7.4. Ansible을 사용하여 스마트 카드 인증을 위해 IdM 클라이언트 구성

절차

1. CA 인증서가 DER 와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

2. 필요한 경우 openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 Issuer 및 Subject 값이 올바른지 확인합니다.

   # openssl x509 -noout -text -in root-ca.pem | more

3. Ansible 제어 노드에서 ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

4. CA 인증서 전용 하위 디렉터리를 생성합니다.

   $ mkdir SmartCard/

5. 편의를 위해 필요한 모든 인증서를 ~/MyPlaybook/SmartCard/ 디렉터리에 복사합니다. 예를 들면 다음과 같습니다.

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. Ansible 인벤토리 파일에서 다음을 지정합니다.

   • 스마트 카드 인증을 위해 구성할 IdM 클라이언트입니다.
   • IdM 관리자 암호입니다.

   • 다음 순서로 CA 인증서의 경로입니다.

     • 루트 CA 인증서 파일
     • 중간 CA 인증서 파일
     • IdM CA 인증서 파일

   파일은 다음과 같습니다.

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 다음 콘텐츠를 사용하여 install-smartcard-clients.yml 플레이북을 생성합니다.

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. 파일을 저장합니다.

9. Ansible 플레이북을 실행합니다. Playbook 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible 역할은 다음 작업을 수행합니다.

   • 스마트 카드 데몬을 구성합니다.
   • 시스템 전체 신뢰 저장소를 설정합니다.
   • 사용자가 사용자 이름 및 암호 또는 스마트 카드로 인증할 수 있도록 SSSD(System Security Services Daemon)를 구성합니다. 스마트 카드 인증에 대한 SSSD 프로필 옵션에 대한 자세한 내용은 RHEL의 스마트 카드 인증 옵션을 참조하십시오.