在 RHEL/CentOS 8.x 桌面平台上設定 True SSO

若要在 RHEL/CentOS 8.x 桌面平台上支援 True SSO，您必須先將基礎虛擬機器 (VM) 與 Active Directory (AD) 網域整合。接著，您必須修改系統上的特定組態以支援 True SSO 功能。

備註： 即時複製 RHEL 8.x 桌面平台不支援 True SSO。

此程序中的某些範例使用預留位置值來代表您網路組態中的實體，例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊，如下表所說明。

預留位置值	說明
mydomain.com	AD 網域的 DNS 名稱
MYDOMAIN.COM	AD 網域的 DNS 名稱 (全部使用大寫字母)
MYDOMAIN	NetBIOS 網域的名稱

必要條件

• 設定 Workspace ONE Access 和 Horizon Connection Server的 True SSO。
• 確認 Active Directory (AD) 伺服器可在 RHEL/CentOS 8.x 基礎虛擬機器上由 DNS 解析。
• 設定虛擬機器的主機名稱。
• 設定虛擬機器上的網路時間通訊協定 (NTP)。
• 取得根 CA 憑證，並將其儲存至虛擬機器上的 /tmp/certificate.cer。請參閱《如何匯出根憑證授權機構憑證》。

  如果次級 CA 也是核發授權機構，請取得根和次級 CA 憑證的整個鏈結，並將其儲存至虛擬機器上的 /tmp/certificate.cer。

程序

1. 在 RHEL/CentOS 8.x 虛擬機器上，確認與 Active Directory 的網路連線。

   realm discover mydomain.com

2. 安裝所需的相依性套件。

   yum install oddjob oddjob-mkhomedir sssd adcli samba-common-tools

3. 加入 AD 網域。

   realm join --verbose mydomain.com -U administrator

4. 安裝根 CA 憑證或憑證鏈結。
   1. 找出您所下載的根 CA 憑證或憑證鏈結，並將其傳輸至 PEM 檔案。

      openssl x509 -inform der -in /tmp/certificate.cer -out /tmp/certificate.pem
      

   2. 將憑證複製到 /etc/sssd/pki/sssd_auth_ca_db.pem 檔案。

      sudo cp /tmp/certificate.pem /etc/sssd/pki/sssd_auth_ca_db.pem

5. 修改 /etc/sssd/sssd.conf 組態檔，如下列範例所示。

   [sssd]
   domains = mydomain.com
   config_file_version = 2
   services = nss, pam
    
   [domain/mydomain.com]
   ad_domain = mydomain.com
   krb5_realm = IMYDOMAIN.COM
   realmd_tags = manages-system joined-with-adcli
   cache_credentials = True
   id_provider = ad
   krb5_store_password_if_offline = True
   default_shell = /bin/bash
   ldap_id_mapping = True
   use_fully_qualified_names = False        <---------------- Use short name for user
   fallback_homedir = /home/%u@%d
   access_provider = ad
   ad_gpo_map_interactive = +gdm-vmwcred    <---------------- Add this line for SSO
    
   [pam]                                    <---------------- Add pam section for certificate logon
   pam_cert_auth = True                     <---------------- Add this line to enable certificate logon for system
   pam_p11_allowed_services = +gdm-vmwcred  <---------------- Add this line to enable certificate logon for VMware Horizon Agent
    
   [certmap/mydomain.com/truesso]          <---------------- Add this section and following lines to set match and map rule for certificate user
   matchrule = <EKU>msScLogin
   maprule = (|(userPrincipal={subject_principal})(samAccountName={subject_principal.short_name}))
   domains = mydomain.com
   priority = 10

6. 透過將模式設定為等於 644 以修改 /etc/krb5.conf 組態檔。
   備註： 如果您未按指定修改 /etc/krb5.conf，則 True SSO 功能可能無法正常運作。
7. 安裝 Horizon Agent 套件，並啟用 True SSO。

   sudo ./install_viewagent.sh -T yes

8. 修改 /etc/vmware/viewagent-custom.conf 組態檔，使其包含下列行。

   NetbiosDomain = MYDOMAIN

9. 重新啟動虛擬機器，並重新登入。