7.3. ルート認証局の設定 (例)

1. RHCS インスタンス (pki.example.com) をホストするマシンで、選択した場所 (例: /root/pki_rsa) に CA インストールファイルを作成します。

   cd /root/pki_rsa
   
   vi rootca_inst.cfg

   Copy to Clipboard Toggle word wrap

   [DEFAULT]
   pki_instance_name=rhcs10-RSA-RootCA
   pki_https_port=8443
   pki_http_port=8080
   
   # Crypto Token
   pki_hsm_enable=True
   pki_hsm_libfile=/opt/nfast/toolkits/pkcs11/libcknfast.so
   pki_hsm_modulename=nfast
   pki_token_name=NHSM-CONN-XC
   pki_token_password=<YourHSMpassword>
   
   pki_audit_signing_token=NHSM-CONN-XC
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=2048
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA
   
   pki_subsystem_token=NHSM-CONN-XC
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_signing_algorithm=SHA256withRSA
   pki_subsystem_key_size=2048
   pki_subsystem_key_type=rsa
   
   pki_sslserver_token=NHSM-CONN-XC
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_signing_algorithm=SHA256withRSA
   pki_sslserver_key_size=2048
   pki_sslserver_key_type=rsa
   
   # Bootstrap Admin
   pki_admin_password=SECret.123
   pki_admin_key_type=rsa
   pki_admin_key_size=2048
   pki_admin_key_algorithm=SHA256withRSA
   
   # Bootstrap Admin client dir
   # by default, if pki_client_dir, pki_client_database_dir,
   # and pki_client_admin_cert_p12 are not specified, items will be placed
   # under some default directories in /root/.dogtag
   pki_client_dir=/opt/pki_rsa/rhcs10-RSA-RootCA
   pki_client_admin_cert_p12=/opt/pki_rsa/rhcs10-RSA-RootCA/ca_admin_cert.p12
   pki_client_database_dir=/opt/pki_rsa/rhcs10-RSA-RootCA/certs_db
   pki_client_database_password=SECret.123
   pki_client_pkcs12_password=SECret.123
   
   # Internal LDAP
   pki_ds_bind_dn=cn=Directory Manager
   pki_ds_ldap_port=389
   pki_ds_ldaps_port=636
   pki_ds_password=SECret.123
   pki_ds_remove_data=True
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=/opt/pki_rsa/temp-dirsrv-rootca-cert.pem
   pki_ds_secure_connection_ca_nickname=DS temp CA certificate
   
   # Security Domain
   pki_security_domain_hostname=rhcs10.example.com
   pki_security_domain_name=Example-rhcs10-RSA-RootCA
   pki_security_domain_password=SECret.123
   
   
   [Tomcat]
   pki_ajp_port=8009
   pki_tomcat_server_port=8005
   
   
   [CA]
   pki_import_admin_cert=False
   pki_admin_nickname=PKI Bootstrap Administrator for RSA-RootCA
   pki_admin_name=caadmin
   pki_admin_uid=caadmin
   pki_admin_email=caadmin@example.com
   
   pki_ca_signing_token=NHSM-CONN-XC
   pki_ca_signing_key_algorithm=SHA256withRSA
   pki_ca_signing_key_size=3072
   pki_ca_signing_key_type=rsa
   pki_ca_signing_nickname=CA Signing Cert - %(pki_instance_name)s
   pki_ca_signing_signing_algorithm=SHA256withRSA
   
   pki_ocsp_signing_token=NHSM-CONN-XC
   pki_ocsp_signing_key_algorithm=SHA256withRSA
   pki_ocsp_signing_key_size=3072
   pki_ocsp_signing_key_type=rsa
   pki_ocsp_signing_signing_algorithm=SHA256withRSA
   
   pki_ds_hostname=dir.example.com
   pki_ds_base_dn=dc=RSA-RootCA
   pki_ds_database=CC-RSA-RootCA-LDAP
   pki_share_db=False

   Copy to Clipboard Toggle word wrap
   注記

   明示的に指定されていない限り、システム証明書のニックネームは、pki_instance_name に指定された値を使用して自動的に名前が付けられます。共有 HSM での証明書のニックネームの競合を回避するには、インスタンスを作成するたびに一意のインスタンス名を使用します。ただし、ツーステップインストールでは、両方のファイルの pki_instance_name 値が一致する必要があります。以下の値は例として使用しています。

2. pkispawn ツールを初回実行し、RHCS CA インスタンスをインストールします。

   pkispawn -s CA -f rootca_inst.cfg --skip-configuration --debug

   Copy to Clipboard Toggle word wrap

検証手順

1. インストールされている CA のステータスを表示します。

   # pki-server status rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

   Unsecure EE、Secure EE、Agent、Admin、および pkiconsole の URL を書き留めます。

2. 次のコマンドを実行して、CA の正常性を確認します。証明書が表示されるはずです。

   # pki -p 8443 -h pki.example.com ca-cert-find

   Copy to Clipboard Toggle word wrap
   注記

   次のように、pki コマンドを使用して RootCA に初めて接続すると、信頼されていない CA 署名証明書の発行者として警告が表示されます。

   WARNING: UNTRUSTED ISSUER encountered on 'CN=pki.example.com,OU=rhcs10-RSA-RootCA,O=Example-rhcs10-RSA-RootCA' indicates a non-trusted CA cert 'CN=CA Signing Certificate,OU=rhcs10-RSA-RootCA,O=Example-rhcs10-RSA-RootCA'
   Trust this certificate (y/N)?

   Copy to Clipboard Toggle word wrap

   サブジェクト DN が想定したホスト名と一致する場合は、y を選択して CA 署名証明書を信頼します。警告は再度表示されなくなります。