9.11. IdM (Identity Management)

DNSSEC로 DNS 영역을 보호하기로 결정한 사용자는 다음 문서를 읽고 따르는 것이 좋습니다.

통합 DNS가 있는 IdM 서버는 DNSSEC를 사용하여 다른 DNS 서버에서 얻은 DNS 응답을 검증합니다. 이는 권장되는 이름 지정 방식에 따라 구성되지 않은 DNS 영역의 가용성에 영향을 미칠 수 있습니다.

Bugzilla:2084180

IdM은 HSM의 네트워킹 기능을 사용하여 시스템 간 키를 공유하여 복제본을 생성합니다. HSM은 대부분의 IPA 작업에 영향을 미치지 않고 추가 보안을 제공합니다. 낮은 수준의 툴링을 사용하면 인증서와 키가 다르게 처리되지만 대부분의 사용자에게 원활합니다.

다음이 필요합니다.

HSM에 저장된 키가 있는 CA 또는 KRA를 설치하려면 토큰 이름과 PKCS #11 라이브러리의 경로를 지정해야 합니다. 예를 들면 다음과 같습니다.

ipa-server-install -r EXAMPLE.TEST -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=HSM-TOKEN --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so --setup-kra

ipa-server-install -r EXAMPLE.TEST -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=HSM-TOKEN --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so --setup-kra

Jira:RHELDOCS-17465^[1]

현재 명령줄만 사용하여 LMDB가 있는 인스턴스를 마이그레이션하거나 설치할 수 있습니다.

기존 인스턴스를 BDB(Berkeley Database)에서 LMDB로 마이그레이션하려면 nsslapd-backend-implement 매개변수 값을 mdb 로 설정하는 dsctl instance_name dblib bdb2mdb 명령을 사용합니다. 이 명령은 이전 데이터를 정리하지 않습니다. nsslapd-backend-implement 를 bdb 로 변경하여 데이터베이스 유형을 되돌릴 수 있습니다. 자세한 내용은 기존 DS 인스턴스에서 BDB에서 LMDB로 데이터베이스 유형을 마이그레이션 을 참조하십시오.

LMDB로 새 인스턴스를 생성하려면 다음 방법 중 하나를 사용할 수 있습니다.

Directory Server는 cn=mdb,cn=config,cn=ldbm 데이터베이스,cn=plugins,cn=config 항목 아래에 LMDB 설정을 저장합니다.

새로운 LMDB 설정과 함께 nsslapd-db-home-directory 데이터베이스 구성 매개변수를 계속 사용할 수 있습니다.

혼합된 구현의 경우 복제 토폴로지에 BDB 및 LMDB 복제본을 사용할 수 있습니다.

Jira:RHELDOCS-19061^[1]

이번 개선된 기능을 통해 ACME는 이제 지정된 간격으로 만료된 인증서를 자동으로 제거할 수 있습니다.

만료된 인증서 제거는 기본적으로 비활성화되어 있습니다. 이를 활성화하려면 다음을 입력합니다.

ipa-acme-manage pruning --enable --cron "0 0 1 * *"

# ipa-acme-manage pruning --enable --cron "0 0 1 * *"

이렇게 하면 매일 자정에 만료된 인증서가 제거됩니다.

자세한 내용은 ipa-acme-manage(1) 매뉴얼 페이지를 참조하십시오.

Jira:RHELPLAN-145900

Jira:RHELDOCS-18408^[1]