SSH к хосту Linux со смарт-картой не работает
Похоже, вы используете политику MLS selinux. Проверьте SELINUXTYPE=mlsв /etc/selinux/configи rpm -qa |grep selinux-policy-. Хотя Spacewalk поставляет политику selinux для target, mls и strict selinux, я почти уверен, что команда Spacewalk тестирует только targetedполитику. Таким образом, вы либо связываетесь с командой Spacewalk и пытаетесь помочь им решить проблему, либо переключаетесь на целевой selinux.
Кстати, туториал Howtoforge хорош, но лучше следовать тому, что рекомендует команда:https://github.com/spacewalkproject/spacewalk/wiki/HowToInstall
Сообщение от opensc-tool --list-readersуказывает, что считыватель присутствует и видит карту.
Но «слоты» в сообщении об ошибке относятся к более высокому -уровню абстракции :программируемым «ключевым слотам» на самой карте. Вы можете просмотреть их с помощью pkcs11-tool --list-slotsили pkcs11-tool --list-token-slots.
Вы также можете запустить opensc-tool --name, чтобы убедиться, что тип карты определен правильно.
Изhttps://piv.idmanagement.gov/engineering/ssh/#ssh-from-macosи работает почти так же в Linux:
- Установите OpenSC.
- Вставьте PIV/CAC в картридер.
Чтобы просмотреть сертификаты на вашем Mac, введите:
pkcs15 -инструмент --список -открытые -ключи
Запишите идентификационный номер публичного ключа PIV AUTH.
- Использование считывателя с картой :Считыватель смарт-карт SCR35xx
Public RSA Key [PIV AUTH pubkey]
Object Flags : [0x0]
Usage : [0xD1], encrypt, wrap, verify, verifyRecover
Access Flags : [0x2], extract
ModLength : 2048
Key ref : 154 (0x9A)
Native : yes
ID : 01 (EXAMPLE ONLY)
DirectValue : <absent>
Используйте свой идентификатор публичного ключа PIV AUTH, чтобы просмотреть свой ключ SSH. Введите:
pkcs15 -инструмент --чтение -ssh -ключ 01
При появлении запроса введите PIN-код PIV/CAC. Ключ SSH будет выглядеть так:
ssh -rsa AAAAB3NzaC1yc2EAAAAADAQABAAABAQCyPn2dShOFLBnMraiP2MnLU....
Скопируйте ключ SSH и вставьте его в текстовый файл.
- Отправьте текстовый файл администратору сервера и запросите новую учетную запись.
Если у вас есть учетная запись, вы можете войти на удаленный сервер. Введите:
ssh -I /usr/lib64/opensc -pkcs11.so @
Необязательно,вы можете обновить параметр в файле конфигурации /etc/ssh _до:
PKCS11Provider /usr/lib64/opensc -pkcs11.so
При появлении запроса введите PIN-код PIV/CAC. После проверки вы войдете на удаленный сервер.