第14章 IdM レプリカでまだ有効期限が切れていない場合の Web サーバーと LDAP サーバーの証明書の置き換え

手順

1. ca_certificate_chain_file.crt に含まれる証明書を、追加の CA 証明書として IdM にインストールします。

   # ipa-cacert-manage install

2. ca_certicate_chain_file.crt からの証明書を使用して、ローカルの IdM 証明書データベースを更新します。

   # ipa-certupdate

3. OpenSSL ユーティリティーを使用して、秘密鍵と証明書署名要求 (CSR) を生成します。

   $ openssl req -new -newkey rsa:4096 -days 365 -nodes -keyout new.key -out new.csr -addext "subjectAltName = DNS:server.idm.example.com" -subj '/CN=server.idm.example.com,O=IDM.EXAMPLE.COM'

   CSR を外部 CA に送信します。このプロセスは、外部 CA として使用するサービスにより異なります。CA が証明書に署名したら、証明書を IdM サーバーにインポートします。

4. IdM サーバーで、Apache Web サーバーの古い秘密鍵および証明書を、新しい鍵と、新しく署名した証明書に置き換えます。

   # ipa-server-certinstall -w --pin=password new.key new.crt

   上記のコマンドでは、以下のようになります。

   • -w オプションは、Web サーバーに証明書をインストールすることを指定します。
   • --pin オプションは、秘密鍵を保護するパスワードを指定します。
5. プロンプトが表示されたら、Directory Manager パスワードを入力します。

6. LDAP サーバーの古い秘密鍵および証明書を、新しい鍵と、新しく署名した証明書に置き換えます。

   # ipa-server-certinstall -d --pin=password new.key new.cert

   上記のコマンドでは、以下のようになります。

   • -d オプションは、LDAP サーバーに証明書をインストールすることを指定します。
   • --pin オプションは、秘密鍵を保護するパスワードを指定します。
7. プロンプトが表示されたら、Directory Manager パスワードを入力します。

8. httpd サービスを再起動します。

   # systemctl restart httpd.service

9. Directory サービスを再起動します。

   # systemctl restart dirsrv@IDM.EXAMPLE.COM.service

10. サーバー上でサブ CA が削除または置き換えられている場合は、クライアントを更新します。

    # ipa-certupdate