Nakonfigurování Macu pro ověřování totožnosti pouze pomocí čipové karty

Systém macOS podporuje režim ověřování totožnosti pouze pomocí čipových karet, ve kterém je použití čipových karet povinné a všechny metody ověření pomocí hesla jsou deaktivované. Toto pravidlo platí pro všechny počítače Mac a lze z něj vyjmout jednotlivé uživatele zařazením do skupiny výjimek v případě, že uživatel nemá k dispozici funkční čipovou kartu.

Ověřování totožnosti pouze pomocí čipových karet vynucované na úrovni počítače

Počítače Mac se systémy macOS 10.13.2 a novějšími podporují režim ověřování totožnosti pouze pomocí čipových karet, ve kterém je použití čipových karet povinné a všechny metody ověření pomocí hesla jsou deaktivované. Tento režim se často označuje jako ověřování vynucené na úrovni počítače. Chcete‑li tuto funkci využívat, musíte povinné použití čipových karet nastavit ve službě správy zařízení nebo pomocí následujícího příkazu:

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

Další pokyny k nastavení systému macOS pro ověřování totožnosti pouze pomocí čipových karet najdete v článku podpory Apple Configure macOS for smart card-only authentication (Nastavení systému macOS pro ověřování pouze pomocí čipových karet).

Ověřování totožnosti pouze pomocí čipových karet vynucované na úrovni jednotlivých uživatelů

Pro konkrétní uživatele můžete povinnost přihlašovat se pomocí čipových karet nastavit vytvořením skupiny uživatelů, kterým z této povinnosti udělíte výjimku. Název místní nebo adresářové skupiny, na kterou se povinné použití čipových karet nebude vztahovat, je definován řetězcovou hodnotou proměnné NotEnforcedGroup. Tímto způsobem lze oddělit nastavení služeb čipových karet pro jednotlivé uživatele. Chcete‑li tuto funkci využívat, musíte nejprve nastavit povinnost na úrovni počítače ve službě správy zařízení nebo pomocí následujícího příkazu:

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

Kromě toho je systém nutné nastavit tak, aby uživatelům bez spárované čipové karty umožňoval přihlášení pomocí hesla:

sudo defaults write /Library/Preferences/com.apple.security.smartcard allowUnmappedUsers -int 1

Jako vodítko můžete použít níže uvedenou ukázku souboru /private/etc/SmartcardLogin.plist. SKUPINA_VYJIMEK je název skupiny uživatelů, pro které má platit výjimka. Na uživatele přidané do této skupiny se povinnost přihlašovat se pomocí čipové karty nevztahuje, pokud jsou specifikovanými členy skupiny nebo pokud je pro skupinu samotnou specifikována výjimka. Po úpravě souboru se ujistěte, že jeho vlastníkem je uživatel „root“ a že je u něj nastaveno všeobecné oprávnění ke čtení („world readable“).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plist version="1.0"><dict>     <key>AttributeMapping</key>     <dict>          <key>dsAttributeString</key>          <string>dsAttrTypeStandard:AltSecurityIdentities</string>          <key>fields</key>          <array>                <string>NT Principal Name</string>          </array>          <key>formatString</key>          <string>Kerberos:$1</string>     </dict>     <key>NotEnforcedGroup</key>     <string>EXEMPT_GROUP</string></dict></plist>

Viz takémanuálová stránka příkazu SmartCardServices manuálová stránka příkazu security manuálová stránka příkazu sc_auth manuálová stránka příkazu pam_smartcard

Užitečné?

Nasazení platforem Apple

Nakonfigurování Macu pro ověřování totožnosti pouze pomocí čipové karty

Ověřování totožnosti pouze pomocí čipových karet vynucované na úrovni počítače

Ověřování totožnosti pouze pomocí čipových karet vynucované na úrovni jednotlivých uživatelů