7.6. SubCA の作成と設定 (パート I)

手順

1. 選択した場所 (例: /root/pki_rsa) に SubCA インストールファイルを作成します。

   Copy to Clipboard Toggle word wrap

   # cd /root/pki_rsa

   Copy to Clipboard Toggle word wrap

   # vi subca_inst.cfg

   注記

   明示的に指定されていない限り、システム証明書のニックネームは、pki_instance_name に指定された値を使用して自動的に名前が付けられます。共有 HSM での証明書のニックネームの競合を回避するには、インスタンスを作成するたびに一意のインスタンス名を使用します。
   

   以下のインストールファイルでは、例となる値を指定しています。HSM パスワードの変更に加えて、たとえばポート、ディレクトリー、ニックネーム、ドメインなどの値を適宜変更します。

   Copy to Clipboard Toggle word wrap

   [DEFAULT]
   pki_instance_name=rhcs10-RSA-SubCA
   pki_https_port=31443
   pki_http_port=31080
   
   ### Crypto Token
   pki_hsm_enable=True
   pki_hsm_libfile=/opt/nfast/toolkits/pkcs11/libcknfast.so
   pki_hsm_modulename=nfast
   pki_token_name=NHSM-CONN-XC
   pki_token_password=<YourHSMpassword>
   
   pki_audit_signing_token=NHSM-CONN-XC
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=2048
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA
   
   pki_subsystem_token=NHSM-CONN-XC
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_signing_algorithm=SHA256withRSA
   pki_subsystem_key_size=2048
   pki_subsystem_key_type=rsa
   
   pki_sslserver_token=NHSM-CONN-XC
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_signing_algorithm=SHA256withRSA
   pki_sslserver_key_size=2048
   pki_sslserver_key_type=rsa
   
   ### CA cert chain concatenated in PEM format
   pki_cert_chain_path=/opt/pki_rsa/ca-chain.pem
   
   ### Bootstrap Admin
   pki_admin_password=SECret.123
   pki_admin_key_type=rsa
   pki_admin_key_size=2048
   pki_admin_key_algorithm=SHA256withRSA
   
   ### Bootstrap Admin client dir
   pki_client_admin_cert_p12=/opt/pki_rsa/rhcs10-RSA-SubCA/ca_admin_cert.p12
   pki_client_database_dir=/opt/pki_rsa/rhcs10-RSA-SubCA/certs_db
   pki_client_database_password=SECret.123
   pki_client_dir=/opt/pki_rsa/rhcs10-RSA-SubCA
   pki_client_pkcs12_password=SECret.123
   
   ### Internal LDAP
   pki_ds_bind_dn=cn=Directory Manager
   pki_ds_ldap_port=7389
   pki_ds_ldaps_port=7636
   pki_ds_password=SECret.123
   pki_ds_remove_data=True
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=/opt/pki_rsa/temp-dirsrv-subca-cert.pem
   pki_ds_secure_connection_ca_nickname=DS temp CA certificate
   
   
   [Tomcat]
   pki_ajp_port=31009
   pki_tomcat_server_port=31005
   
   
   [CA]
   pki_subordinate=True
   pki_issuing_ca_https_port=8443
   pki_issuing_ca_hostname=rhcs10.example.com
   pki_issuing_ca=https://rhcs10.example.com:8443
   
   ### New Security Domain
   pki_security_domain_hostname=rhcs10.example.com
   pki_security_domain_https_port=8443
   pki_security_domain_password=SECret.123
   pki_subordinate_create_new_security_domain=True
   pki_subordinate_security_domain_name=Example-rhcs10-RSA-SubCA
   
   pki_import_admin_cert=False
   pki_admin_nickname=PKI Bootstrap Administrator for RSA-SubCA
   pki_admin_name=caadmin
   pki_admin_uid=caadmin
   pki_admin_email=caadmin@example.com
   
   pki_ca_signing_token=NHSM-CONN-XC
   pki_ca_signing_key_algorithm=SHA256withRSA
   pki_ca_signing_key_size=3072
   pki_ca_signing_key_type=rsa
   pki_ca_signing_nickname=CA Signing Cert - %(pki_instance_name)s
   pki_ca_signing_signing_algorithm=SHA256withRSA
   
   pki_ocsp_signing_token=NHSM-CONN-XC
   pki_ocsp_signing_key_algorithm=SHA256withRSA
   pki_ocsp_signing_key_size=3072
   pki_ocsp_signing_key_type=rsa
   pki_ocsp_signing_signing_algorithm=SHA256withRSA
   
   pki_ds_hostname=rhds11.example.com
   pki_ds_base_dn=dc=RSA-SubCA
   pki_ds_database=CC-RSA-SubCA-LDAP
   pki_share_db=False
   
