20.4. Obtention d'un certificat IdM pour un service à l'aide de certmonger

Procédure

1. Sur le client my_company.idm.example.com IdM sur lequel le service HTTP est exécuté, demandez un certificat pour le service correspondant au principal HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM et spécifiez que

   • Le certificat doit être stocké dans le fichier local /etc/pki/tls/certs/httpd.pem
   • La clé privée doit être stockée dans le fichier local /etc/pki/tls/private/httpd.key
   • La sous-CA webserver-ca doit être l'autorité de certification émettrice

   • Qu'une demande d'extension pour SubjectAltName soit ajoutée à la demande de signature avec le nom DNS de my_company.idm.example.com:

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     Dans la commande ci-dessus :

     • La commande ipa-getcert request spécifie que le certificat doit être obtenu auprès de l'autorité de certification IdM. La commande ipa-getcert request est un raccourci pour getcert request -c IPA.
     • L'option -g spécifie la taille de la clé à générer s'il n'y en a pas déjà une.
     • L'option -D spécifie la valeur DNS SubjectAltName à ajouter à la demande.
     • L'option -X précise que l'émetteur du certificat doit être webserver-ca et non ipa.
     • L'option -C demande à certmonger de redémarrer le service httpd après avoir obtenu le certificat.
     • Pour spécifier que le certificat doit être émis avec un profil particulier, utilisez l'option -T.

2. Optionnellement, pour vérifier le statut de votre demande :

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   La sortie montre que la demande est à l'état MONITORING, ce qui signifie qu'un certificat a été obtenu. Les emplacements de la paire de clés et du certificat sont ceux demandés.