2.14. 相互 TLS 対応の NFS クライアントの設定

手順

1. 秘密鍵および証明書署名要求 (CSR) を作成します。

   # openssl req -new -newkey rsa:4096 -noenc \
   -keyout /etc/pki/tls/private/client.example.com.key \
   -out /etc/pki/tls/private/client.example.com.csr \
   -subj "/C=US/ST=State/L=City/O=Organization/CN=client.example.com" \
   -addext "subjectAltName=DNS:client.example.com,IP:192.0.2.2"

   Copy to Clipboard
   重要

   コモンネーム (CN) と DNS はホスト名と一致する必要があります。IP はホストの IP と一致する必要があります。

2. /etc/pki/tls/private/client.example.com.csr ファイルを認証局 (CA) に送信し、クライアント証明書を要求します。受信した CA 証明書とクライアント証明書をホストに保存します。

3. CA 証明書をシステムのトラストストアにインポートします。

   # cp ca.crt /etc/pki/ca-trust/source/anchors
   # update-ca-trust

   Copy to Clipboard

4. クライアント証明書を /etc/pki/tls/certs/ ディレクトリーに移動します。

   # mv client.example.com.crt /etc/pki/tls/certs/

   Copy to Clipboard

5. 秘密鍵と証明書の SELinux コンテキストが正しいことを確認します。

   # restorecon -Rv /etc/pki/tls/certs/

   Copy to Clipboard

6. クライアント証明書と秘密鍵を、/etc/tlshd.conf ファイルの [authenticate.client] セクションに追加します。

   x509.certificate= /etc/pki/tls/certs/client.example.com.crt
   x509.private_key= /etc/pki/tls/private/client.example.com.key

   Copy to Clipboard

   x509.truststore パラメーターは未設定のままにします。

7. tlshd サービスを有効にして起動します。

   # systemctl enable --now tlshd.service

   Copy to Clipboard

8. TLS 暗号化を使用して NFS 共有をマウントします。

   # mount -o xprtsec=mtls server.example.com:/nfs/projects/ /mnt/

   Copy to Clipboard