1장. Red Hat Directory Server 보안

절차

1. 개인 키 및 CSR(인증서 서명 요청)을 만듭니다. 외부 유틸리티를 사용하여 생성하려면 이 단계를 건너뜁니다.

   • 호스트에 하나의 이름으로만 연결할 수 있는 경우 다음을 입력합니다.

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization"

     Copy to Clipboard Toggle word wrap

   • 여러 이름으로 호스트에 연결할 수 있는 경우:

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization" server.example.com server.example.net

     Copy to Clipboard Toggle word wrap

     호스트 이름을 마지막 매개 변수로 지정하면 명령에서 DNS:server.example.com, DNS:server.example.net 항목을 CSR에 사용하여 SAN(Subject Alternative Name) 확장을 추가합니다.

   -s subject 매개변수에 지정된 문자열은 RFC 1485에 따라 유효한 제목 이름이어야 합니다. 제목의 CN 필드가 필요하며 서버의 FQDN(정규화된 도메인 이름) 중 하나로 설정해야 합니다. 명령은 CSR을 /etc/dirsrv/slapd- <instance_name> /Server-Cert.csr 파일에 저장합니다.

2. 인증서 발급을 받으려면 CSR을 CA(인증 기관)에 제출합니다. 자세한 내용은 CA 설명서를 참조하십시오.

3. CA에서 발급한 서버 인증서를 NSS 데이터베이스로 가져옵니다.

   • dsctl tls generate-server-cert-csr 명령을 사용하여 개인 키를 생성한 경우 다음을 입력합니다.

     # dsconf <instance_name> security certificate add --file /root/instance_name.crt --name "server-cert" --primary-cert

     Copy to Clipboard Toggle word wrap

     --name _certificate_nickname매개변수에 설정한 인증서의 이름을 기억합니다. 이는 이후 단계에서 필요합니다.

   • 외부 유틸리티를 사용하여 개인 키를 생성한 경우 서버 인증서와 개인 키를 가져옵니다.

     # dsctl <instance_name> tls import-server-key-cert /root/server.crt /root/server.key

     Copy to Clipboard Toggle word wrap

     이 명령을 사용하려면 먼저 서버 인증서의 경로를 지정한 다음 개인 키의 경로를 지정해야 합니다. 이 방법은 항상 인증서의 닉네임을 Server-Cert 로 설정합니다.

4. CA 인증서를 NSS 데이터베이스로 가져옵니다.

   # dsconf <instance_name> security ca-certificate add --file /root/ca.crt --name "Example CA"

   Copy to Clipboard Toggle word wrap

5. CA 인증서의 신뢰 플래그를 설정합니다.

   # dsconf <instance_name> security ca-certificate set-trust-flags "Example CA" --flags "CT,,"

   Copy to Clipboard Toggle word wrap

   이렇게 하면 TLS 암호화 및 인증서 기반 인증을 위한 CA를 신뢰하도록 Directory Server가 구성됩니다.

6. TLS를 활성화하고 LDAPS 포트를 설정합니다.

   # dsconf <instance_name> config replace nsslapd-securePort=636 nsslapd-security=on

   Copy to Clipboard Toggle word wrap

7. firewalld 서비스에서 LDAPS 포트를 엽니다.

   # firewall-cmd --permanent --add-port=636/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

8. RSA 암호화 제품군을 활성화하고 NSS 데이터베이스 보안 장치 및 서버 인증서 이름을 설정합니다.

   # dsconf <instance_name> security rsa set --tls-allow-rsa-certificates on --nss-token "internal (software)" --nss-cert-name Server-Cert

   Copy to Clipboard Toggle word wrap

   기본적으로 NSS 데이터베이스의 보안 장치 이름은 내부(소프트웨어) 입니다.

9. 선택 사항: 일반 텍스트 LDAP 포트를 비활성화합니다.

   # dsconf <instance_name> security disable_plain_port

   Copy to Clipboard Toggle word wrap

10. 인스턴스 재시작

    # dsctl <instance_name> restart

    Copy to Clipboard Toggle word wrap

절차

1. Server Security Certificate Management Certificate Signing Request 로 이동하여 Create Certificate Signing Request 를 클릭합니다.

2. CSR(인증서 서명 요청), CN(일반 이름) 및 조직(O)의 이름을 설정합니다.

   

   View larger image

   

   여러 이름으로 호스트에 연결할 수 있는 경우 주체 대체 이름으로 대체 이름을 설정합니다.

3. 인증서 서명 요청 생성 을 클릭합니다.

4. CSR 텍스트를 보고 복사합니다.

   1. 확인할 CSR의 노드 옵션 아이콘을 클릭하고 CSR 보기를 선택합니다.
   2. CSR 콘텐츠를 복사합니다.
5. CSR 파일을 CA(인증 기관)에 제출하여 인증서 발급을 받습니다. 자세한 내용은 CA 설명서를 참조하십시오.
6. CA에서 인증서를 받으면 Server Security Certificate Management TLS 인증서로 이동하여 서버 인증서 추가 를 클릭합니다.

