RHEL 7.9 仮想マシンでのスマートカードリダイレクトの設定

RHEL 7.9 仮想マシン (VM) でスマートカードリダイレクトを構成するには、この機能が依存するライブラリと、認証で使用するルート認証局 (CA) 証明書をインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。

RHEL 7.9 仮想マシンでスマートカードリダイレクトを設定するには、次の手順を実行します。

説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。


プレースホルダーの値	説明
dns_IP_ADDRESS	DNS ネームサーバの IP アドレス
mydomain.com	Active Directory ドメインの DNS 名
MYDOMAIN.COM	Active Directory ドメインの DNS 名。すべて大文字にします。
MYDOMAIN	ワークグループの DNS 名または Samba サーバが含まれている NT ドメインの DNS 名。すべて大文字にします。
ads-hostname	Active Directory サーバのホスト名

注： Horizon Agent がインストールされ、スマートカードリダイレクトが有効になっている RHEL 7.9 仮想マシンに vSphere コンソールからログインすると、ログアウト時間が 2 分以上遅くなることがあります。このログアウトの遅れは、 vSphere コンソールからログインした場合にのみ発生します。 Horizon Client から RHEL 7.9 のログアウトを行う場合は、このような影響を受けることはありません。

前提条件

スマートカードリダイレクトでの RHEL 7.9 仮想マシンと Active Directory の統合

手順

必要なライブラリをインストールします。

sudo yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig 
      authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs

ルート CA 証明書をインストールします。
1. ルート CA 証明書をダウンロードし、デスクトップの /tmp/certificate.cer に保存します。「ルート CA 証明書をエクスポートする方法」を参照してください。
2. ダウンロードしたルート CA 証明書を .pem ファイルに転送します。
```
openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
```
3. certutil コマンドを使用して、ルート CA 証明書をシステムデータベース /etc/pki/nssdb にインストールします。
  次のコマンド例の「root CA cert」は、システムデータベースのルート CA 証明書の名前に置き換えます。
```
sudo certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
```
[アプリケーション] > [Sundry] > [認証] の順に移動し、[スマートカードサポートを有効にする] チェックボックスを選択して [適用] をクリックします。

次の例のように、/etc/pam_pkcs11/pam_pkcs11.conf 構成ファイルのモジュール設定を編集します。

use_pkcs11_module = coolkey;
...
pkcs11_module coolkey {
      module = libcoolkeypk11.so;                
      description = "Cool Key";
      slot_num = 0;
      nss_dir = /etc/pki/nssdb;
      cert_policy = ca, signature;
}

次の例に似たコンテンツが含まれるように、/etc/pam_pkcs11/cn_map 構成ファイルを編集します。追加する情報の詳細については、スマートカードの証明書にあるユーザー情報を参照してください。
```
user sc -> user-sc
```

次の例のように、/etc/krb5.conf/ 構成ファイルを編集します。

[libdefaults]
      dns_lookup_realm = false
      ticket_lifetime = 24h
      renew_lifetime = 7d
      forwardable = true
      rdns = false
      default_realm = MYDOMAIN.COM
      default_ccache_name = KEYRING:persistent:%{uid}

[realms]
      MYDOMAIN.COM = {
            kdc = ads-hostname
            admin_server = ads-hostname
            default_domain = ads-hostname
            pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
            pkinit_cert_match = <KU>digitalSignature
            pkinit_kdc_hostname = ads-hostname
      }

[domain_realm]
      .mydomain.com = MYDOMAIN.COM
      mydomain.com = MYDOMAIN.COM

仮想マシンが MATE デスクトップ環境を実行している場合は、次の例のように、/etc/pam.d/mate-screensaver の先頭に auth include smartcard-auth 行を追加します。
```
#%PAM-1.0
 
# Fedora Core
auth include smartcard-auth            
auth       include      system-auth
auth       optional     pam_gnome_keyring.so
account    include      system-auth
password   include      system-auth
session    include      system-auth
```
スマートカードでログインするときにユーザーが画面のロックを解除できるようにするには、この構成を行う必要があります。
シングルサインオン (SSO) が無効な場合にスマートカード SSO 機能と VMware ログイン画面をサポートするには、/etc/vmware/viewagent-greeter.conf ファイルを構成します。「Linux デスクトップでの構成ファイルの編集」を参照してください。

PC/SC デーモンを再起動します。

sudo chkconfig pcscd on
sudo service pcscd start

Horizon Agent パッケージをインストールして、スマートカードリダイレクトを有効にします。
```
sudo ./install_viewagent.sh -m yes
```
注：デフォルトの PC/SC Lite ライブラリをインストールするように指示するエラーメッセージが表示された場合は、マシンに現在存在するカスタム PC/SC Lite ライブラリをアンインストールし、次のコマンドを使用してデフォルトの PC/SC Lite ライブラリをインストールします。
```
yum reinstall pcsc-lite-libs pcsc-lite
```
その後、Horizon Agent インストーラを実行できます。
カスタム PC/SC Lite ライブラリを使用している場合は、/etc/vmware/config ファイルで pcscd.maxReaderContext および pcscd.readBody オプションを構成します。
「 Linux デスクトップでの構成ファイルの編集」を参照してください。
仮想マシンを再起動して、再度ログインします。