドレス
mydomain.com	Active Directory ドメインの DNS 名
MYDOMAIN.COM	Active Directory ドメインの DNS 名。すべて大文字にします。
MYDOMAIN	ワークグループの DNS 名または Samba サーバが含まれている NT ドメインの DNS 名。すべて大文字にします。
ads-hostname	Active Directory サーバのホスト名

注： Horizon Agent がインストールされ、スマートカードリダイレクトが有効になっている RHEL 7.9 仮想マシンに vSphere コンソールからログインすると、ログアウト時間が 2 分以上遅くなることがあります。このログアウトの遅れは、 vSphere コンソールからログインした場合にのみ発生します。 Horizon Client から RHEL 7.9 のログアウトを行う場合は、このような影響を受けることはありません。

前提条件

スマートカードリダイレクトでの RHEL 7.9 仮想マシンと Active Directory の統合

手順

必要なライブラリをインストールします。

yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig 
      authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs

ルート CA 証明書をインストールします。
1. ルート CA 証明書をダウンロードし、デスクトップの /tmp/certificate.cer に保存します。ルート CA 証明書をエクスポートする方法を参照してください。
2. ダウンロードしたルート CA 証明書を .pem ファイルに転送します。
```
openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
```
3. certutil コマンドを使用して、ルート CA 証明書をシステムデータベース /etc/pki/nssdb にインストールします。
  次のコマンド例の「root CA cert」は、システムデータベースのルート CA 証明書の名前に置き換えます。
```
certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
```
[アプリケーション] > [Sundry] > [認証] の順に移動し、[スマートカードサポートを有効にする] チェックボックスを選択して [適用] をクリックします。

次の例のように、/etc/pam_pkcs11/pam_pkcs11.conf 構成ファイルのモジュール設定を編集します。

use_pkcs11_module = coolkey;
...
pkcs11_module coolkey {
      module = libcoolkeypk11.so;                
      description = "Cool Key";
      slot_num = 0;
      nss_dir = /etc/pki/nssdb;
      cert_policy = ca, signature;
}

次の例に似たコンテンツが含まれるように、/etc/pam_pkcs11/cn_map 構成ファイルを編集します。追加する情報の詳細については、スマートカードの証明書にあるユーザー情報を参照してください。
```
user sc -> user-sc
```

次の例のように、/etc/krb5.conf/ 構成ファイルを編集します。

[libdefaults]
      dns_lookup_realm = false
      ticket_lifetime = 24h
      renew_lifetime = 7d
      forwardable = true
      rdns = false
      default_realm = MYDOMAIN.COM
      default_ccache_name = KEYRING:persistent:%{uid}

[realms]
      MYDOMAIN.COM = {
            kdc = ads-hostname
            admin_server = ads-hostname
            default_domain = ads-hostname
            pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
            pkinit_cert_match = <KU>digitalSignature
            pkinit_kdc_hostname = ads-hostname
      }

[domain_realm]
      .mydomain.com = MYDOMAIN.COM
      mydomain.com = MYDOMAIN.COM

仮想マシンが MATE デスクトップ環境を実行している場合は、次の例のように、/etc/pam.d/mate-screensaver の先頭に auth include smartcard-auth 行を追加します。
```
#%PAM-1.0
 
# Fedora Core
auth include smartcard-auth            
auth       include      system-auth
auth       optional     pam_gnome_keyring.so
account    include      system-auth
password   include      system-auth
session    include      system-auth
```
スマートカードでログインするときにユーザーが画面のロックを解除できるようにするには、この構成を行う必要があります。
スマートカードのシングルサインオン (SSO) 機能をサポートするには、/etc/vmware/viewagent-greeter.conf ファイルを設定します。Linux デスクトップでの構成ファイルのオプション設定を参照してください。
PC/SC デーモンを再起動します。
```
chkconfig pcscd on
service pcscd start
```
Horizon Agent パッケージをインストールして、スマートカードリダイレクトを有効にします。
```
sudo ./install_viewagent.sh -m yes
```
注：デフォルトの PC/SC Lite ライブラリをインストールするように指示するエラーメッセージが表示された場合は、マシンに現在存在するカスタム PC/SC Lite ライブラリをアンインストールし、次のコマンドを使用してデフォルトの PC/SC Lite ライブラリをインストールします。
```
yum reinstall pcsc-lite-libs pcsc-lite
```
その後、Horizon Agent インストーラを実行できます。
カスタム PC/SC Lite ライブラリを使用している場合は、/etc/vmware/config ファイルで pcscd.maxReaderContext および pcscd.readBody オプションを構成します。
Linux デスクトップでの構成ファイルのオプション設定を参照してください。
仮想マシンを再起動して、再度ログインします。