22.3. OpenPegasus 用に SSL 証明書を設定する

管理システムから、クライアントシステムの /etc/pki/ca-trust/source/anchors/ ディレクトリーに、/etc/Pegasus/server.pem 証明書をコピーします。これを行うには、root で次のコマンドを実行します。

scp root@hostname:/etc/Pegasus/server.pem /etc/pki/ca-trust/source/anchors/pegasus-hostname.pem

hostname を管理システムのホスト名に置き換えます。このコマンドは、sshd サービスが管理システム上で実行中に、root ユーザーが SSH プロトコルを使用してシステムにログインできるような設定でのみ機能することに注意してください。sshd サービスをインストールして設定する方法、そして scp コマンドを使用して SSH プロトコルでファイルを送信する方法は、12章OpenSSH を参照してください。

チェックサムを元のファイルのものと比較して、クライアントシステムの証明書の整合性を検証します。管理システムの /etc/Pegasus/server.pem ファイルのチェックサムを計算するには、そのシステムで root として以下のコマンドを実行します。

sha1sum /etc/Pegasus/server.pem

クライアントシステムの /etc/pki/ca-trust/source/anchors/pegasus-hostname.pem ファイルのチェックサムを計算するには、このシステムで以下のコマンドを実行します。

sha1sum /etc/pki/ca-trust/source/anchors/pegasus-hostname.pem

hostname を管理システムのホスト名に置き換えます。

クライアントシステムでトラストストアを更新するには、root で以下のコマンドを実行します。

update-ca-trust extract

root で以下のコマンドを入力して、Identity Management の署名した証明書をトラストストアにコピーします。

cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt

トラストストアを更新するには、root で以下のコマンドを実行します。

update-ca-trust extract

権限のあるドメインユーザーとして以下のコマンドを実行して、Pegasus をサービスとして Identity Management ドメインに登録します。

ipa service-add CIMOM/hostname

hostname を管理システムのホスト名に置き換えます。

コマンドは、Identity Management ドメイン内のシステムで ipa-admintools パッケージがインストールされているものから実行できます。Identity Management にサービスエントリーが作成され、これを署名済み SSL 証明書の生成に使用できるようになります。

root で以下のコマンドを実行して、署名済み証明書を取得します。

ipa-getcert request -f /etc/Pegasus/server.pem -k /etc/Pegasus/file.pem -N CN=hostname -K CIMOM/hostname

hostname を管理システムのホスト名に置き換えます。

これで証明書と鍵ファイルが正常な場所に保存されます。ipa-client-install スクリプトが管理システムにインストールする certmonger デーモンにより、証明書が必要に応じて最新に保たれ、更新されます。

詳細情報は、Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシーガイド を参照してください。

root で以下のコマンドを入力して、Identity Management の署名した証明書をトラストストアにコピーします。

cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt

トラストストアを更新するには、root で以下のコマンドを実行します。

update-ca-trust extract

トラストストアを更新するには、root で以下のコマンドを実行します。

update-ca-trust extract

新たな SSL 設定ファイル /etc/Pegasus/ssl.cnf を作成し、証明書に関する情報を保管します。このファイルのコンテンツは、以下の例のようにする必要があります。

[ req ]
distinguished_name   = req_distinguished_name
prompt         = no
[ req_distinguished_name ]
C           = US
ST           = Massachusetts
L           = Westford
O           = Fedora
OU           = Fedora OpenLMI
CN           = hostname

hostname を、管理システムの完全修飾ドメイン名に置き換えます。

root で以下のコマンドを実行して、管理システムで秘密鍵を生成します。

openssl genrsa -out /etc/Pegasus/file.pem 1024

root で以下のコマンドを実行し、証明書の署名要求 (CSR) を生成します。

openssl req -config /etc/Pegasus/ssl.cnf -new -key /etc/Pegasus/file.pem -out /etc/Pegasus/server.csr

root で以下のコマンドを実行し、信頼できる認証局の証明書を Pegasus トラストストアにコピーして、Pegasus が自らの証明書を信頼できるようにします。

cp /path/to/ca.crt /etc/Pegasus/client.pem