1.7. 인증서 기반 인증 구성

절차

1. /etc/dirsrv/slapd- <instance_name> /certmap.conf 파일을 만들어 인증서의 정보를 Directory Server 사용자에게 매핑합니다.

   certmap default         default
   default:DNComps         dc
   default:FilterComps     mail,cn
   default:VerifyCert      on
   
   certmap example         cn=Example CA
   example:DNComps

   Copy to Clipboard Toggle word wrap

   이 구성에서 cn=Example CA 에서 발급한 인증서의 경우 DNComps 매개변수가 이 발행자에 대해 비어 있으므로 디렉터리 서버는 인증서 제목에서 기본 DN을 생성하지 않습니다. 또한 FilterComps 및 VerifyCert 에 대한 설정은 기본 항목에서 상속됩니다.

   cn=Example CA 와 다른 발행자 DN이 있는 인증서는 기본 항목의 설정을 사용하고 인증서 제목의 cn 속성을 기반으로 기본 DN을 생성합니다. 이렇게 하면 전체 디렉터리를 검색하지 않고도 Directory Server에서 특정 DN에서 검색을 시작할 수 있습니다.

   모든 인증서의 경우 Directory Server는 인증서 제목에서 mail 및 cn 특성을 사용하여 검색 필터를 생성합니다. 그러나 제목에 mail 속성이 없는 경우 Directory Server는 제목에 있는 인증서의 e 속성 값을 자동으로 사용합니다.

2. 인증서 기반 인증을 활성화합니다. 예를 들어 인증서 기반 인증을 선택 사항으로 구성하려면 다음을 입력합니다.

   # dsconf <instance_name> security set --tls-client-auth="allowed"

   Copy to Clipboard Toggle word wrap

   --tls-client-auth=required 옵션을 사용하여 인증서 기반 인증을 필수로 구성합니다.

3. 선택 사항: 필요에 따라 인증서 기반 인증을 구성한 경우 nsslapd-require-secure-binds 매개변수를 활성화합니다.

   # dsconf <instance_name> config replace nsslapd-require-secure-binds=on

   Copy to Clipboard Toggle word wrap

   이 설정을 사용하면 암호화되지 않은 연결을 사용하여 인증서 기반 인증을 우회할 수 없습니다.

4. 선택 사항: Directory Server에서 바인드 요청의 인증 정보 대신 인증서의 ID를 사용해야 하는 경우 EXTERNAL 간단한 인증 및 보안 계층(SASL) 메커니즘을 사용하도록 디렉터리 서버를 구성합니다.

   # dsconf <instance_name> config replace nsslapd-force-sasl-external=on

   Copy to Clipboard Toggle word wrap

   이 설정을 사용하면 Directory Server에서 인증서의 ID 이외의 다른 바인딩 메서드를 무시합니다.

5. 인스턴스를 다시 시작합니다.

   # dsctl <instance_name> restart

   Copy to Clipboard Toggle word wrap

절차

1. 인증서가 DER 형식이 아닌 경우 변환합니다. 예를 들어 개인 정보 보호 강화 메일(PEM)에서 DER로 인증서를 변환하려면 다음을 입력합니다.

   # openssl x509 -in /home/user_name/certificate.pem -out /home/user_name/certificate.der -outform DER

   Copy to Clipboard Toggle word wrap

2. 사용자의 userCertificate 속성에 인증서를 추가합니다.

   # ldapmodify -D "cn=Directory Manager" -W -H ldaps://server.example.com -x
   
   dn: uid=user_name,ou=People,dc=example,dc=com
   changetype: modify
   add: userCertificate
   userCertificate:< file:///home/user_name/example.der

   Copy to Clipboard Toggle word wrap

검증

1. 인증서 기반 인증을 사용하여 사용자로 인증합니다.

   1. 다음 환경 변수를 CA 인증서, 사용자 키 및 사용자 인증서에 대한 해당 경로로 설정합니다.

      LDAPTLS_CACERT=/home/user_name/CA.crt
      LDAPTLS_KEY=/home/user_name/user.key
      LDAPTLS_CERT=/home/user_name/user.der

      Copy to Clipboard Toggle word wrap

      또는 현재 사용자의 ~/.ldaprc 파일에 TLS_CACERT,TLS_KEY 및 TLS_CERT 매개변수를 설정합니다.

   2. 서버에 연결합니다.

      # ldapwhoami -H ldaps://server.example.com -Y EXTERNAL
      dn: uid=example,ou=people,dc=example,dc=com

      Copy to Clipboard Toggle word wrap