14.5. LDAP データベースの設定

1. Directory Server インスタンスを停止します。

   # systemctl stop dirsrv@instance_name

2. Certificate Signing Request (CSR) を生成します。
   たとえば、2048 ビット RSA 暗号化を使用し、これを ~/ds.csr ファイルに保存する CSR を生成するには、以下を実行します。

   # PKCS10Client -d /etc/dirsrv/slapd-instance_name/ -p password -a rsa -l 2048 -o ~/ds.csr -n "CN=$HOSTNAME"
   PKCS10Client: Debug: got token.
   PKCS10Client: Debug: thread token set.
   PKCS10Client: token Internal Key Storage Token logged in...
   PKCS10Client: key pair generated.
   PKCS10Client: CertificationRequest created.
   PKCS10Client: b64encode completes.
   Keypair private key id: -3387b397ebe254b91c5d6c06dc36618d2ea8b7e6
   
   -----BEGIN CERTIFICATE REQUEST-----
   ...
   -----END CERTIFICATE REQUEST-----
   PKCS10Client: done. Request written to file: ~/ds.csr

3. Directory Server インスタンスを起動し、CA が要求の処理できるようにします。

   # systemctl start dirsrv@instance_name

4. CSR を Certificate System の CA に送信します。以下に例を示します。

   # pki -d /etc/dirsrv/slapd-instance_name/ ca-cert-request-submit --profile caServerCert --csr-file ~/ds.csr
   -----------------------------
   Submitted certificate request
   -----------------------------
     Request ID: 13
     Type: enrollment
     Request Status: pending
     Operation Result: success

1. CA エージェント証明書を Network Security Services (NSS) データベースにインポートして、CMC フル要求を署名します。
   1. 新しいディレクトリーを作成します。以下に例を示します。

      # mkdir ~/certs_db/

   2. 新たに作成したディレクトリーでデータベースを初期化します。

      # certutil -N -d ~/certs_db/

   3. CA 署名証明書のシリアル番号を表示します。

      # pki -p 8080 ca-cert-find --name "CA Signing Certificate"
      ---------------
      1 entries found
      ---------------
      Serial Number: 0x87bbe2d
      ...

   4. 前の手順のシリアル番号を使用して、CA 署名証明書を ~/certs_db/CA.pem ファイルにダウンロードします。

      # pki -p 8080 ca-cert-show 0x87bbe2d --output ~/certs_db/CA.pem

   5. CA 署名証明書を NSS データベースにインポートします。

      # pki -d ~/certs_db/ -c password client-cert-import "CA Certificate" --ca-cert ~/certs_db/CA.pem

   6. エージェントの証明書をインポートします。

      # pk12util -d ~/certs_db/ -i ~/.dogtag/instance_name/ca_admin_cert.p12
      Enter Password or Pin for "NSS FIPS 140-2 Certificate DB": password
      Enter password for PKCS12 file: password
      pk12util: PKCS12 IMPORT SUCCESSFUL
      

2. CMS (CMC) 要求で Certificate Management を作成します。
   1. ~/sslserver-cmc-request.cfg などの設定ファイルを以下の内容で作成します。

      # NSS database directory where the CA agent certificate is stored.
      dbdir=~/certs_db/
      
      # NSS database password.
      password=password
      
      # Token name (default is internal).
      tokenname=internal
      
      # Nickname for CA agent certificate.
      nickname=caadmin
      
      # Request format: pkcs10 or crmf.
      format=pkcs10
      
      # Total number of PKCS10/CRMF requests.
      numRequests=1
      
      # Path to the PKCS10/CRMF request.
      # The content must be in Base-64 encoded format.
      # Multiple files are supported. They must be separated by space.
      input=~/ds.csr
      
      # Path for the CMC request.
      output=~/sslserver-cmc-request.bin

   2. CMC 要求を作成します。

      # CMCRequest ~/sslserver-cmc-request.cfg
      ...
      The CMC enrollment request in base-64 encoded format:
      ...
      The CMC enrollment request in binary format is stored in ~/sslserver-cmc-request.bin

3. CMC 要求を送信します。
   1. ~/sslserver-cmc-submit.cfg などの設定ファイルを以下の内容で作成します。

      # PKI server host name.
      host=server.example.com
      
      # PKI server port number.
      port=8443
      
      # Use secure connection.
      secure=true
      
      # Use client authentication.
      clientmode=true
      
      # NSS database directory where the CA agent certificate is stored.
      dbdir=~/certs_db/
      
      # NSS database password.
      password=password
      
      # Token name (default: internal).
      tokenname=internal
      
      # Nickname of CA agent certificate.
      nickname=caadmin
      
      # CMC servlet path
      servlet=/ca/ee/ca/profileSubmitCMCFull?profileId=caCMCserverCert
      
      # Path for the CMC request.
      input=~/sslserver-cmc-request.bin
      
      # Path for the CMC response.
      output=~/sslserver-cmc-response.bin

   2. 要求を送信します。

      # HttpClient sslserver-cmc-submit.cfg
      ...
      The response in binary format is stored in
      ~/sslserver-cmc-response.bin

   3. 必要に応じて、結果を確認します。

      # CMCResponse -d ~/certs_db/ -i ~/sslserver-cmc-response.bin
      ...
      Number of controls is 1
      Control #0: CMCStatusInfoV2
         OID: {1 3 6 1 5 5 7 7 25}
         BodyList: 1
         Status: SUCCESS
      

4. Directory Server 証明書のシリアル番号を表示します。

   # pki -p 8080 ca-cert-find --name "DS Certificate"
   ---------------
   1 entries found
   ---------------
   Serial Number: 0xc3eeb0c
   ...

5. 前の手順でシリアル番号を使用して、証明書をダウンロードします。

   # pki -p 8080 ca-cert-show 0xc3eeb0c --output ~/ds.crt

6. Directory Server および CA 証明書の証明書を Directory Server ホストにコピーします。以下に例を示します。

   # scp ~/ds.crt ~/certs_db/CA.pem ds.example.com:~/

7. Certificate System を停止します。

   # pki-server stop instance_name

1. Directory Server インスタンスを停止します。

   # systemctl stop dirsrv@instance_name

2. 証明書を置き換えます。詳細は、『Red Hat Directory Server 管理ガイド』 の該当するセクションを参照してください。
   1. 古い証明書および CA 証明書を削除します。『証明書の削除』 を参照してください。
   2. Certificate System が発行する CA 証明書をインストールします。『認証局証明書のインストール』 を参照してください。
   3. Certificate System が発行する Directory Server の証明書をインストールします。『サーバー証明書のインストール』 を参照してください。
3. Directory Server インスタンスを起動します。

   # systemctl start dirsrv@instance_name

# pki-server stop instance_name