Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

11.4. 为智能卡设置 Kerberos 客户端

智能卡可以和 Kerberos 一起使用,但它需要额外的配置才能识别智能卡上的 X.509(SSL)用户证书:
  1. 安装所需的 PKI/OpenSSL 软件包以及其他客户端软件包:
    [root@server ~]# yum install krb5-pkinit
    [root@server ~]# yum install krb5-workstation krb5-libs
  2. 编辑 /etc/krb5.conf 配置文件,将公钥基础架构(PKI)的参数添加到配置的 [realms] 部分。pkinit_anchors 参数设置 CA 证书捆绑包文件的位置。
    [realms]
      EXAMPLE.COM = {
        kdc = kdc.example.com.:88
        admin_server = kdc.example.com
        default_domain = example.com
        ...
        pkinit_anchors = FILE:/usr/local/example.com.crt
     }
  3. 将 PKI 模块信息添加到用于智能卡验证的 PAM 配置(/etc/pam.d/smartcard-auth)和系统身份验证(/etc/pam.d/system-auth)。要添加到这两个文件中的行如下:
    auth    optional    pam_krb5.so use_first_pass no_subsequent_prompt preauth_options=X509_user_identity=PKCS11:/usr/lib64/pkcs11/opensc-pkcs11.so
    如果 OpenSC 模块无法按预期工作,请使用 coolkey 软件包中的模块: /usr/lib64/pkcs11/libcoolkeypk11.so。在这种情况下,请考虑联系红帽技术支持或就该问题发布 Bugzilla 报告。