7.2. pkispawn ユーティリティーを使用して RHCS をインストールする

1. [DEFAULT] - サブシステムに依存しない設定
2. [Tomcat]
3. [CA]、[KRA]、[OCSP]、[TKS]、[TPS]、[ACME]、または [EST] - サブシステム固有のセクション

1. /usr/share/pki/server/etc/default.cfg ファイルからデフォルト値を読み取ります。詳細は、pki_default.cfg(5) の man ページを参照してください。

   重要

   /usr/share/pki/server/etc/default.cfg ファイルは編集しないでください。代わりに、デフォルトをオーバーライドする設定ファイルを作成するように指示されます。設定ファイルの使用に関する詳細は、次のセクションでサブシステムの各タイプに対応する pkispawn 設定ファイルの例を参照してください。

2. 上記の管理者が提供する設定ファイルを読み取り、デフォルト値をオーバーライドします。
3. 要求されたサブシステムのインストールを実行します。
4. 設定に基づいて設定を行う Java サーブレットに設定を渡します。

1. 一意のインスタンス名を設定します。

   # pki_instance_name=instance_name

   Copy to Clipboard Toggle word wrap

2. ホスト名を設定します。

   # pki_hostname=server.example.com

   Copy to Clipboard Toggle word wrap
   注記

   Certificate System は、これらのパラメーターとインスタンス名に基づいて一意の証明書ニックネームを作成します。証明書のニックネームの一意性は、複数の PKI インスタンスで共有される HSM トークンの機能を維持する上で非常に重要です。

3. HTTP および HTTPS プロトコルのポート番号を設定します。

   pki_https_port=port_number
   pki_http_port=port_number

   Copy to Clipboard Toggle word wrap
   重要

   同じホスト上で複数の Certificate System インスタンスを実行するには、ホスト上の他のサービスで使用されていない一意のポートを pki_https_port および pki_http_port パラメーターに設定する必要があります。デフォルトでは、Certificate System は HTTP にポート 8080、HTTPS にポート 8443 を使用します。

4. HSM 固有のパラメーターを設定します。

   pki_hsm_enable=<True|False>
   pki_hsm_libfile=HSM_PKCS11_library_path
   pki_hsm_modulename=HSM_module_name
   pki_token_name=HSM_token_name
   pki_token_password=HSM_token_password
   
   pki_audit_signing_token=HSM_token_name
   pki_subsystem_token=HSM_token_name
   pki_sslserver_token=HSM_token_name

   Copy to Clipboard Toggle word wrap

   詳細は、「HSM を使用した Certificate System のインストールの準備」 を参照してください。

5. RSA Certificate System インスタンスをビルドする場合は、次の設定を使用します。

   pki_admin_key_algorithm=SHA256withRSA
   pki_admin_key_size=4096
   pki_admin_key_type=rsa
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_key_size=4096
   pki_sslserver_key_type=rsa
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_key_size=4096
   pki_subsystem_key_type=rsa
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=4096
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA

   Copy to Clipboard Toggle word wrap

   key_algorithm パラメーターに選択できる項目は次のとおりです。

   SHA256withRSA
   SHA384withRSA
   SHA512withRSA

   Copy to Clipboard Toggle word wrap
   注記

   これらのアルゴリズムパラメーターは、CA の CS.cfg ファイルの ca.profiles.defaultSigningAlgsAllowed パラメーターで指定された値に設定できます。詳細は、管理ガイドの付録 B.2.10 署名アルゴリズムの制約 を参照してください。署名アルゴリズムは key_type と一致する必要があります。

6. 証明書の作成時に RSA の代わりに楕円曲線暗号 (ECC) を使用するには、次のように設定します。

   pki_admin_key_algorithm=SHA256withEC
   pki_admin_key_size=nistp256
   pki_admin_key_type=ecc
   pki_sslserver_key_algorithm=SHA256withEC
   pki_sslserver_key_size=nistp256
   pki_sslserver_key_type=ecc
   pki_subsystem_key_algorithm=SHA256withEC
   pki_subsystem_key_size=nistp256
   pki_subsystem_key_type=ecc
   pki_audit_signing_key_algorithm=SHA256withEC
   pki_audit_signing_key_size=nistp256
   pki_audit_signing_key_type=ecc
   pki_audit_signing_signing_algorithm=SHA256withEC

