第14章 IdM レプリカでまだ有効期限が切れていない場合の Web サーバーと LDAP サーバーの証明書の置き換え

手順

1. 新しい httpd/LDAP 証明書が、以前とは異なる CA によって署名されることになる場合は、新しい外部 CA 証明書と外部 CA の CA 証明書チェーン全体を、追加の CA 証明書として IdM にインストールします。証明書が格納されたファイルは、PEM および DER 証明書、PKCS#7 証明書チェーン、PKCS#8 および生の秘密鍵、および PKCS#12 形式で受け入れられます。

   1. CA 証明書をインストールします。

      # ipa-cacert-manage install /path/to/ca.crt

      重要

      サブジェクトは同じだが秘密鍵が異なる CA 証明書をインストールしようとすると、サブジェクト公開鍵情報の不一致という メッセージが表示されて失敗します。これは、IdM が重複するサブジェクトを禁止しているためです。

   2. 残りの証明書チェーンを追加の CA 証明書として IdM にインストールします。ipa-cacert-manage install コマンドは、ファイル内の最初の証明書しか読み取りません。そのため、完全な CA チェーンをインストールするには、証明書を 1 つずつインストールする必要があります。たとえば、チェーンに 2 つの証明書が含まれている場合は、各証明書を個別のファイルに保存し、ファイルごとに ipa-cacert-manage install を個別に実行します。

      # ipa-cacert-manage install /path/to/intermediate-ca.crt

      # ipa-cacert-manage install /path/to/root-ca.crt

   3. 証明書チェーンからの証明書を使用して、ローカルの IdM 証明書データベースを更新します。

      # ipa-certupdate

2. OpenSSL ユーティリティーを使用して、秘密鍵と証明書署名要求 (CSR) を生成します。

   $ openssl req -new -newkey rsa:4096 -days 365 -nodes -keyout new.key -out new.csr -addext "subjectAltName = DNS:server.idm.example.com" -subj '/CN=server.idm.example.com,O=IDM.EXAMPLE.COM'

   CSR を外部 CA に送信します。このプロセスは、外部 CA として使用するサービスにより異なります。CA が証明書に署名したら、証明書を IdM サーバーにインポートします。

3. IdM サーバーで、Apache Web サーバーの古い秘密鍵および証明書を、新しい鍵と、新しく署名した証明書に置き換えます。

   # ipa-server-certinstall -w --pin=password new.key new.crt

   上記のコマンドでは、以下のようになります。

   • -w オプションは、Web サーバーに証明書をインストールすることを指定します。
   • --pin オプションは、秘密鍵を保護するパスワードを指定します。
4. プロンプトが表示されたら、Directory Manager パスワードを入力します。

5. LDAP サーバーの古い秘密鍵および証明書を、新しい鍵と、新しく署名した証明書に置き換えます。

   # ipa-server-certinstall -d --pin=password new.key new.cert

   上記のコマンドでは、以下のようになります。

   • -d オプションは、LDAP サーバーに証明書をインストールすることを指定します。
   • --pin オプションは、秘密鍵を保護するパスワードを指定します。
6. プロンプトが表示されたら、Directory Manager パスワードを入力します。

7. httpd サービスを再起動します。

   # systemctl restart httpd.service

8. Directory サービスを再起動します。

   # systemctl restart dirsrv@IDM.EXAMPLE.COM.service

9. サーバー上で subCA が削除または置き換えられている場合は、クライアントを更新します。

   # ipa-certupdate