若要在 RHEL 7.x 虛擬機器 (VM) 上設定智慧卡重新導向,請安裝此功能所依賴的程式庫、驗證所需的根 CA 憑證,以及所需的 PC/SC Lite 程式庫。此外,您還必須編輯某些組態檔以完成驗證設定。

請使用下列程序設定 RHEL 7.x 虛擬機器上的智慧卡重新導向。

此程序中的某些範例使用預留位置值來代表您網路組態中的實體,例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊,如下表所說明。

預留位置值 說明
dns_IP_ADDRESS DNS 名稱伺服器的 IP 位址
mydomain.com AD 網域的 DNS 名稱
MYDOMAIN.COM AD 網域的 DNS 名稱 (全部使用大寫字母)
MYDOMAIN 包含 Samba 伺服器的工作群組或 NT 網域的 DNS 名稱 (全部使用大寫字母)
ads-hostname AD 伺服器的主機名稱
執行 RHEL 7.2 或更新版本的桌面平台支援智慧卡重新導向。
備註: 如果您使用 vSphere 主控台登入已安裝 Horizon Agent 且已啟用智慧卡重新導向的 RHEL 7.x 虛擬機器,則可能會遇到兩分鐘或更長時間的延遲登出時間。此延遲的登出僅會從 vSphere 主控台發生。自 Horizon Client 的 RHEL 7.x 登出體驗不會受到影響。

必要條件

整合 RHEL 7.x 虛擬機器與 Active Directory 以支援智慧卡重新導向

程序

  1. 安裝所需的程式庫。
    yum install nss-tools nss-pam-ldapd esc pam_pkcs11 pam_krb5 opensc pcsc-lite-ccid authconfig 
          authconfig-gtk krb5-libs krb5-workstation krb5-pkinit pcsc-lite pcsc-lite-libs
    
  2. 安裝根憑證授權機構 (CA) 憑證。
    1. 下載根 CA 憑證,並將其儲存至桌面平台上的 /tmp/certificate.cer。請參閱《如何匯出根憑證授權機構憑證》
    2. 找出您所下載的根 CA 憑證,並將其傳輸至 .pem 檔案。
      openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
    3. 使用 certutil命令將根 CA 憑證安裝至系統資料庫 /etc/pki/nssdb
      certutil -A -d /etc/pki/nssdb -n "root CA cert" -t "CT,C,C" -i /tmp/certificate.pem
    4. 將根 CA 憑證複製到 /etc/pam_pkcs11/cacerts 目錄。
      mkdir -p /etc/pam_pkcs11/cacerts
      
      cp /tmp/certificate.pem /etc/pam_pkcs11/cacerts
  3. 導覽至應用程式 > Sundry > 驗證,選取啟用智慧卡支援核取方塊,然後按一下套用
  4. 複製智慧卡驅動程式,並將驅動程式的程式庫新增至系統資料庫 /etc/pki/nssdb
    cp libcmP11.so /usr/lib64/
    modutil -add "piv card 2.0" -libfile /usr/lib64/libcmP11.so -dbdir /etc/pki/nssdb/
    備註: 若要取得 libcmP11.so 驅動程式,請洽詢您的智慧卡提供者。
  5. 編輯 /etc/pam_pkcs11/pam_pkcs11.conf 組態檔中的模組設定,如下列範例所示。
    pkcs11_module coolkey {
          module = libcmP11.so;                
          description = "Cool Key";
          slot_num = 0;
          ca_dir = /etc/pam_pkcs11/cacerts; 
          nss_dir = /etc/pki/nssdb;
          cert_policy = ca, signature;
    }
  6. 編輯 /etc/pam_pkcs11/cn_map 檔案,使其包含類似下列範例的內容。若要包含特定內容,請參閱智慧卡憑證中所列的使用者資訊。
    user sc -> user-sc
  7. 編輯 /etc/krb5.conf/ 組態檔,如下列範例所示。
    [libdefaults]
          dns_lookup_realm = false
          ticket_lifetime = 24h
          renew_lifetime = 7d
          forwardable = true
          rdns = false
          default_realm = MYDOMAIN.COM
          default_ccache_name = KEYRING:persistent:%{uid}
    
    [realms]
          MYDOMAIN.COM = {
                kdc = ads-hostname
                admin_server = ads-hostname
                default_domain = ads-hostname
                pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
                pkinit_cert_match = <KU>digitalSignature
                pkinit_kdc_hostname = ads-hostname
          }
    
    [domain_realm]
          .mydomain.com = MYDOMAIN.COM
          mydomain.com = MYDOMAIN.COM
  8. 編輯 /etc/pam.d/system-auth 組態檔,使其包含下列範例中顯示的文字行。確定內容出現在單行中,且沒有歸位字元。
    auth  optional  pam_krb5.so use_first_pass no_subsequent_prompt preauth_options=X509_user_identity=PKCS11:/usr/lib64/libcmP11.so
  9. 重新啟動 PC/SC 精靈。
    chkconfig pcscd on
    service pcscd start
  10. 安裝 PC/SC Lite 1.8.8 版。
    yum install git flex autoconf automake libtool libudev-devel flex
    git clone https://salsa.debian.org/rousseau/PCSC.git
    cd PCSC
    git checkout -b pcsc-1.8.8 1.8.8
    ./bootstrap
    ./configure --build=x86_64-redhat-linux-gnu --host=x86_64-redhat-linux-gnu --program-prefix= 
       --disable-dependency-tracking --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin
       --sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libdir=/usr/lib64 
       --libexecdir=/usr/libexec --localstatedir=/var --sharedstatedir=/var/lib --mandir=/usr/share/man 
       --infodir=/usr/share/info --disable-static --enable-usbdropdir=/usr/lib64/pcsc/drivers
    make
    make install
  11. 安裝 Horizon Agent套件,並啟用智慧卡重新導向。
    sudo ./install_viewagent.sh -m yes
  12. 重新啟動 RHEL 7.x 虛擬機器,並重新登入。