RHEL 7.9 仮想マシン (VM) でスマート カード リダイレクトを構成するには、この機能が依存するライブラリと、認証で使用するルート認証局 (CA) 証明書をインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。

RHEL 7.9 仮想マシンでスマート カード リダイレクトを設定するには、次の手順を実行します。

説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。

プレースホルダーの値 説明
dns_IP_ADDRESS DNS ネーム サーバの IP アドレス
mydomain.com Active Directory ドメインの DNS 名
MYDOMAIN.COM Active Directory ドメインの DNS 名。すべて大文字にします。
MYDOMAIN ワークグループの DNS 名または Samba サーバが含まれている NT ドメインの DNS 名。すべて大文字にします。
ads-hostname Active Directory サーバのホスト名
注: Horizon Agent がインストールされ、スマート カード リダイレクトが有効になっている RHEL 7.9 仮想マシンに vSphere コンソールからログインすると、ログアウト時間が 2 分以上遅くなることがあります。このログアウトの遅れは、 vSphere コンソールからログインした場合にのみ発生します。 Horizon Client から RHEL 7.9 のログアウトを行う場合は、このような影響を受けることはありません。

前提条件

スマート カード リダイレクトでの RHEL 7.9 仮想マシンと Active Directory の統合

手順

  1. 必要なライブラリをインストールします。
    sudo yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig 
          authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs
    
  2. ルート CA 証明書をインストールします。
    1. ルート CA 証明書をダウンロードし、デスクトップの /tmp/certificate.cer に保存します。「ルート CA 証明書をエクスポートする方法」を参照してください。
    2. ダウンロードしたルート CA 証明書を .pem ファイルに転送します。
      openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
    3. certutil コマンドを使用して、ルート CA 証明書をシステム データベース /etc/pki/nssdb にインストールします。
      次のコマンド例の「root CA cert」は、システム データベースのルート CA 証明書の名前に置き換えます。
      sudo certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
  3. [アプリケーション] > [Sundry] > [認証] の順に移動し、[スマート カード サポートを有効にする] チェック ボックスを選択して [適用] をクリックします。
  4. 次の例のように、/etc/pam_pkcs11/pam_pkcs11.conf 構成ファイルの モジュール 設定を編集します。
    use_pkcs11_module = coolkey;
    ...
    pkcs11_module coolkey {
          module = libcoolkeypk11.so;                
          description = "Cool Key";
          slot_num = 0;
          nss_dir = /etc/pki/nssdb;
          cert_policy = ca, signature;
    }
  5. 次の例に似たコンテンツが含まれるように、/etc/pam_pkcs11/cn_map 構成ファイルを編集します。追加する情報の詳細については、スマート カードの証明書にあるユーザー情報を参照してください。
    user sc -> user-sc
  6. 次の例のように、/etc/krb5.conf/ 構成ファイルを編集します。
    [libdefaults]
          dns_lookup_realm = false
          ticket_lifetime = 24h
          renew_lifetime = 7d
          forwardable = true
          rdns = false
          default_realm = MYDOMAIN.COM
          default_ccache_name = KEYRING:persistent:%{uid}
    
    [realms]
          MYDOMAIN.COM = {
                kdc = ads-hostname
                admin_server = ads-hostname
                default_domain = ads-hostname
                pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
                pkinit_cert_match = <KU>digitalSignature
                pkinit_kdc_hostname = ads-hostname
          }
    
    [domain_realm]
          .mydomain.com = MYDOMAIN.COM
          mydomain.com = MYDOMAIN.COM
  7. 仮想マシンが MATE デスクトップ環境を実行している場合は、次の例のように、/etc/pam.d/mate-screensaver の先頭に auth include smartcard-auth 行を追加します。
    #%PAM-1.0
     
    # Fedora Core
    auth include smartcard-auth            
    auth       include      system-auth
    auth       optional     pam_gnome_keyring.so
    account    include      system-auth
    password   include      system-auth
    session    include      system-auth
    

    スマート カードでログインするときにユーザーが画面のロックを解除できるようにするには、この構成を行う必要があります。

  8. スマート カードのシングル サインオン (SSO) 機能をサポートするには、/etc/vmware/viewagent-greeter.conf ファイルを設定します。「Linux デスクトップでの構成ファイルのオプション設定」を参照してください。
  9. PC/SC デーモンを再起動します。
    sudo chkconfig pcscd on
    sudo service pcscd start
  10. Horizon Agent パッケージをインストールして、スマート カード リダイレクトを有効にします。
    sudo ./install_viewagent.sh -m yes
    注: デフォルトの PC/SC Lite ライブラリをインストールするように指示するエラー メッセージが表示された場合は、マシンに現在存在するカスタム PC/SC Lite ライブラリをアンインストールし、次のコマンドを使用してデフォルトの PC/SC Lite ライブラリをインストールします。
    yum reinstall pcsc-lite-libs pcsc-lite

    その後、Horizon Agent インストーラを実行できます。

  11. カスタム PC/SC Lite ライブラリを使用している場合は、/etc/vmware/config ファイルで pcscd.maxReaderContext および pcscd.readBody オプションを構成します。
  12. 仮想マシンを再起動して、再度ログインします。