2.12. TLS 対応の NFS サーバーの設定

手順

1. 秘密鍵および証明書署名要求 (CSR) を作成します。

   # openssl req -new -newkey rsa:4096 -noenc \
   -keyout /etc/pki/tls/private/server.example.com.key \
   -out /etc/pki/tls/private/server.example.com.csr \
   -subj "/C=US/ST=State/L=City/O=Organization/CN=server.example.com" \
   -addext "subjectAltName=DNS:server.example.com,IP:192.0.2.1"

   Copy to Clipboard
   重要

   コモンネーム (CN) と DNS はホスト名と一致する必要があります。IP はホストの IP と一致する必要があります。

2. /etc/pki/tls/private/server.example.com.csr ファイルを CA に送信し、サーバー証明書を要求します。受信した CA 証明書とサーバー証明書をホスト上に保存します。

3. CA 証明書をシステムのトラストストアにインポートします。

   # cp ca.crt /etc/pki/ca-trust/source/anchors
   # update-ca-trust

   Copy to Clipboard

4. サーバー証明書を /etc/pki/tls/certs/ ディレクトリーに移動します。

   # mv server.example.com.crt /etc/pki/tls/certs/

   Copy to Clipboard

5. 秘密鍵と証明書の SELinux コンテキストが正しいことを確認します。

   # restorecon -Rv /etc/pki/tls/certs/

   Copy to Clipboard

6. サーバー証明書と秘密鍵を、/etc/tlshd.conf ファイルの [authenticate.server] セクションに追加します。

   x509.certificate= /etc/pki/tls/certs/server.example.com.crt
   x509.private_key= /etc/pki/tls/private/server.example.com.key

   Copy to Clipboard

   x509.truststore パラメーターは未設定のままにします。

7. tlshd サービスを有効にして起動します。

   # systemctl enable --now tlshd.service

   Copy to Clipboard