2.3. グラフィカルインターフェイス
Certificate System のコンソール pkiconsole は、管理者ロール権限を持つユーザーがサブシステム自体を管理するためのグラフィカルインターフェイスです。これには、ユーザーの追加、ログの設定、プロファイルおよびプラグインの管理、および内部データベースなどの多くの機能が含まれます。このユーティリティーは、クライアント認証を使用して TLS 経由で Certificate System サーバーと通信し、リモートでサーバーを管理するために使用できます。
pkiconsole は非推奨となり、今後のメジャーリリースで新しいブラウザーベースの UI に置き換えられます。pkiconsole は代替 UI がリリースされるまで引き続き使用できますが、今後新しいブラウザーベースの UI が使用可能になった場合でも pki CLI のサポートおよび改良は継続されるため、現時点では pkiconsole に相当するコマンドラインの使用が推奨されます。
2.3.1. pkiconsole の初期化
pkiconsoleインターフェイスの初回使用時には、新しいパスワードを指定し、以下のコマンドを使用します。$ pki -c password -d ~/.redhat-idm-console client-initこのコマンドは、
~/.redhat-idm-console/ディレクトリーに新しいクライアントの NSS データベースを作成します。- CA 証明書を PKI クライアント NSS データベースにインポートするには、計画、インストール、デプロイメントのガイド (Common Criteria Edition) の 10.5 NSS データベースへの証明書のインポート を参照してください。
- 新しいクライアント証明書を要求する場合は、5章証明書の要求、登録、管理 を参照してください。
以下のコマンドを実行して、
.p12ファイルから管理クライアント証明書を抽出します。$ openssl pkcs12 -in file -clcerts -nodes -nokeys -out file.crt計画、インストール、デプロイメントのガイド (Common Criteria Edition) の第 10 章 証明書/キー暗号トークンの管理 の説明に従って、管理クライアント証明書を検証してインポートします。
$ PKICertImport -d ~/.redhat-idm-console -n "nickname" -t ",," -a -i file.crt -u C
CA 管理クライアント証明書をインポートする前に、中間証明書とルート CA 証明書がインポートされていることを確認します。
既存のクライアント証明書とそのキーをクライアント NSS データベースにインポートするには、次を実行します。
$ pki -c password -d ~/.redhat-idm-console pkcs12-import --pkcs12-file file --pkcs12-password pkcs12-password以下のコマンドを使用して、クライアント証明書を確認します。
$ certutil -V -u C -n "nickname" -d ~/.redhat-idm-console
2.3.2. CA、OCSP、KRA、および TKS サブシステムで pkiconsole を使用する
Java コンソールは、CA、OCSP、KRA、および TKS の 4 つのサブシステムで使用されます。コンソールには、ローカルにインストールされた pkiconsole ユーティリティーを使用してアクセスできます。コマンドにはホスト名、サブシステムの管理 TLS ポート、特定のサブシステムタイプが必要なため、あらゆるサブシステムにアクセスできます。
# pkiconsole -d nssdb -n 'optional client cert nickname' https://server.example.com:admin_port/subsystem_typeDNS が設定されていない場合は、IPv4 アドレスまたは IPv6 アドレスを使用して、コンソールに接続できます。以下に例を示します。
https://192.0.2.1:8443/ca https://[2001:DB8::1111]:8443/ca
下の図のようにコンソールが開きます。
図2.1 Certificate System コンソール
名前が示すように、Configuration タブはサブシステムのすべての設定を制御します。このセクションで利用可能な選択肢は、インスタンスがどのサブシステムタイプであるかによって異なります。CA にはジョブ、通知、および証明書登録認証の追加設定があるため、CA にはほとんどのオプションがあります。
すべてのサブシステムには 4 つの基本的なオプションがあります。
- ユーザーおよびグループ
- アクセス制御リスト
- ログ設定
- サブシステム証明書 (セキュリティードメインや監査署名など、サブシステムに発行した証明書)
