9.4. TLS の有効化

# ls -1 /etc/dirsrv/slapd-instance_name/*.db

# ldapmodify -D "cn=Directory Manager" -W -p 389 -h server.example.com -x
dn: cn=config
changetype: modify
replace: nsslapd-securePort
nsslapd-securePort: 636
-
replace: nsslapd-security
nsslapd-security: on

# certutil -L -d /etc/dirsrv/slapd-instance_name/
Certificate Nickname                Trust Attributes
                                    SSL,S/MIME,JAR/XPI

Example CA                          CT,,
server-cert                         u,u,u

# ldapadd -D "cn=Directory Manager" -W -p 389 -h server.example.com -x
dn: cn=RSA,cn=encryption,cn=config
cn: RSA
objectClass: top
objectClass: nsEncryptionModule
nsSSLToken: internal (software)
nsSSLPersonalitySSL: server-cert
nsSSLActivation: on

# ldapmodify -D "cn=Directory Manager" -W -p 389 -h server.example.com -x
dn: cn=RSA,cn=encryption,cn=config
changetype: modify
replace: nsSSLToken
nsSSLToken: internal (software)
-
replace: nsSSLPersonalitySSL
nsSSLPersonalitySSL: server-cert
-
replace: nsSSLActivation
nsSSLActivation: on

# systemctl restart dirsrv@instance_name

1. このサーバーの Enable SSL を選択します。
2. Use this cipher family: RSA。 一覧からセキュリティーデバイスおよび証明書を選択します。
   
3. 必要に応じて、Settings ボタンをクリックして、Directory Server がサポートする暗号化の一覧を更新します。詳細は、「コンソールを使用した Directory Server が使用する暗号の表示および設定」 を参照してください。
4. 必要に応じて、ユーザーが証明書を使用して認証できるようにします。詳細は「証明書ベースのクライアント認証の使用」を参照してください。
   
   重要
   TLS が Directory Server でのみ有効で、Directory Server コンソールではない場合は、Require client authentication を選択しないでください。
5. アウトバウンド SSL 接続オプションに対して証明書の名前に対して Check host name を選択し、認証用にクライアントが提示する証明書のサブジェクト名の cn 属性と一致することを確認します。
   重要
   Red Hat は、中間者攻撃(MITM)に対して発信 TLS 接続を保護するために、レプリケーション環境でこのオプションを有効にすることを推奨します。
6. Use SSL in Console オプションが選択されていないことを確認します。
   警告
   この手順を終了する前に、Use SSL in Console オプションを有効にしないでください。設定を保存すると直ちに反映されるためです。これにより、コンソールがサーバーへの接続に失敗します。

   このオプションを誤って有効にし、コンソールがサーバーへの接続に失敗した場合には、コマンドラインを使用してオプションを無効にします。

   # ldapmodify -D "cn=Directory Manager" -W -p 389 -h server.example.com -x
   dn: cn=slapd-instance_name,cn=Red Hat Directory Server,
    cn=Server Group,cn=server.example.com,ou=example.com,o=NetscapeRoot
   changetype: modify
   replace: nsServerSecurity
   nsServerSecurity: off

7. Save をクリックします。

# systemctl restart dirsrv@instance_name

# chown dirsrv:dirsrv /etc/dirsrv/slapd-instance_name/pin.txt
# chmod 400 /etc/dirsrv/slapd-instance_name/pin.txt