9.5.2. 检查与智能卡证书关联的用户
如果您在使用智能卡进行身份验证时遇到问题，请验证正确的用户是否与您的智能卡证书关联。
先决条件
- 已安装并配置了 Identity Management(IdM)服务器和客户端，用于智能卡。
- 您可以检测智能卡读取器并显示智能卡的内容。请参阅在系统上测试智能卡访问。
- 您已将智能卡证书映射到 IdM 用户。请参阅在智能卡 上配置身份验证的证书映射规则。
-
您有 PEM 格式的智能卡中的证书副本，例如
cert.pem。
步骤
验证用户是否与您的智能卡证书关联：
# ipa certmap-match cert.pem -------------- 1 user matched -------------- Domain: IDM.EXAMPLE.COM User logins: idmuser1 ---------------------------- Number of entries returned 1 ----------------------------
如果用户或域不正确，请检查您的证书如何映射到用户。请参阅检查如何将证书映射到用户。
检查用户条目是否包含证书：
# ipa user-show idmuser1 User login: idmuser1 [...] Certificate:MIIEejCCAuKgAwIBAgIBCzANBgkqhkiG9w0BAQsFADAzMREwDwYDVQQKDAhJUEEuVEVTVDEeMBwGA1UEAwwVQ2VydGlmaWNhdGUgQXV0aG9yaXR5MB4XD
如果您的用户条目不包含证书，请将您的 base-64 编码证书添加到用户条目中：
创建一个包含证书的环境变量，该变量移除了标头和页脚，并串联成一行，这是
ipa user-add-cert命令期望的格式：$ export CERT=`openssl x509 -outform der -in idmuser1.crt | base64 -w0 -`
请注意，
idmuser1.crt文件中的证书必须采用 PEM 格式。使用
ipa user-add-cert命令将证书添加到idmuser1配置集中：$ ipa user-add-cert idmuser1 --certificate=$CERT
清除系统安全服务守护进程(SSSD)缓存。
# sssctl cache-remove SSSD must not be running. Stop SSSD now? (yes/no) [yes] yes Creating backup of local data… Removing cache files… SSSD needs to be running. Start SSSD now? (yes/no) [yes] yes
-
再次运行
ipa certmap-match来确认用户与您的智能卡证书关联。