25.2. IdM の内部の証明書

ファイルシステムの場所

LDAP の場所

cn=REALM.NAME IPA CA,cn=certificates,cn=ipa,cn=etc,dc=realm,dc=name and ou=authorities,ou=ca,o=ipaca

Issuer

自己署名または外部 CA により署名されている

Subject

O = REALM.NAME, CN = Certificate Authority

これはデフォルト値ですが、IdM サーバーのインストール時にカスタマイズできることに注意してください。

関連情報

CA:true 重大な制約が必要で、NSS データベースに CT,C,C 信頼フラグが必要です。

ファイルシステムの場所

/etc/pki/pki-tomcat/alias nssdb および /etc/ipa/ca.crt のチェーンの一部として(LDAP から入力)

LDAP の場所

cn=SUBJECT,cn=certificates,cn=ipa,cn=etc,dc=realm,dc=name and ou=authorities,ou=ca,o=ipaca

Issuer

外部 CA 署名

Subject

外部 CA サブジェクト

関連情報

チェーン内のすべての証明書は DER 形式でなければならず、LDAP にインポートする必要があります。NSS データベースに CT,C,C 信頼フラグが必要です。

ファイルシステムの場所

nickname=subsystemCert cert-pki-ca in /etc/pki/pki-tomcat/alias nssdb

LDAP の場所

uid=pkidbuser,ou=people,o=ipaca

Issuer

IPA CA

Subject

CN=CA Subsystem,O=REALM.NAME

関連情報

LDAP のシリアルとブロブの不一致に注意してください。たとえば、2;SERIAL;CN=Certificate Authority,O=REALM.NAME;CN=CA Subsystem,O=REALM.NAME および userCertificate は、ファイルシステム上のものと一致する必要があります。

ファイルシステムの場所

nickname=auditSigningCert cert-pki-ca in /etc/pki/pki-tomcat/alias nssdb

LDAP の場所

専用の LDAP の場所はありません。ou=certificateRepository,ou=ca,o=ipaca で共有されます。

Issuer

IPA CA

Subject

CN=CA Audit,O=REALM.NAME

関連情報

NSS データベースに ,,P 信頼フラグが必要です。

ファイルシステムの場所

/etc/pki/pki-tomcat/alias nssdb の nickname=ocspSigningCert cert-pki-ca

LDAP の場所

専用の LDAP の場所はありません。ou=certificateRepository,ou=ca,o=ipaca で共有されます。

Issuer

IPA CA

Subject

CN=OCSP Subsystem,O=REALM.NAME

関連情報

ファイルシステムの場所

LDAP の場所

Issuer

IPA CA

Subject

CN=$HOSTNAME,O=REALM.NAME

関連情報

ファイルシステムの場所

/var/lib/ipa/ra-agent.pem (RHEL 7.4 より前は /etc/httpd/alias)

LDAP の場所

uid=ipara,ou=people,o=ipaca

Issuer

IPA CA

Subject

CN=IPA RA,O=REALM.NAME

関連情報

LDAP のシリアルとブロブの不一致に注意してください。たとえば、2;SERIAL;CN=Certificate Authority,O=REALM.NAME;CN=IPA RA,O=REALM.NAME および userCertificate は、ファイルシステム上のものと一致する必要があります。

ファイルシステムの場所

/var/lib/ipa/certs/httpd.crt (RHEL 8 より前は /etc/httpd/alias)

LDAP の場所

Issuer

CA なしのインストールでの IPA CA または外部 CA

Subject

CN=$HOSTNAME,O=REALM.NAME

関連情報

プリンシパル名を otherName = 1.3.6.1.4.1.311.20.2.3;UTF8:HTTP/$HOSTNAME@REALM, DNS name = $HOSTNAME とする Certificate Subject Alt Name エクステンションが含まれている必要があります。

ファイルシステムの場所

/etc/dirsrv/slapd-DOMAIN NSS データベースの nickname=Server-Cert (dse.ldif の nsSSLPersonalitySSL に一致する他のニックネームの可能性もあります)

LDAP の場所

Issuer

CA なしのインストールでの IPA CA または外部 CA

Subject

CN=$HOSTNAME,O=REALM.NAME

関連情報

プリンシパル名を otherName = 1.3.6.1.4.1.311.20.2.3;UTF8:ldap/$HOSTNAME@REALM, DNS name = $HOSTNAME として、Certificate Subject Alt Name エクステンションを含める必要があります

ファイルシステムの場所

/var/kerberos/krb5kdc/kdc.crt

LDAP の場所

Issuer

CA なしのインストールでの IPA CA または外部 CA

Subject

CN=$HOSTNAME,O=REALM.NAME

関連情報

プリンシパル名が otherName = 1.3.6.1.4.1.311.20.2.3;UTF8:krbtgt/REALM@REALM, DNS name = $HOSTNAME の拡張キー使用 id-pkinit-KPkdc (1.3.6.1.5.2.3.5) が必要です。