   ### Enable random serial numbers
   pki_random_serial_numbers_enable=True

2. pkispawn ツールを実行して、RHCS SubCA インスタンスをインストールします。

   Copy to Clipboard Toggle word wrap

   # pkispawn -s CA -f subca_inst.cfg --debug

   これにより、SubCA インスタンスが /var/lib/pki/rhcs10-RSA-SubCA に作成されます。

検証手順

1. インストールされている CA のステータスを表示します。

   Copy to Clipboard Toggle word wrap

   # pki-server status rhcs10-RSA-SubCA

   Unsecure EE、Secure EE、Agent、Admin、および pkiconsole の URL を書き留めます。

2. 次のコマンドを実行して、CA の正常性を確認します。証明書が表示されるはずです。

   Copy to Clipboard Toggle word wrap

   # pki -p 31443 -h rhcs10.example.com ca-cert-find

SubCA インストールのステップ 1

1. RHCS インスタンス (rhcs10.example.com) をホストするマシンで、選択した場所 (例: /root/pki_rsa) に CA インストールファイルを作成します。

   Copy to Clipboard Toggle word wrap

   # cd /root/pki_rsa
   
   # vi subca_inst.cfg

   Copy to Clipboard Toggle word wrap

   [DEFAULT]
   pki_instance_name=rhcs10-RSA-SubCA
   pki_https_port=31443
   pki_http_port=31080
   
   ### Crypto Token
   pki_hsm_enable=True
   pki_hsm_libfile=/opt/nfast/toolkits/pkcs11/libcknfast.so
   pki_hsm_modulename=nfast
   pki_token_name=NHSM-CONN-XC
   pki_token_password=<YourHSMpassword>
   
   pki_audit_signing_token=NHSM-CONN-XC
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=2048
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA
   
   pki_subsystem_token=NHSM-CONN-XC
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_signing_algorithm=SHA256withRSA
   pki_subsystem_key_size=2048
   pki_subsystem_key_type=rsa
   
   pki_sslserver_token=NHSM-CONN-XC
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_signing_algorithm=SHA256withRSA
   pki_sslserver_key_size=2048
   pki_sslserver_key_type=rsa
   
   ### CA cert chain concatenated in PEM format
   pki_cert_chain_path=/opt/pki_rsa/ca-chain.pem
   
   ### Bootstrap Admin
   pki_admin_password=SECret.123
   pki_admin_key_type=rsa
   pki_admin_key_size=2048
   pki_admin_key_algorithm=SHA256withRSA
   
   ### Bootstrap Admin client dir
   pki_client_admin_cert_p12=/opt/pki_rsa/rhcs10-RSA-SubCA/ca_admin_cert.p12
   pki_client_database_dir=/opt/pki_rsa/rhcs10-RSA-SubCA/certs_db
   pki_client_database_password=SECret.123
   pki_client_dir=/opt/pki_rsa/rhcs10-RSA-SubCA
   pki_client_pkcs12_password=SECret.123
   
   ### Internal LDAP
   pki_ds_bind_dn=cn=Directory Manager
   pki_ds_ldap_port=7389
   pki_ds_ldaps_port=7636
   pki_ds_password=SECret.123
   pki_ds_remove_data=True
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=/opt/pki_rsa/temp-dirsrv-subca-cert.pem
   pki_ds_secure_connection_ca_nickname=DS temp CA certificate
   
   
   [Tomcat]
   pki_ajp_port=31009
   pki_tomcat_server_port=31005
   
   
   [CA]
   pki_subordinate=True
   pki_issuing_ca_https_port=8443
   pki_issuing_ca_hostname=rhcs10.example.com
   pki_issuing_ca=https://rhcs10.example.com:8443
   
   ### New Security Domain
   pki_security_domain_hostname=rhcs10.example.com
   pki_security_domain_https_port=8443
   pki_security_domain_password=SECret.123
   pki_subordinate_create_new_security_domain=True
   pki_subordinate_security_domain_name=Example-rhcs10-RSA-SubCA
   
   pki_import_admin_cert=False
   pki_admin_nickname=PKI Bootstrap Administrator for RSA-SubCA
   pki_admin_name=caadmin
   pki_admin_uid=caadmin
   pki_admin_email=caadmin@example.com
   
   pki_ca_signing_token=NHSM-CONN-XC
   pki_ca_signing_key_algorithm=SHA256withRSA
   pki_ca_signing_key_size=3072
   pki_ca_signing_key_type=rsa
   pki_ca_signing_nickname=CA Signing Cert - %(pki_instance_name)s
   pki_ca_signing_signing_algorithm=SHA256withRSA
   
   pki_ocsp_signing_token=NHSM-CONN-XC
   pki_ocsp_signing_key_algorithm=SHA256withRSA
   pki_ocsp_signing_key_size=3072
   pki_ocsp_signing_key_type=rsa
   pki_ocsp_signing_signing_algorithm=SHA256withRSA
   
   pki_ds_hostname=rhds11.example.com
   pki_ds_base_dn=dc=RSA-SubCA
   pki_ds_database=CC-RSA-SubCA-LDAP
   pki_share_db=False
   
