Для упрощения настройки локальной аутентификации по токену был создан скрипт. Установить его можно с помощью следующей последовательности команд:

# для red os
sudo yum update
sudo yum install git

# для astra и alt linux
sudo apt-get update
sudo apt-get install git

# для rosa
sudo urpmi --auto-update
sudo urpmi git

# далее загружаем репозиторий с настройщиком
git clone https://github.com/AktivCo/linux-local-user-2fa-tuner
cd linux-local-user-2fa-tuner

После того, как скрипт был установлен, необходимо подключить токен и запустить его

bash ./setup.sh

После запуска будет предложено выбрать сертификат, который вы хотите использовать для аутентификации.

Вы можете выбрать существующий сертификат или создать новый. Если нужный сертификат и ключ на токене уже присутствуют, то можно сразу перейти к финальной настройке.

Создание нового сертификата

При создании нового сертификата, сначала произойдет генерация ключа на токене, а затем вас попросят ввести данные сертификата. После заполнения данных, вам будет предложено выбрать, создать самоподписанный сертификат или создать заявку, по которой вы в дальнейшем должны будете получить сертификат в УЦ.

При создании самоподписанного сертификата, можно сразу перейти к финальной настройке.

Импорт сертификата на токен

Для выпуска сертификата в УЦ, на предыдущем шаге у вас должна была создаться заявка cert.csr в текущей директории. Также программа передаст вам идентификатор сгенерированного ключа, который нужно запомнить.

Эту заявку отправьте в ваш УЦ и если её одобрят, вы должны получить сертификат в DER формате. После получения сертификата, его следует импортировать на токен. Для этого можно воспользоваться утилитой import_cert_to_token.sh

bash ./import_cert_to_token.sh

Из всех предложенных ключей, выберете тот, для которого создавался сертификат:

Далее укажите путь до полученного сертификата:

После того как сертификат был импортирован, снова запускаем скрипт setup.sh. Выбираем идентификатор импортированного сертификата:

В последующем окне указываем имя пользователя для которого хотим задать аутентфиикацию по данному сертификату

Финальная настройка

Несколько раз нажмите клавишу ENTER до тех пор, пока на экране не отобразится сообщение с запросом ввести PIN-код токена.

Для того чтобы проверить, что настройка прошла успешно, выполните команду:

su $USER

Лампочка на токене начнет мигать и отобразится предложение с вводом PIN-кода:

После этого, проверку можно произвести через Greeter:

Помимо настройки входа с помощью токена, автоматически была настроена автоблокировка при извлечении токена. Ее можно проверить с помощью извлечения токена.