7.3. HSM에 저장된 키와 인증서를 사용하여 외부 CA를 사용하여 IdM 서버 설치

프로세스

1. 설치 명령을 실행하여 외부 CA를 사용하도록 지정합니다.

   # ipa-server-install --external-ca

   Copy to Clipboard Toggle word wrap

   설치 프로세스 중에 유틸리티는 CSR(인증서 서명 요청) /root/ipa.csr:의 위치를 출력합니다.

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard Toggle word wrap

2. 설치 유틸리티로 생성된 CSR을 사용하여 인증서 프로세스를 완료하려면 다음 단계를 완료합니다.

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

3. ipa-server-install 유틸리티를 다시 실행하여 새로 발급한 CA 인증서 및 CA 체인 파일 및 PKCS #11 라이브러리의 위치, 토큰 이름 및 토큰 암호를 지정합니다.

   # ipa-server-install --external-cert-file=</tmp/servercert20170601.pem> --external-cert-file=</tmp/cacert.pem> -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

   Copy to Clipboard Toggle word wrap
4. 메시지가 표시되면 토큰 암호를 지정합니다.
5. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

검증

1. certutil 을 실행하여 CA 인증서 정보를 표시합니다.

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   Copy to Clipboard Toggle word wrap

   인증서이지만 , 는 토큰에 저장된 개인 키가 없음을 나타냅니다.

2. 키와 인증서가 HSM에 저장되었는지 확인합니다.

   certutil -L -d /etc/pki/pki-tomcat/alias - h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   Copy to Clipboard Toggle word wrap

   인증서 이름 앞에 HSM 토큰 이름이 접두어로 지정되어 개인 키와 인증서가 토큰에 저장됨을 나타냅니다.

   키가 저장되는 경우 사용자가 인증서를 얻거나 사용하는 방법에는 영향을 미치지 않습니다.