第24章 ユーザー、ホスト、およびサービスの証明書の管理

証明書データベースの一時ディレクトリーを作成します。

# mkdir ~/certdb/

以下のように、新しい一時証明書データベースを作成します。

# certutil -N -d ~/certdb/

証明書署名要求 (CSR) を作成し、その出力をファイルにリダイレクトします。たとえば、4096 ビット証明書の CSR を作成し、発行先を CN=server.example.com,O=EXAMPLE.COM に設定するには、以下を実行します。

# certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

証明書要求を CA に送信します。詳細は、「IdM CA への証明書要求の送信」を参照してください。

Kerberos プリンシパル test/server.example.com に対して、1 つ以上のエイリアス (例: test1/server.example.com、test2/server.example.com) を作成します。詳細は、「Kerberos プリンシパルエイリアス」 を参照してください。

CSR で dnsName (server.example.com) と otherName (test2/server.example.com) の subjectAltName を追加します。これには、UPN otherName および subjectAltName を指定する以下の行が含まれるように、openssl.conf ファイルを設定します。

otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
DNS.1 = server.example.com

openssl を使用して証明書要求を作成します。

openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

証明書要求を CA に送信します。詳細は、「IdM CA への証明書要求の送信」を参照してください。