Menu Close

Red Hat Training

A Red Hat training course is available for RHEL 8

56.2. IdM에 저장된 사용자에 대한 인증서 매핑 구성

이 사용자 사례에서는 인증서 인증을 구성하는 사용자가 IdM에 저장된 경우 시스템 관리자가 IdM에서 인증서 매핑을 활성화하기 위해 수행해야 하는 단계에 대해 설명합니다.

사전 요구 사항

  • 사용자 계정은 IdM에 있습니다.
  • 관리자에게는 사용자 항목에 추가할 전체 인증서 또는 인증서 매핑 데이터가 있습니다.

56.2.1. IdM에서 인증서 매핑 규칙 추가

이 섹션에서는 매핑 규칙에 지정된 조건과 일치하는 인증서가 있는 IdM 사용자가 인증서 매핑 데이터 항목을 인증할 수 있도록 인증서 매핑 규칙을 설정하는 방법에 대해 설명합니다.

56.2.1.1. IdM 웹 UI에서 인증서 매핑 규칙 추가

  1. IdM 웹 UI에 관리자로 로그인합니다.
  2. 인증인증서 ID 매핑 규칙인증서 ID 매핑 규칙으로 이동합니다.
  3. 추가를 클릭합니다.

    그림 56.1. IdM 웹 UI에서 새 인증서 매핑 규칙 추가

    Authentication(인증) 탭에서 "Certificate Identity Mapping Rules(ID 매핑 규칙 인증)" 하위 탭을 표시하는 IdM 웹 UI의 스크린샷입니다. 페이지 오른쪽에 있는 "추가" 버튼이 강조 표시됩니다.
  4. 규칙 이름을 입력합니다.
  5. 매핑 규칙을 입력합니다. 예를 들어 IdM이 제공된 인증서의 발급자주체 항목을 검색하고, 제공된 인증서의 이러한 두 항목에 있는 정보에 대해 인증 여부를 결정한 경우 다음을 수행합니다.

    (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})
  6. 일치하는 규칙을 입력합니다. 예를 들어 EXAMPLE.ORG 조직의 스마트 카드 CA 에서 발급한 인증서만 IdM에 대한 인증을 허용하려면 다음을 수행합니다.

    <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG

    그림 56.2. IdM 웹 UI에서 인증서 매핑 규칙 세부 정보 입력

    다음 필드가 포함된 "Add Certificate Identity Mapping Rule(인증서 ID 매핑 규칙 추가)" 팝업 창의 스크린샷입니다. 규칙 이름(필수) - 매핑 규칙 - 일치 규칙. Priority 필드는 비어 있으며 Domain name(도메인 이름) 레이블 옆에 Add(추가) 버튼도 있습니다.
  7. 대화 상자의 맨 아래에서 Add (추가)를 클릭하여 규칙을 추가하고 상자를 닫습니다.
  8. SSSD(시스템 보안 서비스 데몬)는 정기적으로 인증서 매핑 규칙을 다시 읽습니다. 새로 생성된 규칙을 즉시 로드하도록 하려면 SSSD를 다시 시작합니다.

    # systemctl restart sssd

이제 스마트 카드 인증서에서 찾은 스마트 카드 인증서와 IdM 사용자 항목의 인증서 매핑 데이터와 매핑 규칙에 지정된 데이터 유형을 비교하는 인증서 매핑 규칙 세트가 있습니다. 일치 항목을 찾으면 일치하는 사용자를 인증합니다.

56.2.1.2. IdM CLI에서 인증서 매핑 규칙 추가

  1. 관리자의 자격 증명을 가져옵니다.

    # kinit admin
  2. 매핑 규칙과 매핑 규칙이 기반으로 하는 일치 규칙을 입력합니다. 예를 들어 제공된 인증서에서 발급자주체 항목을 검색하고 EXAMPLE.ORG 조직의 스마트 카드 CA 에서 발급한 인증서만 인식하여 제공된 인증서의 이 두 항목에 있는 정보를 인증 또는 사용하지 않도록 결정하려면 다음을 수행합니다.

    # ipa certmaprule-add rule_name --matchrule '<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG' --maprule '(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})'
    -------------------------------------------------------
    Added Certificate Identity Mapping Rule "rule_name"
    -------------------------------------------------------
      Rule name: rule_name
      Mapping rule: (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})
      Matching rule: <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG
      Enabled: TRUE
  3. SSSD(시스템 보안 서비스 데몬)는 정기적으로 인증서 매핑 규칙을 다시 읽습니다. 새로 생성된 규칙을 즉시 로드하도록 하려면 SSSD를 다시 시작합니다.

    # systemctl restart sssd

이제 스마트 카드 인증서에서 찾은 스마트 카드 인증서와 IdM 사용자 항목의 인증서 매핑 데이터와 매핑 규칙에 지정된 데이터 유형을 비교하는 인증서 매핑 규칙 세트가 있습니다. 일치 항목을 찾으면 일치하는 사용자를 인증합니다.