7. 서버 인증서에 고유한 닉네임을 설정하고 발급된 인증서를 업로드하고 인증서 추가 를 클릭합니다.

   이후 단계에서 필요하므로 인증서 닉네임을 기억합니다.

8. 서버 보안 인증서 관리 신뢰할 수 있는 인증서 기관으로 이동하여 CA 인증서 추가 를 클릭합니다.
9. CA 인증서의 고유한 닉네임을 설정하고 CA 인증서 파일을 업로드하고 인증서 추가 를 클릭합니다.

10. 선택 사항: Directory Server 인스턴스 설치 중에 TLS 암호화를 활성화하지 않은 경우 활성화합니다.

    1. Server Security Settings 로 이동하여 보안 스위치를 활성화합니다.
    2. 팝업 창에서 보안 사용을 클릭합니다.
    3. 보안 설정 페이지에서 Save Configuration 을 클릭합니다.

11. 보안 구성 페이지에서 서버 인증서 이름을 구성합니다.

    1. Server Security Configuration 으로 이동합니다.
    2. 서버 인증서 이름 드롭다운 목록에서 서버 인증서 닉네임을 선택하고 Save Configuration 을 클릭합니다.
    3. 선택 사항: 드롭다운 목록에 인증서 닉네임이 표시되지 않으면 보안 설정 페이지를 새로 고치고 이전 단계를 다시 수행합니다.
12. 선택 사항: 636 이외의 LDAPS 포트를 사용하려면 서버 서버 설정으로 이동하여 LDAPS 포트를 설정한 다음 저장을 클릭합니다.

13. firewalld 서비스에서 LDAPS 포트를 엽니다.

    # firewall-cmd --permanent --add-port=636/tcp
    # firewall-cmd --reload

    Copy to Clipboard Toggle word wrap

14. 선택 사항: 서버 보안 구성으로 이동하여 Secure Connections 필요 확인란을 선택한 다음 Save Configuration 을 클릭합니다.

    Directory Server는 일반 텍스트 LDAP 포트를 비활성화합니다.

15. 오른쪽 상단에 있는 작업을 클릭하고 인스턴스 재시작 을 선택합니다.

절차

1. 다음 명령을 사용하여 NSS 데이터베이스 암호를 변경합니다.

   # certutil -d /etc/dirsrv/slapd-<instance_name>/ -W
   
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

   Copy to Clipboard Toggle word wrap

2. NSS 데이터베이스 암호를 입력하라는 메시지가 표시되지 않고 암호 파일을 사용하여 Directory Server를 자동으로 시작하는 경우 /etc/dirsrv/slapd-<instance_name>/pin.txt : 이전 암호를 새 암호로 교체합니다.

   • NSS 소프트웨어 암호화 모듈을 사용하는 경우 기본값입니다.

     Internal (Software) Token:password

     Copy to Clipboard Toggle word wrap

   • HSM(Hardware Security Module)을 사용하는 경우:

     name_of_the_token:password

     Copy to Clipboard Toggle word wrap

절차

1. 다음 콘텐츠를 사용하여 /etc/dirsrv/slapd-<instance_name>/pin.txt 파일을 만듭니다.

   • NSS 소프트웨어 암호화 모듈을 사용하는 경우 기본값입니다.

     Internal (Software) Token:password

     Copy to Clipboard Toggle word wrap

   • HSM(Hardware Security Module)을 사용하는 경우:

     name_of_the_token:password

     Copy to Clipboard Toggle word wrap

2. 파일 권한을 설정합니다.

   # chown dirsrv:root /etc/dirsrv/slapd-<instance_name>/pin.txt
   # chmod 400 /etc/dirsrv/slapd-<instance_name>/pin.txt

   Copy to Clipboard Toggle word wrap

절차

1. Directory Server에서 사용하는 CA 인증서의 로컬 사본이 없는 경우:

   1. 서버의 네트워크 보안 서비스(NSS) 데이터베이스의 인증서를 나열합니다.

      # certutil -d /etc/dirsrv/slapd-<instance_name>/ -L
      
      Certificate Nickname                       Trust Attributes
                                                 SSL,S/MIME,JAR/XPI
      
      Example CA                                 C,,
      Server-Cert                                u,u,u

      Copy to Clipboard Toggle word wrap

   2. NSS 데이터베이스에서 CA 인증서의 닉네임을 사용하여 CA 인증서를 내보냅니다.

      # certutil -d /etc/dirsrv/slapd-<instance_name>/ -L -n "Example CA" -a > /tmp/ds-ca.crt

      Copy to Clipboard Toggle word wrap

2. CA 인증서를 /etc/pki/ca-trust/source/anchors/ 디렉터리에 복사합니다.

   # cp /tmp/ds-ca.crt /etc/pki/ca-trust/source/anchors/

   Copy to Clipboard Toggle word wrap

3. CA 신뢰 데이터베이스를 다시 빌드합니다.

   # update-ca-trust

   Copy to Clipboard Toggle word wrap