検索

28.2.5. OCSP 応答の設定

download PDF
証明書は有効期間で作成されます。つまり、証明書は期限切れになり、有効ではなくなります。有効期限は証明書自体に含まれるため、クライアントは常に証明書の有効期間を確認して、証明書がまだ有効かどうかを確認します。
ただし、有効期間が切れる前に証明書を取り消すこともできますが、この情報は証明書に含まれていません。CA は、証明書失効リスト (CRL)を公開します。これには、その CA によって発行されたすべての証明書の完全なリストが含まれ、その後に取り消されます。クライアントは CRL を確認して、有効期間内の証明書が取り消され、無効であるかどうかを確認できます。
有効性チェックは、OCSP レスポンダー にリクエストを送信するオンライン証明書ステータスプロトコル (OCSP) を使用して実行されます。IdM サーバーと統合されている各 CA は、内部の OCSP レスポンダーを使用し、有効性チェックを実行するクライアントは、IdM CA の内部 OCSP レスポンダーを確認できます。
IdM CA が発行するすべての証明書は、証明書に OCSP レスポンダーサービス URL を追加します。以下に例を示します。
http://ipaserver.example.com:9180/ca/ocsp
注記
IdM OCSP レスポンダーを利用できるようにするには、ファイアウォールで 9180 ポートを開く必要があります。

28.2.5.1. SELinux での OSCP レスポンダーの使用

クライアントは、Identity Management OCSP レスポンダーを使用して証明書の有効性を確認するか、CRL を取得することができます。クライアントはさまざまなサービスにすることができますが、最も頻繁に Apache サーバーと、CRL および OCSP 操作を処理する mod_revocator モジュールです。
Identity Management CA には、ポート 9180 経由でリッスンする OCSP レスポンダーがあります。これは CRL の取得に使用できるポートです。このポートはデフォルトで SELinux ポリシーで保護され、承認されていないアクセスを防ぐことができます。Apache サーバーが OCSP ポートへの接続を試みると、SELinux によるアクセスが拒否される可能性があります。
Identity Management OCSP レスポンダーに接続できるようにするため、ローカルマシンの Apache サーバーには 9180 ポートへのアクセスが付与される必要があります。これを回避するには、以下の 2 つの方法があります。
  • SELinux ポリシーを編集して、mod_revocator モジュールを使用して Apache サーバーをポート 9180 に接続できるようにします。
    semodule -i revoker.pp
  • mod_revocator 接続の SELinux エラーログに基づいてアクセスを許可する新しい SELinux ポリシーを生成します。
    audit2allow -a -M revoker
Red Hat logoGithubRedditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

© 2024 Red Hat, Inc.