11.3. Passage d'une autorité de certification externe à une autorité de certification auto-signée dans l'IdM

Procédure

1. Sur le serveur de renouvellement de l'autorité de certification IdM, renouveler le certificat de l'autorité de certification en tant que certificat auto-signé :

   # ipa-cacert-manage renew --self-signed
   Renewing CA certificate, please wait
   CA certificate successfully renewed
   The ipa-cacert-manage command was successful

   Copy to Clipboard Toggle word wrap

2. SSH à tous les autres serveurs et clients IdM en tant que root. Par exemple :

   # ssh root@idmclient01.idm.example.com

   Copy to Clipboard Toggle word wrap

3. Sur le client IdM, mettre à jour les bases de données locales de certificats IdM avec les certificats du serveur :

   [idmclient01 ~]# ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap

4. Optionnellement, pour vérifier si la mise à jour a réussi et si le nouveau certificat d'autorité de certification a été ajouté au fichier /etc/ipa/ca.crt:

   [idmclient01 ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   Copy to Clipboard Toggle word wrap

   La sortie montre que la mise à jour a réussi puisque le nouveau certificat d'autorité de certification est listé avec les anciens certificats d'autorité de certification.