28.3.2. webserver-ca で発行される証明書を使用して Web クライアントを認証する Web サーバー用の CA ACL の作成

手順

1. ipa caacl コマンドを使用して CA ACL を作成し、その名前を指定します。

   $ ipa caacl-add TLS_web_server_authentication

   --------------------------------------------
   Added CA ACL "TLS_web_server_authentication"
   --------------------------------------------
     ACL name: TLS_web_server_authentication
     Enabled: TRUE

2. ipa caacl-mod コマンドを使用して CA ACL を変更し、CA ACL の説明を指定します。

   $ ipa caacl-mod TLS_web_server_authentication --desc="CAACL for web servers authenticating to web clients using certificates issued by webserver-ca"

   -----------------------------------------------
   Modified CA ACL "TLS_web_server_authentication"
   -----------------------------------------------
     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE

3. webserver-ca サブ CA を CA ACL に追加します。

   $ ipa caacl-add-ca TLS_web_server_authentication --ca=webserver-ca

     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
   -------------------------
   Number of members added 1
   -------------------------

4. ipa caacl-add-service を使用して、プリンシパルで証明書を要求できるサービスを指定します。

   $ ipa caacl-add-service TLS_web_server_authentication --service=HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM

     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
     Services: HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM
   -------------------------
   Number of members added 1
   -------------------------

5. ipa caacl-add-profile コマンドを使用して、要求された証明書の証明書プロファイルを指定します。

   $ ipa caacl-add-profile TLS_web_server_authentication --certprofiles=caIPAserviceCert

     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
     Profiles: caIPAserviceCert
     Services: HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM
   -------------------------
   Number of members added 1
   -------------------------

   新たに作成した CA ACL は直接使用できます。CA ACL はデフォルトで作成後に有効になります。

   注記

   CA ACL は、特定のプリンシパルまたはグループから送信される要求への対応が許可されているのは、どの CA またはプロファイルの組み合わせであるかを指定することが目的です。CA ACL は、証明書の検証や信頼には適用されず、発行された証明書の使用方法にも影響はありません。