Red Hat Summit13.6. CA 証明書の信頼設定の変更
Certificate System サブシステムは、証明書データベース内の CA 証明書を使用して、SSL 対応の通信中に受信した証明書を検証します。
証明書データベースに保存されている CA の信頼設定を、一時的または永続的に変更する必要がある場合があります。たとえば、アクセスまたは侵害された証明書に問題がある場合、CA 証明書を信頼できないものとしてマークすると、その CA によって署名された証明書を持つエンティティーが Certificate System に対して認証されなくなります。問題が解決されると、CA は再び信頼できるとマークできます。
CA の信頼を永続的に解除するには、信頼データベースからその証明書を削除することを検討してください。手順は、「データベースからの証明書の削除」を参照してください。
13.6.1. コンソールからの信頼設定の変更
pkiconsole は非推奨となり、今後のメジャーリリースで新しいブラウザーベースの UI に置き換えられます。pkiconsole は代替 UI がリリースされるまで引き続き使用できますが、今後新しいブラウザーベースの UI が使用可能になった場合でも pki CLI のサポートおよび改良は継続されるため、現時点では pkiconsole に相当するコマンドラインの使用が推奨されます。
CA 証明書の信頼設定を変更するには、以下を実行します。
サブシステムコンソールを開きます。
# pkiconsole -d nssdb -n 'optional client cert nickname' https://server.example.com:secure_port/subsystem_type- Configuration タブで、左側のナビゲーションツリーから System Keys and Certificates を選択します。
- CA certificates タブを選択します。
- 変更する CA 証明書を選択し、 をクリックします。
The Certificate chain is (un)trusted, are you sure you want to (un)trust it? というプロンプトが開きます。
yes をクリックすると、証明書チェーンの信頼設定が変更されます。no を押すと、元の信頼関係が保持されます。
13.6.2. certutil を使用した信頼設定の変更
certutil を使用して証明書の信頼設定を変更するには、以下を実行します。
インスタンスの証明書データベースディレクトリーを開きます。
# cd /var/lib/pki/instance_name/alias-Lオプションを使用してcertutilを実行し、データベースの証明書をリスト表示します。以下に例を示します。# certutil -L -d . Certificate Authority - Example Domain CT,c, subsystemCert cert-instance_name u,u,u Server-Cert cert-instance_name u,u,u-Mオプションを使用してcertutilを実行し、証明書の信頼設定を変更します。# certutil -M -n cert_nickname -t trust -d .以下に例を示します。
# certutil -M -n "Certificate Authority - Example Domain" -t TCu,TCu,TCu -d .証明書を再度リスト表示し、証明書が削除されたことを確認します。
# certutil -L -d . Certificate Authority - Example Domain CTu,CTu,CTu subsystemCert cert-instance_name u,u,u Server-Cert cert-instance_name u,u,u
certutil コマンドの使用方法は、http://www.mozilla.org/projects/security/pki/nss/tools/certutil.html を参照してください。
