19.3. Exécutez volume_key dans une grande organisation

Procédure 19.3. Préparation

1. Créer une paire privée/certificat X509.
2. Indique les utilisateurs auxquels on fait confiance pour ne pas compromettre la clé privée. Ces utilisateurs seront en mesure de décrypter les paquets escrow.
3. Choisir les systèmes qui seront utilisés pour décrypter les paquets escrow. Sur ces systèmes, définir une base de données NSS qui contienne la clé privée.
   Si la clé privée n'a pas été créée dans une base de données NSS, suivre les étapes suivantes :
   • Stocker le certificat et la clé privée dans un fichier PKCS#12.
   • Exécutez:
     Copy to Clipboard Toggle word wrap

     certutil -d /the/nss/directory -N

     À ce stade, il est possible de choisir un mot de passe de base de données NSS. Chaque base de données NSS peut avoir un mot de passe différent, donc les utilisateurs désignés n'ont pas besoin de partager un mot de passe unique, si une base de données NSS séparée est utilisé par chaque utilisateur.
   • Exécutez:
     Copy to Clipboard Toggle word wrap

     pk12util -d /the/nss/directory -i the-pkcs12-file

4. Distribuer le certificat à quiconque installant des systèmes ou sauvegardant des clé sur les systèmes existants.
5. Pour les clés privées sauvegardées, préparez un stockage qui leur permette d'être consultées par une machine et un volume. Il peut s'agir, par exemple, d'un simple répertoire avec un sous-répertoire par machine, ou d'une base de données utilisée pour d'autres tâches de gestion de système également.