11.3. CA、OCSP、KRA、TKS のユーザーおよびグループの管理

~/cmc.role_crmf.cfg ファイルを以下の内容で作成します。

#numRequests: Total number of PKCS10 requests or CRMF requests.
numRequests=1

#input: full path for the PKCS10 request or CRMF request,
#the content must be in Base-64 encoded format
#Multiple files are supported. They must be separated by a space.
input=~/user_name.req

#output: full path for the CMC request in binary format
output=~/cmc.role_crmf.req

#tokenname: name of token where agent signing cert can be found (default is internal)
tokenname=internal

#nickname: nickname for agent certificate which will be used
#to sign the CMC full request.
nickname=jsmith - CA Agent for Example.com

#dbdir: directory for cert9.db, key4.db and pkcs11.txt
dbdir=/home/jsmith/certs_db

#password: password for cert9.db which stores the agent
#certificate
password=password

#format: request format, either pkcs10 or crmf
format=crmf

直前の手順で使用した環境および CSR 形式に基づいて、パラメーターを設定します。

以前に作成した設定ファイルを CMCRequest ユーティリティーに渡して、CMC 要求を作成します。

# CMCRequest ~/cmc.role_crmf.cfg

~/HttpClient_role_crmf.cfg ファイルを以下の内容で作成します。

# #host: host name for the http server
host=server.example.com

#port: CA port number
port=8443

#secure: true for secure connection, false for nonsecure connection
secure=true

#input: full path for the enrollment request, the content must be in binary format
input=~/cmc.role_crmf.req

#output: full path for the response in binary format
output=~/cmc.role_crmf.resp

#tokenname: name of token where SSL client authentication cert can be found (default is internal)
#This parameter will be ignored if secure=false
tokenname=internal

#dbdir: directory for cert9.db, key4.db and pkcs11.txt
#This parameter will be ignored if secure=false
dbdir=/home/jsmith/certs_db

#clientmode: true for client authentication, false for no client authentication
#This parameter will be ignored if secure=false
clientmode=true

#password: password for cert9.db
#This parameter will be ignored if secure=false and clientauth=false
password=password

#nickname: nickname for client certificate
#This parameter will be ignored if clientmode=false
nickname=jsmith - CA Agent for Example.com

#servlet: servlet name
servlet=/ca/ee/ca/profileSubmitCMCFull?profileId=caFullCMCUserCert

環境に応じてパラメーターを設定します。

CA に要求を送信します。

# HttpClient ~/HttpClient_role_crmf.cfg

Total number of bytes read = 3776
after SSLSocket created, thread token is Internal Key Storage Token
client cert is not null
handshake happened
writing to socket
Total number of bytes read = 2523
MIIJ1wYJKoZIhvcNAQcCoIIJyDCCCcQCAQMxDzANBglghkgBZQMEAgEFADAxBggr
...
The response in data format is stored in ~/cmc.role_crmf.resp

結果を確認します。

# CMCResponse -i ~/cmc.role_crmf.resp

Certificates:
    Certificate:
    	Data:
        	Version:  v3
        	Serial Number: 0xF9D290B
        	Signature Algorithm: SHA512withEC - 1.2.840.10045.4.3.4
        	Issuer: CN=CA Signing Certificate,OU=rhcs10-ECC-SubCA,O=Example-rhcs10-ECC-RootCA
        	Validity:
            	Not Before: Friday, January 26, 2024 12:50:37 AM PST America/Los_Angeles
            	Not  After: Wednesday, July 24, 2024 12:50:37 AM PDT America/Los_Angeles
        	Subject: CN=user_name
...
Number of controls is 1
Control #0: CMCStatusInfoV2
   OID: {1 3 6 1 5 5 7 7 25}
   BodyList: 1
   Status: SUCCESS

発行が成功した場合は、新しく発行された .crt 証明書ファイルを取得します。

# pki -d /home/jsmith/certs_db -c password -p 8443 -n 'jsmith - CA Agent for Example.com' ca-cert-export 0xF9D290B --output-file ~/user.crt

その後、CA エージェント jsmith は、証明書を要求元のユーザーに送信します。

シリアル番号または証明書ファイルを使用して、Certificate System データベース内のユーザーアカウントに証明書を追加します。たとえば、user_name ユーザーの場合、以下を実行します。

# pki -d /home/jgenie/certs_db/ -c password -n jgenie ca-user-cert-add user_name --input ~/user.crt

OR

# pki -d /home/jgenie/certs_db/ -c password -n jgenie ca-user-cert-add user_name --serial 0xF9D290B

----------------------------------------------------------------------------------------------------------------------
Added certificate "2;261957899;CN=CA Signing Certificate,OU=rhcs10-ECC-SubCA,O=Example-rhcs10-ECC-RootCA;CN=user_name"
----------------------------------------------------------------------------------------------------------------------
  Cert ID: 2;261957899;CN=CA Signing Certificate,OU=rhcs10-ECC-SubCA,O=Example-rhcs10-ECC-RootCA;CN=user_name
  Version: 2
  Serial Number: 0xf9d290b
  Issuer: CN=CA Signing Certificate,OU=rhcs10-ECC-SubCA,O=Example-rhcs10-ECC-RootCA
  Subject: CN=user_name

証明書がユーザーレコードに追加されたことを確認します。たとえば、証明書のサブジェクトに user_name ユーザーが含まれる証明書をリスト表示するには、次のコマンドを実行します。

# pki -d /home/jgenie/certs_db/ -c password -n jgenie ca-user-cert-find user_name

-----------------
1 entries matched
-----------------
  Cert ID: 2;261957899;CN=CA Signing Certificate,OU=rhcs10-ECC-SubCA,O=Example-rhcs10-ECC-RootCA;CN=user_name
  Version: 2
  Serial Number: 0xf9d290b
  Issuer: CN=CA Signing Certificate,OU=rhcs10-ECC-SubCA,O=Example-rhcs10-ECC-RootCA
  Subject: CN=user_name
----------------------------
Number of entries returned 1
----------------------------