7.2. HSM에 저장된 키 및 인증서를 사용하여 통합 CA를 사용하여 IdM 서버 설치

프로세스

1. install 명령을 실행하여 PKCS #11 라이브러리, 토큰 이름 및 토큰 암호를 지정합니다.

   ipa-server-install -a <password> -p <dmpassword>-r <IDM.EXAMPLE.COM> -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

   Copy to Clipboard Toggle word wrap
2. 메시지가 표시되면 토큰 암호를 지정합니다.

검증

1. certutil 을 실행하여 CA 인증서 정보를 표시합니다.

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   Copy to Clipboard Toggle word wrap

   인증서의 Trust Attributes 아래에 u 가 나열되지 않은 경우 개인 키가 토큰에 저장됨을 나타냅니다. 이 경우 성능상의 이유로 HSM에 설치되지 않으므로 Server-Cert cert-pki-ca 에만 u 플래그가 있습니다.

2. 키와 인증서가 HSM에 저장되었는지 확인합니다.

   certutil -L -d /etc/pki/pki-tomcat/alias -h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   Copy to Clipboard Toggle word wrap

   인증서 이름 앞에 HSM 토큰 이름이 접두어로 지정되어 개인 키와 인증서가 토큰에 저장됨을 나타냅니다.

   키가 저장되는 경우 사용자가 인증서를 얻거나 사용하는 방법에는 영향을 미치지 않습니다.