39.3. Solicitud de nuevos certificados para un usuario, host o servicio a la CA IdM mediante openssl

Procedimiento

1. Cree uno o varios alias para su entidad de crédito Kerberos test/server.example.com. Por ejemplo, test1/server.example.com y test2/server.example.com.

2. En el CSR, añada un subjectAltName para dnsName (server.example.com) y otherName (test2/server.example.com). Para ello, configure el archivo openssl.conf para incluir la siguiente línea que especifica el UPN otherName y subjectAltName:

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

3. Cree una solicitud de certificado utilizando openssl:

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

4. Envíe el archivo de solicitud de certificado a la CA que se ejecuta en el servidor IdM. Especifique la entidad de seguridad de Kerberos que se asociará con el certificado recién emitido:

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   El comando ipa cert-request en IdM utiliza los siguientes valores por defecto:

   • El perfil del certificado caIPAserviceCert

     Para seleccionar un perfil personalizado, utilice la opción --profile-id.

   • La CA raíz de IdM integrada, ipa

     Para seleccionar una sub-CA, utilice la opción --ca.