2.2. 使用 Ansible 为智能卡验证配置 IdM 服务器

流程

1. 如果您的 CA 证书存储在不同格式的文件中，如 DER，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. （可选）使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中，指定以下内容：

   • 要为智能卡验证配置的 IdM 服务器。
   • IdM 管理员密码。

   • CA 的证书路径按以下顺序排列：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   该文件可如下所示：

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-server.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

8. 保存该文件。

9. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory install-smartcard-server.yml

   ipasmartcard_server Ansible 角色执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

10. 另外，如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，您可能需要禁用对 IdM Web UI 身份验证的 OCSP 检查：

    1. 以 root 身份连接到 IdM 服务器：

       ssh root@ipaserver.idm.example.com

    2. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

       SSLOCSPEnable off

    3. 重启 Apache 守护进程(httpd)使更改立即生效：

       # systemctl restart httpd

    警告

    如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

    有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。