8.4. シングルサインオンを使用する SSL 証明書の要求

手順

1. IdM サーバー上で、AD 側のエイリアス用のホストエントリーを作成します。名前が A/AAAA レコードではなく CNAME に解決されるため、--force を使用します。

   [root@idm-server.idm.example.com ~]# ipa host-add idm-client.ad.example.com --force

2. 物理的な IdM ホストが IdM データベース内の新しいエイリアスエントリーを管理できるように、ホストに管理権限を付与します。

   [root@idm-server.idm.example.com ~]# ipa host-add-managedby idm-client.ad.example.com \
         --hosts=idm-client.idm.example.com

3. IdM クライアント上で、ipa-getcert を使用して証明書を要求します。-D フラグを使用して、FQDN と CNAME の両方を含めます。

   [root@idm-client.idm.example.com ~]# ipa-getcert request -r \
         -f /etc/httpd/alias/server.crt \
         -k /etc/httpd/alias/server.key \
         -N CN=`hostname --fqdn` \
         -D `hostname --fqdn` \
         -D idm-client.ad.example.com \
         -K host/idm-client.idm.example.com@IDM.EXAMPLE.COM \
         -U id-kp-serverAuth

   SSL/TLS では、クライアントはサブジェクト代替名 (SAN) フィールドを確認します。-D を 2 回使用することで、SAN フィールドに両方の名前が入力されます。これにより、ユーザーがどちらの URL にアクセスしても、証明書が有効なままとなります。