17.8. Utilisation de SCEP avec certmonger

Procédure

1. Ajouter la configuration de l'autorité de certification à certmonger:

   [root@client.idm.example.com ~]# getcert add-scep-ca -c SCEP_example -u SCEP_URL

   • -c: Pseudonyme obligatoire pour la configuration de l'autorité de certification. La même valeur peut être utilisée ultérieurement avec d'autres commandes getcert.

   • -u: URL de l'interface SCEP du serveur.

     Important

     Lorsque vous utilisez une URL HTTPS, vous devez également spécifier l'emplacement de la copie formatée PEM du certificat CA du serveur SCEP à l'aide de l'option -R.

2. Vérifiez que la configuration de l'autorité de certification a été ajoutée avec succès :

   [root@client.idm.example.com ~]# getcert list-cas -c SCEP_example
   CA 'SCEP_example':
          is-default: no
          ca-type: EXTERNAL
          helper-location: /usr/libexec/certmonger/scep-submit -u http://SCEP_server_enrollment_interface_URL
          SCEP CA certificate thumbprint (MD5): A67C2D4B 771AC186 FCCA654A 5E55AAF7
          SCEP CA certificate thumbprint (SHA1): FBFF096C 6455E8E9 BD55F4A5 5787C43F 1F512279

   Si la configuration a été ajoutée avec succès, certmonger récupère la chaîne d'autorité de certification de l'autorité de certification distante. La chaîne d'autorité de certification apparaît alors sous forme d'empreintes dans la sortie de la commande. Lors de l'accès au serveur via HTTP non chiffré, comparez manuellement les empreintes avec celles affichées sur le serveur SCEP afin d'éviter une attaque de type "man-in-the-middle".

3. Demander un certificat à l'autorité de certification :

   • Si vous utilisez NSS :

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -d /etc/pki/nssdb -n ExampleCert -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     Les options permettent de spécifier les paramètres suivants de la demande de certificat :

     • -I: (Optional) Nom de la tâche : l'ID de suivi de la demande. La même valeur peut être utilisée ultérieurement avec la commande getcert list.
     • -c: Configuration de l'autorité de certification à laquelle soumettre la demande.
     • -d: Répertoire avec la base de données NSS pour stocker le certificat et la clé.
     • -n: Pseudonyme du certificat, utilisé dans la base de données du SSN.
     • -N: Nom du sujet dans le CSR.
     • -L: Code PIN challengePassword à usage unique et limité dans le temps, délivré par l'AC.
     • -D: Nom alternatif du sujet pour le certificat, généralement le même que le nom d'hôte.

   • Si vous utilisez OpenSSL :

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -f /etc/pki/tls/certs/server.crt -k /etc/pki/tls/private/private.key -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     Les options permettent de spécifier les paramètres suivants de la demande de certificat :

     • -I: (Optional) Nom de la tâche : l'ID de suivi de la demande. La même valeur peut être utilisée ultérieurement avec la commande getcert list.
     • -c: Configuration de l'autorité de certification à laquelle soumettre la demande.
     • -f: Chemin d'accès au certificat.
     • -k: Chemin d'accès à la clé.
     • -N: Nom du sujet dans le CSR.
     • -L: Code PIN challengePassword à usage unique et limité dans le temps, délivré par l'AC.
     • -D: Nom alternatif du sujet pour le certificat, généralement le même que le nom d'hôte.

Vérification

1. Vérifiez qu'un certificat a été émis et correctement stocké dans la base de données locale :

   • Si vous avez utilisé NSS, entrez :

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     	Request ID 'Example_Task':
             status: MONITORING
             stuck: no
             key pair storage: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             certificate: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             signing request thumbprint (MD5): 503A8EDD DE2BE17E 5BAA3A57 D68C9C1B
             signing request thumbprint (SHA1): B411ECE4 D45B883A 75A6F14D 7E3037F1 D53625F4
             CA: IPA
             issuer: CN=Certificate Authority,O=EXAMPLE.COM
             subject: CN=client.idm.example.com,O=EXAMPLE.COM
             expires: 2018-05-06 10:28:06 UTC
             key usage: digitalSignature,keyEncipherment
             eku: iso.org.dod.internet.security.mechanisms.8.2.2
             certificate template/profile: IPSECIntermediateOffline
             pre-save command:
             post-save command:
             track: yes
     	auto-renew: yes

   • Si vous avez utilisé OpenSSL, entrez :

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     Request ID 'Example_Task':
            status: MONITORING
            stuck: no
            key pair storage: type=FILE,location='/etc/pki/tls/private/private.key'
            certificate: type=FILE,location='/etc/pki/tls/certs/server.crt'
            CA: IPA
            issuer: CN=Certificate Authority,O=EXAMPLE.COM
            subject: CN=client.idm.example.com,O=EXAMPLE.COM
            expires: 2018-05-06 10:28:06 UTC
            eku: id-kp-serverAuth,id-kp-clientAuth
            pre-save command:
            post-save command:
            track: yes
            auto-renew: yes

     L'état MONITORING signifie que le certificat délivré a été récupéré avec succès. La page de manuel getcert-list(1) répertorie les autres états possibles et leur signification.

Procédure

1. Ouvrez regedit sur le serveur AD.
2. Dans la sous-clé HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP, ajoutez une nouvelle entrée REG_DWORD de 32 bits DisableRenewalSubjectNameMatch et définissez sa valeur à 1.

3. Sur le serveur où certmonger est exécuté, ouvrez le fichier /etc/certmonger/certmonger.conf et ajoutez la section suivante :

   [scep]
   challenge_password_otp = yes

4. Redémarrer certmonger :

   # systemctl restart certmonger