若要在 RHEL 7.x/6.x 桌面平台上設定智慧卡重新導向，請安裝此功能所依賴的程式庫、驗證所需的根 CA 憑證，以及所需的 PC/SC Lite 程式庫。此外，您還必須編輯某些組態檔以完成驗證設定。
請使用下列程序來設定 RHEL 7.x/6.x 桌面平台的智慧卡重新導向。
此程序中的某些範例使用預留位置值來代表您網路組態中的實體，例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊，如下表所說明。
| 預留位置值 |
說明 |
| dns_IP_ADDRESS |
DNS 名稱伺服器的 IP 位址 |
| mydomain.com |
AD 網域的 DNS 名稱 |
| MYDOMAIN.COM |
AD 網域的 DNS 名稱 (全部使用大寫字母) |
| MYDOMAIN |
包含 Samba 伺服器的工作群組或 NT 網域的 DNS 名稱 (全部使用大寫字母) |
| ads-hostname |
AD 伺服器的主機名稱 |
執行 RHEL 6.0 (或更新版本) 或 RHEL 7.1 (或更新版本) 的桌面平台可支援智慧卡重新導向。
備註： 如果您使用
vSphere 主控台登入已安裝
Horizon Agent 且已啟用智慧卡重新導向的 RHEL 7.x，則可能會遇到兩分鐘或更長時間的延遲登出時間。此延遲的登出僅會從
vSphere 主控台發生。自
Horizon Client 的 RHEL 7.x 登出體驗不會受到影響。
程序
- 安裝所需的程式庫。
yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig
authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs
- 安裝根憑證授權機構 (CA) 憑證。
- 下載根 CA 憑證，並將其儲存至桌面平台上的 /tmp/certificate.cer。請參閱《如何匯出根憑證授權機構憑證》。
- 找出您所下載的根 CA 憑證，並將其傳輸至 .pem 檔案。
openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
- 使用 certutil命令將根 CA 憑證安裝至系統資料庫 /etc/pki/nssdb。
certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
- 將根 CA 憑證複製到 /etc/pam_pkcs11/cacerts 目錄。
mkdir -p /etc/pam_pkcs11/cacerts
cp /tmp/certificate.pem /etc/pam_pkcs11/cacerts
- 導覽至，選取啟用智慧卡支援核取方塊，然後按一下套用。
- 複製智慧卡驅動程式，並將驅動程式的程式庫新增至系統資料庫 /etc/pki/nssdb。
cp libcmP11.so /usr/lib64/
modutil -add "piv card 2.0" -libfile /usr/lib64/libcmP11.so -dbdir /etc/pki/nssdb/
- 編輯 /etc/pam_pkcs11/pam_pkcs11.conf 組態檔中的模組設定，如下列範例所示。
pkcs11_module coolkey {
module = libcmP11.so;
description = "Cool Key";
slot_num = 0;
ca_dir = /etc/pam_pkcs11/cacerts;
nss_dir = /etc/pki/nssdb;
cert_policy = ca, signature;
}
- 編輯 /etc/pam_pkcs11/cn_map 檔案，使其包含類似下列範例的內容。若要包含特定內容，請參閱智慧卡憑證中所列的使用者資訊。
- 編輯 /etc/krb5.conf/ 組態檔，如下列範例所示。
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_realm = MYDOMAIN.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
MYDOMAIN.COM = {
kdc = ads-hostname
admin_server = ads-hostname
default_domain = ads-hostname
pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
pkinit_cert_match = <KU>digitalSignature
pkinit_kdc_hostname = ads-hostname
}
[domain_realm]
.mydomain.com = MYDOMAIN.COM
mydomain.com = MYDOMAIN.COM
- 編輯 /etc/pam.d/system-auth 組態檔，使其包含下列範例中顯示的文字行。
auth optional pam_krb5.so use_first_pass no_subsequent_prompt
preauth_options=X509_user_identity=PKCS11:/usr/lib64/libcmP11.so
- 重新啟動 PC/SC 精靈。
chkconfig pcscd on
service pcscd start
- 安裝您的 RHEL 發行版所需的 PC/SC Lite 版本。
- 針對 RHEL 7.x，請安裝 PC/SC Lite 1.8.8 版。
yum install git flex autoconf automake libtool libudev-devel flex
git clone https://salsa.debian.org/rousseau/PCSC.git
cd PCSC
git checkout -b pcsc-1.8.8 1.8.8
./bootstrap
./configure --build=x86_64-redhat-linux-gnu --host=x86_64-redhat-linux-gnu --program-prefix=
--disable-dependency-tracking --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin
--sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libdir=/usr/lib64
--libexecdir=/usr/libexec --localstatedir=/var --sharedstatedir=/var/lib --mandir=/usr/share/man
--infodir=/usr/share/info --disable-static --enable-usbdropdir=/usr/lib64/pcsc/drivers
make
make install
- 針對 RHEL 6.x，請安裝 PC/SC Lite 1.7.4 版。
yum groupinstall "Development tools"
yum install libudev-devel
service pcscd stop
wget https://alioth.debian.org/frs/download.php/file/3598/pcsc-lite-1.7.4.tar.bz2
tar -xjvf pcsc-lite-1.7.4.tar.bz2
cd ./pcsc-lite-1.7.4
./configure --prefix=/usr/ --libdir=/usr/lib64/ --enable-usbdropdir=/usr/lib64/pcsc/drivers
--enable-confdir=/etc --enable-ipcdir=/var/run --disable-libusb --disable-serial --disable-usb
--disable-libudev
make
make install
service pcscd start
- 安裝 Horizon Agent套件，並啟用智慧卡重新導向。
sudo ./install_viewagent.sh -M yes
安裝您的 RHEL 發行版所需的套件：
- 針對 RHEL 7.x，請安裝 Horizon Agent7.8 或更新版本。
- 針對 RHEL 6.x，請安裝 View Agent 6.2.1 或更新版本。
- 將系統重新開機，然後重新登入。
