7.2. pkispawn ユーティリティーを使用して RHCS をインストールする

1. [DEFAULT] - サブシステムに依存しない設定
2. [Tomcat]
3. [CA]、[KRA]、[OCSP]、[TKS]、[TPS] - サブシステム固有のセクション

1. /usr/share/pki/server/etc/default.cfg ファイルからデフォルト値を読み取ります。詳細は、pki_default.cfg(5) の man ページを参照してください。

   重要

   /usr/share/pki/server/etc/default.cfg ファイルは編集しないでください。代わりに、デフォルトをオーバーライドする設定ファイルを作成するように指示されます。設定ファイルの使用に関する詳細は、次のセクションでサブシステムの各タイプに対応する pkispawn 設定ファイルの例を参照してください。

2. 上記の管理者が提供する設定ファイルを読み取り、デフォルト値をオーバーライドします。
3. 要求されたサブシステムのインストールを実行します。
4. 設定に基づいて設定を行う Java サーブレットに設定を渡します。

1. 一意のインスタンス名を設定します。

   # pki_instance_name=instance_name

   Copy to Clipboard

2. ホスト名を設定します。

   # pki_hostname=server.example.com

   Copy to Clipboard
   注記

   Certificate System は、これらのパラメーターとインスタンス名に基づいて一意の証明書ニックネームを作成します。証明書のニックネームの一意性は、複数の PKI インスタンスで共有される HSM トークンの機能を維持する上で非常に重要です。

3. HTTP および HTTPS プロトコルのポート番号を設定します。

   pki_https_port=port_number
   pki_http_port=port_number

   Copy to Clipboard
   重要

   同じホスト上で複数の Certificate System インスタンスを実行するには、ホスト上の他のサービスで使用されていないポートを pki_https_port および pki_http_port パラメーターに設定する必要があります。デフォルトでは、Certificate System は HTTP にポート 8080、HTTPS にポート 8443 を使用します。

4. HSM 固有のパラメーターを設定します。

   pki_hsm_enable=True
   pki_hsm_libfile=HSM_PKCS11_library_path
   pki_hsm_modulename=HSM_module_name
   pki_token_name=HSM_token_name
   pki_token_password=HSM_token_password
   
   pki_audit_signing_token=HSM_token_name
   pki_subsystem_token=HSM_token_name
   pki_sslserver_token=HSM_token_name

   Copy to Clipboard

   詳細は、「HSM を使用した Certificate System のインストールの準備」 を参照してください。

5. RSA Certificate System インスタンスをビルドする場合は、次の設定を使用します。

   pki_admin_key_algorithm=SHA256withRSA
   pki_admin_key_size=4096
   pki_admin_key_type=rsa
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_key_size=4096
   pki_sslserver_key_type=rsa
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_key_size=4096
   pki_subsystem_key_type=rsa
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=4096
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA

   Copy to Clipboard

   key_algorithm パラメーターに選択できる項目は次のとおりです。

   SHA256withRSA
   SHA384withRSA
   SHA512withRSA

   Copy to Clipboard
   注記

   これらのアルゴリズムパラメーターは、CA の CS.cfg ファイルの ca.profiles.defaultSigningAlgsAllowed パラメーターで指定された値に設定できます。詳細は、管理ガイド (Common Criteria Edition) の付録 B.2.10 署名アルゴリズム制約 を参照してください。署名アルゴリズムは key_type と一致する必要があります。

6. 証明書の作成時に RSA の代わりに楕円曲線暗号 (ECC) を使用するには、次のように設定します。

   pki_admin_key_algorithm=SHA256withEC
   pki_admin_key_size=nistp256
   pki_admin_key_type=ecc
   pki_sslserver_key_algorithm=SHA256withEC
   pki_sslserver_key_size=nistp256
   pki_sslserver_key_type=ecc
   pki_subsystem_key_algorithm=SHA256withEC
   pki_subsystem_key_size=nistp256
   pki_subsystem_key_type=ecc
   pki_audit_signing_key_algorithm=SHA256withEC
   pki_audit_signing_key_size=nistp256
   pki_audit_signing_key_type=ecc
   pki_audit_signing_signing_algorithm=SHA256withEC

   Copy to Clipboard

   key_algorithm パラメーターに選択できる項目は次のとおりです。

   SHA256withEC
   SHA384withEC
   SHA512withEC

   Copy to Clipboard
   注記

   これらのアルゴリズムパラメーターは、CA の CS.cfg ファイルの ca.profiles.defaultSigningAlgsAllowed パラメーターで指定された値に設定できます。詳細は、管理ガイド (Common Criteria Edition) の付録 B.2.10 署名アルゴリズム制約 を参照してください。署名アルゴリズムは key_type と一致する必要があります。

   ECC の場合、key_size に選択できる値は次のとおりです。

   nistp256
   nistp384
   nistp521

   Copy to Clipboard

   ECC の場合、key_type には ecc を選択できます。

7. ブートストラップ管理者ユーザーのクライアントディレクトリーを設定します。

   pki_client_dir=bootstrap_admin_directory

   Copy to Clipboard

   デフォルトでは、パスは ~/.dogtag/instance_name/ に設定されています。

   重要

   pki_admin_* および pki_client_* パラメーターは、インストールプロセスによって自動的に作成されるブートストラップユーザーに属します。デフォルトのロール (権限) とブートストラップユーザーの詳細は、「ユーザー、認可、アクセス制御」 を参照してください。このセクションで説明するパラメーターは、pki_default.cfg(5) の man ページを参照してください。

8. ブートストラップ管理者ユーザーのさまざまなパスワードを設定します。

   pki_admin_password=password
   pki_client_database_password=password
   pki_client_pkcs12_password=password

   Copy to Clipboard

9. 同じホストで実行されている Directory Server への LDAPS 接続のパラメーターを設定します。

   pki_ds_database=back-end database name
   pki_ds_hostname=hostname
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=path_to_CA_or_self-signed_certificate
   pki_ds_password=password

   Copy to Clipboard

10. Directory Server で自己署名付き証明書を使用する場合は、以下のコマンドを使用して Directory Server の Network Security Services (NSS) データベースからエクスポートします。

    # certutil -L -d /etc/dirsrv/slapd-instance_name/ \ -n "server-cert" -a -o /root/ds.crt

    Copy to Clipboard

11. セキュリティードメインとして機能する CA に対して、適切なパラメーターを設定します。

    # for a CA that acts as a security domain
    pki_security_domain_hostname=
    pki_security_domain_name=example.com Security Domain
    pki_security_domain_user=caadmin
    pki_security_domain_password=SD password

    Copy to Clipboard

[Tomcat] セクション:

1. Tomcat JServ Protocol (AJP) ポートを設定します。

   pki_ajp_port=Tomcat_AJP_port

   Copy to Clipboard

2. Tomcat サーバーポートを設定します。

   pki_tomcat_server_port=Tomcat_server_port

   Copy to Clipboard