7장. 인증서 기반 인증 구성

절차

1. /etc/dirsrv/slapd-instance_name/certmap.conf 파일을 생성하여 인증서의 정보를 Directory Server 사용자로 매핑합니다.

   certmap default         default
   default:DNComps         dc
   default:FilterComps     mail,cn
   default:VerifyCert      on
   
   certmap example         cn=Example CA
   example:DNComps

   이 구성을 사용하면 cn=ECDHE CA 에서 발급한 인증서의 경우 DNComps 매개변수가 이 발급자에게 비어 있게 설정되어 있으므로 Directory Server는 인증서 제목에서 기본 DN을 생성하지 않습니다. 또한 FilterComps 및 VerifyCert 에 대한 설정은 기본 항목에서 상속됩니다.

   cn=ECDHE CA 와 다른 발행자 DN이 있는 인증서는 기본 항목의 설정을 사용하고 인증서 제목의 cn 특성을 기반으로 기본 DN을 생성합니다. 이를 통해 Directory Server는 전체 디렉터리를 검색하지 않고도 특정 DN에서 검색을 시작할 수 있습니다.

   모든 인증서의 경우 Directory Server는 인증서의 제목에서 mail 및 cn 특성을 사용하여 검색 필터를 생성합니다. 그러나 메일 속성이 주체에 없는 경우 Directory Server는 제목에서 인증서의 e 속성 값을 자동으로 사용합니다.

2. 인증서 기반 인증을 활성화합니다. 예를 들어 인증서 기반 인증을 선택 사항으로 구성하려면 다음을 입력합니다.

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security set --tls-client-auth="allowed"

   --tls-client-auth=required 옵션을 사용하여 인증서 기반 인증을 필수로 구성합니다.

3. 선택 사항: 인증서 기반 인증을 필요에 따라 구성한 경우 nsslapd-require-secure-binds 매개변수를 활성화합니다.

   # dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-require-secure-binds=on

   이 설정을 사용하면 암호화되지 않은 연결을 사용하여 인증서 기반 인증을 바이패스할 수 없습니다.

4. 선택 사항: Directory Server에서 바인딩 요청의 자격 증명 대신 인증서의 ID를 사용해야 하는 경우 EXTERNAL 단순 인증 및 보안 계층(ECDHEL) 메커니즘을 사용하도록 Directory Server를 구성합니다.

   # dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-force-sasl-external=on

   이 설정을 사용하여 Directory Server는 인증서의 ID보다 다른 바인딩 메서드를 무시합니다.

5. 인스턴스를 다시 시작합니다.

   # dsctl instance_name restart