79.4. certmonger を使用したサービスの IdM 証明書の取得

手順

1. HTTP サービスが稼働している IdM クライアント my_company.idm.example.com で、以下を指定する HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM プリンシパルに対応するサービスの証明書を要求します。

   • 証明書は、ローカルの /etc/pki/tls/certs/httpd.pem ファイルに保存されます。
   • 秘密鍵は、ローカルの /etc/pki/tls/private/httpd.key ファイルに保存されます。
   • サブ CA webserver-ca は、発行元の認証局になります。

   • SubjectAltName の extensionRequest が、my_company.idm.example.com の DNS 名の署名要求に追加されます。

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     上記のコマンドでは、以下のようになります。

     • ipa-getcert request コマンドは、証明書が IdM CA から取得することを示しています。ipa-getcert request コマンドは、getcert request -c IPA のショートカットです。
     • -g オプションは、生成先のキーのサイズ (設定されていない場合) を指定します。
     • -D オプションは、要求に追加する DNS 値 SubjectAltName を指定します。
     • -X オプションは、証明書の発行者が、ipa ではなく webserver-ca でなければならないことを指定します。
     • -C オプションは、証明書の取得後に httpd サービスを再起動するように certmonger に指示します。
     • 特定のプロファイルで証明書を発行するように指定する場合は、-T オプションを使用します。
     注記

     RHEL 8 は、RHEL 7 で使用されるものとは異なる SSL モジュール (Apache) を使用します。SSL モジュールは、NSS ではなく OpenSSL に依存しています。このため、RHEL 8 では、NSS データベースを使用して HTTPS 証明書と秘密鍵を保存することができません。

2. 必要に応じて、リクエストの状況を確認するには、次のコマンドを実行します。

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   この出力は、要求が MONITORING 状況であることを表しています。これは、証明書が取得されていることを示しています。キーペアと証明書の場所は、要求された場所です。