   Copy to Clipboard Toggle word wrap

   key_algorithm パラメーターに選択できる項目は次のとおりです。

   SHA256withEC
   SHA384withEC
   SHA512withEC

   Copy to Clipboard Toggle word wrap
   注記

   これらのアルゴリズムパラメーターは、CA の CS.cfg ファイルの ca.profiles.defaultSigningAlgsAllowed パラメーターで指定された値に設定できます。詳細は、管理ガイドの付録 署名アルゴリズムの制約 を参照してください。署名アルゴリズムは key_type と一致する必要があります。

   ECC の場合、key_size に選択できる値は次のとおりです。

   nistp256
   nistp384
   nistp521

   Copy to Clipboard Toggle word wrap

   ECC の場合、key_type には ecc を選択できます。

7. ブートストラップ管理者ユーザーのクライアントディレクトリーを設定します。

   pki_client_dir=bootstrap_admin_directory

   Copy to Clipboard Toggle word wrap

   デフォルトでは、パスは ~/.dogtag/instance_name/ に設定されています。

   重要

   pki_admin_* および pki_client_* パラメーターは、インストールプロセスによって自動的に作成されるブートストラップユーザーに属します。デフォルトのロール (権限) とブートストラップユーザーの詳細は、「ユーザー、認可、アクセス制御」 を参照してください。このセクションで説明するパラメーターは、pki_default.cfg(5) の man ページを参照してください。

8. ブートストラップ管理者ユーザーのさまざまなパスワードを設定します。

   pki_admin_password=password
   pki_client_database_password=password
   pki_client_pkcs12_password=password

   Copy to Clipboard Toggle word wrap

9. Certificate System と Directory Server の間で TLS を設定することを選択した場合は、設定ファイルで次のパラメーターを使用します。

   注記

   最初に基本的な TLS サーバー認証接続を作成する必要があります。インストール後、接続時にクライアント認証証明書を Directory Server に提示するよう要求するように設定します。その際にクライアント認証が設定されると、pki_ds_password は意味がなくなることに注意してください。

   pki_ds_database=back_end_database_name
   pki_ds_hostname=host_name
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=path_to_CA_or_self-signed_certificate
   pki_ds_password=password
   pki_ds_ldaps_port=port
   pki_ds_bind_dn=cn=Directory Manager

   Copy to Clipboard Toggle word wrap

   pki_ds_database パラメーターの値は、pkispawn ユーティリティーが Directory Server インスタンス上にに対応するサブシステムデータベースを作成するために使用する名前です。

   pki_ds_hostname パラメーターの値は、Directory Server インスタンスのインストール場所によって異なります。これは、「Directory Server パッケージのインストール」 で使用される値によって異なります。

   pki_ds_secure_connection=True を設定する場合は、以下のパラメーターを設定する必要があります。

   • pki_ds_secure_connection_ca_pem_file: Directory Server の CA 証明書のエクスポートされたコピーが格納されたファイルのファイル名を含む完全修飾パスを設定します。このファイルが先に存在していなければ、pkispawn は使用できません。
   • pki_ds_ldaps_port: Directory Server がリッスンしているセキュアな LDAPS ポートの値を設定します。デフォルトは 636 です。

10. Directory Server で自己署名付き証明書を使用する場合は、以下のコマンドを使用して Directory Server の Network Security Services (NSS) データベースからエクスポートします。

    # certutil -L -d /etc/dirsrv/slapd-instance_name/ -n "Server-Cert" -a -o /root/ds.crt

    Copy to Clipboard Toggle word wrap

11. セキュリティードメインとして機能する CA に対して、適切なパラメーターを設定します。

    # for a CA that acts as a security domain
    pki_security_domain_hostname=
    pki_security_domain_name=example.com Security Domain
    pki_security_domain_user=caadmin
    pki_security_domain_password=SD password

    Copy to Clipboard Toggle word wrap

[Tomcat] セクション:

1. Tomcat JServ Protocol (AJP) ポートを設定します。

   pki_ajp_port=Tomcat_AJP_port

   Copy to Clipboard Toggle word wrap

2. Tomcat サーバーポートを設定します。

   pki_tomcat_server_port=Tomcat_server_port

   Copy to Clipboard Toggle word wrap