Ubuntu/Debian 仮想マシン (VM) でスマート カード リダイレクトを構成するには、スマート カードの信頼された認証をサポートするため、機能が依存するライブラリとルート認証局 (CA) 証明書をインストールします。また、一部の構成ファイルを編集して、認証設定を完了する必要があります。
説明の中で、Active Directory ドメインの DNS 名などのネットワーク構成のエンティティをプレースホルダーで表している部分があります。次の表を参考にして、これらのプレースホルダーの値をご使用の環境に合わせて変更してください。
プレースホルダーの値 |
説明 |
dns_IP_ADDRESS |
DNS ネーム サーバの IP アドレス |
mydomain.com |
Active Directory ドメインの DNS 名 |
MYDOMAIN.COM |
Active Directory ドメインの DNS 名。すべて大文字にします。 |
MYDOMAIN |
ワークグループの DNS 名または Samba サーバが含まれている NT ドメインの DNS 名。すべて大文字にします。 |
ads-hostname |
Active Directory サーバのホスト名 |
ads-hostname.mydomain.com |
Active Directory サーバの完全修飾ドメイン名 (FQDN) |
mytimeserver.mycompany.com |
NTP タイム サーバの DNS 名 |
AdminUser |
仮想マシン管理者のユーザー名 |
手順
- 必要なライブラリを Ubuntu/Debian 仮想マシンにインストールします。
sudo apt-get install -y pcscd pcsc-tools pkg-config libpam-pkcs11 opensc libengine-pkcs11-openssl libnss3-tools
- ルート CA 証明書をインストールします。
- ルート CA 証明書をダウンロードし、Ubuntu 仮想マシンの /tmp/certificate.cer に保存します。「ルート CA 証明書をエクスポートする方法」を参照してください。
- ダウンロードしたルート CA 証明書を .pem ファイルに転送します。
sudo openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
- ルート CA 証明書を /etc/pam_pkcs11/cacerts にディレクトリにコピーします。
sudo cp /tmp/certificate.pem /etc/pam_pkcs11/cacerts
- pkcs11 ハッシュ ファイルを作成します。
sudo chmod a+r certificate.pem
sudo pkcs11_make_hash_link
- pam_pkcs11 ライブラリを設定します。
- デフォルトのサンプル コンテンツを使用して、pam_pkcs11 ファイルを作成します。
- (Ubuntu 20.04、Debian 10.x) 次のコマンド シーケンスを実行します。
sudo mkdir /etc/pam_pkcs11
sudo zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.example.gz | tee /etc/pam_pkcs11/pam_pkcs11.conf
- (Ubuntu 20.04.1 以降、Ubuntu 22.04、Debian 11.x/12.x)次のコマンド シーケンスを実行します。
sudo mkdir /etc/pam_pkcs11
sudo cat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.example | tee /etc/pam_pkcs11/pam_pkcs11.conf
- 次の例のように、/etc/pam_pkcs11/pam_pkcs11.conf ファイルを編集します。
use_pkcs11_module = opensc;
...
pkcs11_module opensc {
module = /usr/lib/x86_64-linux-gnu/opensc-pkcs11.so;
description = "OpenSC PKCS#11 module";
slot_num = 0;
ca_dir = /etc/pam_pkcs11/cacerts;
crl_dir = /etc/pam_pkcs11/crls;
support_threads = false;
cert_policy = ca,signature;
token_type = "Smart card";
}
...
use_mappers = cn, null;
...
mapper cn {
debug = false;
module = internal;
ignorecase = true;
mapfile = file:///etc/pam_pkcs11/cn_map;
}
- 次の行を含むように、/etc/pam_pkcs11/cn_map ファイルを編集します。
- /etc/pam.d/gdm-password 構成ファイルを編集します。次の例のように、pam_pkcs11.so 認証行を common-auth 行の前に配置します。
#%PAM-1.0
auth requisite pam_nologin.so
auth required pam_succeed_if.so user != root quiet_success
auth sufficient pam_pkcs11.so
@include common-auth
auth optional pam_gnome_keyring.so
@include common-account
- スマート カード ハードウェアとスマート カードにインストールされている証明書を確認するには、次のコマンドを実行します。
sudo pcsc_scan
sudo pkcs11_listcerts
sudo pkcs11_inspect
- SSO が無効な場合にスマート カード SSO 機能と VMware ログイン画面をサポートするには、/etc/vmware/viewagent-greeter.conf ファイルを構成します。「Linux デスクトップでの構成ファイルの編集」を参照してください。
- Horizon Agent パッケージをインストールして、スマート カード リダイレクトを有効にします。
sudo ./install_viewagent.sh -m yes
注: デフォルトの PC/SC Lite ライブラリをインストールするように指示するエラー メッセージが表示された場合は、マシンに現在存在するカスタム PC/SC Lite ライブラリをアンインストールし、次のコマンドを使用してデフォルトの PC/SC Lite ライブラリをインストールします。
sudo apt-get install --reinstall pcscd libpcsclite1
その後、Horizon Agent インストーラを実行できます。
- カスタム PC/SC Lite ライブラリを使用している場合は、/etc/vmware/config ファイルで pcscd.maxReaderContext および pcscd.readBody オプションを構成します。
- Ubuntu 仮想マシンを再起動して、再度ログインします。