Menu Close

Red Hat Training

A Red Hat training course is available for RHEL 8

56.4. AD가 사용자 계정에 매핑하도록 구성된 경우 인증서 매핑 구성

이 사용자 사례에서는 IdM 배포를 AD(Active Directory)와 신뢰하는 경우 IdM에서 인증서 매핑을 활성화하는 데 필요한 단계를 설명하고, 사용자는 AD에 저장되고 AD의 사용자 항목에 인증서 매핑 데이터가 포함되어 있습니다.

사전 요구 사항

  • 사용자에게 IdM에 계정이 없습니다.
  • 사용자는 IdM certmapdata 속성과 동등한 altSecurityIdentities 특성을 포함하는 AD에 계정이 있습니다.
  • IdM 관리자는 IdM 인증서 매핑 규칙을 기반으로 할 수 있는 데이터에 액세스할 수 있습니다.

56.4.1. 신뢰할 수 있는 AD 도메인이 사용자 인증서를 매핑하도록 구성된 경우 인증서 매핑 규칙 추가

56.4.1.1. IdM 웹 UI에서 인증서 매핑 규칙 추가

  1. IdM 웹 UI에 관리자로 로그인합니다.
  2. 인증인증서 ID 매핑 규칙인증서 ID 매핑 규칙으로 이동합니다.
  3. 추가를 클릭합니다.

    그림 56.7. IdM 웹 UI에서 새 인증서 매핑 규칙 추가

    Authentication(인증) 탭에서 "Certificate Identity Mapping Rules(ID 매핑 규칙 인증)" 하위 탭을 표시하는 IdM 웹 UI의 스크린샷입니다. 페이지 오른쪽에 있는 "추가" 버튼이 강조 표시됩니다.
  4. 규칙 이름을 입력합니다.
  5. 매핑 규칙을 입력합니다. 예를 들어 AD DC가 제공된 인증서의 발급자주체 항목을 검색하고, 제공된 인증서의 이러한 두 항목에 있는 정보에 대해 인증 여부를 결정한 경우 다음을 수행합니다.

    (altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})
  6. 일치하는 규칙을 입력합니다. 예를 들어 AD. EXAMPLE.COM 도메인의 AD-ROOT-CA 에서 발급한 인증서만 IdM에 인증하도록 허용하려면 다음을 수행합니다.

    <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
  7. 도메인을 입력합니다.

    ad.example.com

    그림 56.8. AD가 매핑에 대해 구성된 경우 인증서 매핑 규칙

    다음 필드가 포함된 "Add Certificate Identity Mapping Rule(인증서 ID 매핑 규칙 추가)" 팝업 창의 스크린샷입니다. 규칙 이름(필수) - 매핑 규칙 - 일치 규칙. "Priority" 필드에는 비어 있으며 "도메인 이름" 라벨 옆에 "추가" 버튼도 있습니다.
  8. 추가를 클릭합니다.
  9. SSSD(시스템 보안 서비스 데몬)는 정기적으로 인증서 매핑 규칙을 다시 읽습니다. 새로 생성된 규칙을 즉시 로드하도록 하려면 CLI에서 SSSD를 다시 시작합니다.

    # systemctl restart sssd

56.4.1.2. IdM CLI에서 인증서 매핑 규칙 추가

  1. 관리자의 자격 증명을 가져옵니다.

    # kinit admin
  2. 매핑 규칙과 매핑 규칙이 기반으로 하는 일치 규칙을 입력합니다. 예를 들어 제공된 인증서에서 발급자주체 항목을 AD로 검색하고 AD. EXAMPLE.COM 도메인의 AD-ROOT-CA 에서 발급한 인증서만 허용하려면 다음을 수행합니다.

    # ipa certmaprule-add ad_configured_for_mapping_rule --matchrule '<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' --maprule '(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})' --domain=ad.example.com
    -------------------------------------------------------
    Added Certificate Identity Mapping Rule "ad_configured_for_mapping_rule"
    -------------------------------------------------------
      Rule name: ad_configured_for_mapping_rule
      Mapping rule: (altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})
      Matching rule: <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
      Domain name: ad.example.com
      Enabled: TRUE
  3. SSSD(시스템 보안 서비스 데몬)는 정기적으로 인증서 매핑 규칙을 다시 읽습니다. 새로 생성된 규칙을 즉시 로드하도록 하려면 SSSD를 다시 시작합니다.

    # systemctl restart sssd