第29章 IdM Healthcheck を使用した証明書の検証

このテストでは、certmonger の有効期限を確認します。

証明書の有効期限が切れている場合は、エラーが報告されます。

証明書の有効期限が間近な場合は、警告が表示されます。デフォルトでは、証明書の有効期限の 28 日以内にテストを実行すると警告が表示されます。

/etc/ipahealthcheck/ipahealthcheck.conf ファイルで日数を設定できます。ファイルを開いたら、default セクションにある cert_expiration_days オプションを変更します。

このテストでは、証明書ファイルまたは NSS データベースに正しいアクセス権が設定されているかどうかを確認します。このテストでは、有効期限も確認します。そのため、エラーまたは警告出力の msg 属性をよく読んでください。このメッセージは問題を特定するものです。

このテストでは、OpenSSL 証明書の証明書チェーンを検証します。具体的には、Healthcheck によって次の OpenSSL コマンドが実行されます。

openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]

openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]

このテストでは、certmonger の認証局 (CA) の設定を検証します。IdM は CA なしでは証明書を発行できません。

certmonger は CA ヘルパーのセットを管理します。IPA という名前の CA が、IdM を通じてホストまたはサービスの証明書を発行します。その際に、CA はホストまたはユーザープリンシパルとして認証します。

また、CA サブシステム証明書を更新する dogtag-ipa-ca-renew-agent と dogtag-ipa-ca-renew-agent-reuse もあります。