28.3.3. webclient-ca が発行する証明書を使用して Web サーバーに対して認証するユーザーの Web ブラウザー用に CA ACL を作成する手順

手順

1. ipa caacl コマンドを使用して CA ACL を作成し、その名前を指定します。

   $ ipa caacl-add TLS_web_client_authentication

   --------------------------------------------
   Added CA ACL "TLS_web_client_authentication"
   --------------------------------------------
     ACL name: TLS_web_client_authentication
     Enabled: TRUE

2. ipa caacl-mod コマンドを使用して CA ACL を変更し、CA ACL の説明を指定します。

   $ ipa caacl-mod TLS_web_client_authentication --desc="CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca"

   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE

3. webclient-ca サブ CA を CA ACL に追加します。

   $ ipa caacl-add-ca TLS_web_client_authentication --ca=webclient-ca

     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
   -------------------------
   Number of members added 1
   -------------------------

4. ipa caacl-add-profile コマンドを使用して、要求された証明書の証明書プロファイルを指定します。

   $ ipa caacl-add-profile TLS_web_client_authentication --certprofiles=IECUserRoles

     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
     Profiles: IECUserRoles
   -------------------------
   Number of members added 1
   -------------------------

5. ipa caacl-mod コマンドを使用して CA ACL を変更し、CA ACL がすべての IdM ユーザーに適用されるように指定します。

   $ ipa caacl-mod TLS_web_client_authentication --usercat=all

   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     User category: all
     CAs: webclient-ca
     Profiles: IECUserRoles

   新たに作成した CA ACL は直接使用できます。CA ACL はデフォルトで作成後に有効になります。

   注記

   CA ACL は、特定のプリンシパルまたはグループから送信される要求への対応が許可されているのは、どの CA またはプロファイルの組み合わせであるかを指定することが目的です。CA ACL は、証明書の検証や信頼には適用されず、発行された証明書の使用方法にも影響はありません。