Chapitre 17. Obtention d'un certificat IdM pour un service à l'aide de certmonger
17.1. Aperçu de Certmonger
Lorsque la gestion des identités (IdM) est installée avec une autorité de certification (AC) IdM intégrée, elle utilise le service certmonger pour suivre et renouveler les certificats de système et de service. Lorsque le certificat arrive à sa date d'expiration, certmonger gère le processus de renouvellement :
- régénérer une demande de signature de certificat (CSR) en utilisant les options fournies dans la demande initiale.
-
soumettre la CSR à l'autorité de certification IdM à l'aide de la commande IdM API
cert-request. - réception du certificat de l'autorité de certification IdM.
- l'exécution d'une commande de pré-sauvegarde si elle est spécifiée dans la demande initiale.
-
installer le nouveau certificat à l'emplacement spécifié dans la demande de renouvellement : soit dans une base de données
NSS, soit dans un fichier. -
l'exécution d'une commande post-save si elle est spécifiée dans la demande initiale. Par exemple, la commande post-sauvetage peut demander à
certmongerde redémarrer un service pertinent, de sorte que le service prenne en charge le nouveau certificat.
Types de certificats certmonger tracks
Les certificats peuvent être divisés en certificats de système et de service.
Contrairement aux certificats de service (par exemple, pour HTTP, LDAP et PKINIT), qui ont des paires de clés et des noms de sujets différents sur des serveurs différents, les certificats du système IdM et leurs clés sont partagés par toutes les répliques de l'autorité de certification. Les certificats du système IdM sont les suivants
-
IdM CAcertificat -
OCSPcertificat de signature -
IdM CA subsystemcertificats -
IdM CA audit signingcertificat -
IdM renewal agent(RA) certificat -
KRAcertificats de transport et de stockage
Le service certmonger assure le suivi des certificats du système et des services IdM qui ont été demandés lors de l'installation de l'environnement IdM avec une autorité de certification intégrée. Certmonger assure également le suivi des certificats qui ont été demandés manuellement par l'administrateur du système pour d'autres services fonctionnant sur l'hôte IdM. Certmonger n'assure pas le suivi des certificats d'autorité de certification externe ou des certificats d'utilisateur.
Composants Certmonger
Le service certmonger se compose de deux éléments principaux :
-
Le site
certmonger daemon, qui est le moteur de suivi de la liste des certificats et de lancement des commandes de renouvellement -
L'utilitaire
getcertpourcommand-line interface(CLI), qui permet à l'administrateur système d'envoyer activement des commandes au démoncertmonger.
Plus précisément, l'administrateur système peut utiliser l'utilitaire getcert pour :
