第24章 IdM Healthcheck を使用した証明書の検証

Identity Management (IdM)の Healthcheck ツールを使用し、certmonger ユーティリティーが維持する IdM 証明書の問題を特定する方法について詳しく説明します。

24.1. IdM 証明書の Healthcheck テスト

Healthcheck ツールには、Identity Management (IdM)の certmonger が維持する証明書の状況を確認するさまざまなテストが含まれています。certmonger の詳細は、certmonger を使用したサービスの IdM 証明書の取得を参照してください。

この一連のテストでは、証明書の有効期限、検証、信頼、およびその他の設定を確認します。Healthcheck は、根本的な問題に対して複数のエラーを報告することができます。

これらの証明書テストは、ipa-healthcheck --list-sources コマンドの出力の ipahealthcheck.ipa.certs ソースで確認できます。

IPACertmongerExpirationCheck

このテストでは、certmonger の有効期限を確認します。

証明書の有効期限が切れている場合は、エラーが報告されます。

証明書の有効期限が間もなく、警告が表示されます。デフォルトでは、テストが 28 日前または証明書の有効期限より前に実行されると、警告が表示されます。

/etc/ipahealthcheck/ipahealthcheck.conf ファイルで日数を設定できます。ファイルを開いた後、デフォルト セクションにある cert_expiration_days オプションを変更します。

注記

certmonger は証明書の有効期限に関する独自のビューを読み込み、維持します。このチェックでは、ディスク上の証明書は検証されません。

IPACertfileExpirationCheck

このテストでは、証明書ファイルまたは NSS データベースに正しいアクセス権限が設定されているかどうかを確認します。このテストでは、有効期限も確認します。そのため、エラーまたは警告出力の msg 属性をよく読んでください。このメッセージは問題を特定するものです。

注記

このテストでは、ディスク上の証明書が確認されます。証明書が見つからない、または読み取りができない場合、Healthcheck はエラーを返します。

IPACertNSSTrust

このテストでは、NSS データベースに保存されている証明書の信頼を分析します。NSS データベースで想定される追跡証明書の場合、Healthcheck は信頼と想定される値を比較し、一致しない場合にエラーが発生します。

IPANSSChainValidation

このテストでは、NSS 証明書の証明書チェーンを検証します。このテストでは、certutil -V -u V -e -d [dbdir] -n [nickname] コマンドを実行します。

IPAOpenSSLChainValidation

このテストでは、OpenSSL 証明書の証明書チェーンを検証します。具体的には、Healthcheck は以下の OpenSSL コマンドを実行します。

Copy to Clipboard Toggle word wrap

openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]

openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]

IPARAAgent

このテストでは、ディスク上の証明書を、uid=ipara,ou=People,o=ipaca の LDAP の同等のレコードと比較します。

IPACertRevocation

このテストでは、certmonger によって維持されている証明書が取り消されていないことを確認します。

IPACertmongerCA

このテストでは、certmonger の認証局(CA)の設定を検証します。IdM は、CA を使用しない証明書を発行できません。

certmonger は、CA ヘルパーのセットを維持します。IPA という名前の CA は、IdM 経由でホストやサービスの証明書を発行し、ホストまたはユーザープリンシパルとして認証します。

また、CA サブシステム証明書を更新する dogtag-ipa-ca-renew-agent および dogtag-ipa-ca-renew-agent-reuse があります。

トップに戻る