   ### Enable random serial numbers
   pki_random_serial_numbers_enable=True

   注記

   明示的に指定されていない限り、システム証明書のニックネームは、pki_instance_name に指定された値を使用して自動的に名前が付けられます。共有 HSM での証明書のニックネームの競合を回避するには、インスタンスを作成するたびに一意のインスタンス名を使用します。ただし、ツーステップインストールでは、両方のファイルの pki_instance_name 値が一致する必要があります。以下の値は例として使用しています。

2. pkispawn ツールを実行して、RHCS CA インスタンスをインストールします。

   Copy to Clipboard Toggle word wrap

   # pkispawn -s CA -f subca_inst.cfg --skip-configuration --debug

検証手順

1. インストールされている CA のステータスを表示します。

   Copy to Clipboard Toggle word wrap

   # pki-server status rhcs10-RSA-SubCA

   Unsecure EE、Secure EE、Agent、Admin、および pkiconsole の URL を書き留めます。

2. 次のコマンドを実行して、CA の正常性を確認します。証明書が表示されるはずです。

   Copy to Clipboard Toggle word wrap

   # pki -p 8443 -h rhcs10.example.com ca-cert-find

1. SubCA 証明書を取得し、.pem ファイルに追加します。

   Copy to Clipboard Toggle word wrap

   # certutil -L -d /var/lib/pki/rhcs10-RSA-SubCA/alias -n "CA Signing Cert - rhcs10-RSA-SubCA" -a > /opt/pki_rsa/subCA.pem

2. CA 証明書チェーンを更新します。以下に例を示します。

   Copy to Clipboard Toggle word wrap

   # cat /opt/pki_rsa/subCA.pem /opt/pki_rsa/rootCA.pem > /opt/pki_rsa/ca-chain.pem

1. ファイルを rhds11.example.com (DS インスタンスをホストするマシン) にコピーします。

   Copy to Clipboard Toggle word wrap

   # scp /opt/pki_rsa/subCA.pem root@rhds11.example.com:/opt/pki_rsa

   Copy to Clipboard Toggle word wrap

   # scp /opt/pki_rsa/ca-chain.pem root@rhds11.example.com:/opt/pki_rsa

2. SubCA の DS インスタンスを再起動します。

   Copy to Clipboard Toggle word wrap

   # dsctl slapd-CC-RSA-SubCA-LDAP restart

1. オプション: これを実行したことがない場合は、RootCA 署名証明書を nssdb にインポートします。

   Copy to Clipboard Toggle word wrap

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db -c SECret.123 client-cert-import "CA Signing Cert - rhcs10-RSA-RootCA" --ca-cert /opt/pki_rsa/rootCA.pem

2. SubCA 署名証明書を nssdb にインポートします。

   Copy to Clipboard Toggle word wrap

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db -c SECret.123 client-cert-import "CA Signing Cert - rhcs10-RSA-SubCA" --ca-cert /opt/pki_rsa/subCA.pem

3. SubCA ブートストラップ証明書を nssdb にインポートします。

   Copy to Clipboard Toggle word wrap

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db -c SECret.123 client-cert-import --pkcs12 /opt/pki_rsa/rhcs10-RSA-SubCA/ca_admin_cert.p12 --pkcs12-password SECret.123
   
   ----------------------------------------
   Imported certificates from PKCS #12 file
   ----------------------------------------

手順

1. 編集する CMC 以外のプロファイルのリストを生成します。

   Copy to Clipboard Toggle word wrap

   # ls /var/lib/pki/rhcs10-RSA-SubCA/ca/profiles/ca | grep -v CMC | grep -v Install | grep -v caInternal | grep -v caECInternal | grep -v caAdminCert | grep -v caECAdminCert | tee /root/pki_rsa/subca-profile-deletelist.txt

2. SubCA インスタンスを停止します。

   Copy to Clipboard Toggle word wrap

   pki-server stop rhcs10-RSA-SubCA

3. リスト内のすべてのプロファイルについて、visible と enable パラメーターを true から false に変更します。たとえば、次のコマンドを使用して、visible=false および enable=false を設定します。

   Copy to Clipboard Toggle word wrap

   # cat /root/pki_rsa/subca-profile-deletelist.txt | while read line; do sed -i 's/^visible=true/visible=false/g' /var/lib/pki/rhcs10-RSA-SubCA/ca/profiles/ca/$line; sed -i 's/^enable=true/enable=false/g' /var/lib/pki/rhcs10-RSA-SubCA/ca/profiles/ca/$line; done

4. さらに、caCMCUserCert プロファイルの visible パラメーターも false に変更します。

   Copy to Clipboard Toggle word wrap

   # sed -i 's/^visible=true/visible=false/' /var/lib/pki/rhcs10-RSA-SubCA/ca/profiles/ca/caCMCUserCert.cfg /var/lib/pki/rhcs10-RSA-SubCA/ca/profiles/ca/caCMCECUserCert.cfg

5. SubCA インスタンスを起動します。

   Copy to Clipboard Toggle word wrap

   pki-server start rhcs10-RSA-SubCA