第2章 Red Hat Enterprise Linux 8.10 上の Red Hat Certificate System 10.8

このセクションでは、Red Hat Certificate System 10.8 の新機能および重要な更新を説明します。

Certificate System パッケージがバージョン 11.6 にリベースされました。

Certificate System 10.6 インスタンスが SSN または RSNv1 を使用していた場合、Certificate System 10.8 に移行した後もそのまま動作します。必要に応じて RSNv3 に切り替えることができます。

新しい Certificate System 10.8 インスタンスをインストールする場合、Sequential Serial Numbers (SSN) または RSNv1 を使用するように明示的に設定しない限り、デフォルトで RSNv3 が使用されます。

注記: RSNv3 に移行した後に SSN RSNv1 に戻すことはサポートされません。

注記:

SSNv2 は CA の要求と証明書に対してのみサポートされます。

dbs.enableRandomSerialNumbers=true を使用するランダムシリアル番号では、SSNv2 はサポートされません。代わりに RSNv3 を使用してください。

SSNv2 は KRA の要求とキーではサポートされません。代わりに RSNv3 を使用してください。

インストールの詳細は「計画、インストール、およびデプロイメントのガイド」を、EST 設定の詳細は「管理ガイド」を参照してください。

OAEP が最もよく使用されるシナリオは 2 つあります。

インストールの詳細は「計画、インストール、およびデプロイメントのガイド」を、OAEP 設定の詳細は「管理ガイド」を参照してください。

注記: レコードを安全に削除するには、CA は RSNv3 を使用して証明書のシリアル番号と登録/更新要求 ID を生成する必要があります。

RHCS の CA では、以下を削除するプルーニングジョブを使用できます。

ジョブが実行されるたびに一定数のレコードを削除するには、ジョブを定期的に実行するようにスケジュールする必要があります。残りのレコードは後続の実行で削除されます。大規模なデプロイメントでは、クラスター内のサーバー間でジョブを分散できます。

このポリシーでは以下を設定できます。

各プロファイルのパスワードの複雑さを設定できますが、デフォルト値は CS.cfg で設定できます。

以前は、ユーザーは認証局 (CA) の独自の証明書署名要求 (CSR) 送信ルーチンを使用する必要がありました。ルーチンでは、要求を手動で確認して証明書を発行するために、認証局 (CA) エージェントが必要になる場合がありました。

RHCS ACME レスポンダーは、CA エージェントを使用せずに、サーバー証明書の自動発行とライフサイクル管理のための標準メカニズムを提供するようになりました。この機能により、RHCS CA を既存の証明書発行インフラストラクチャーと統合して、デプロイメント用のパブリック CA と開発用の内部 CA をターゲットにすることができます。

詳細は、IETF definition of ACME を参照してください。