28.3.3. webclient-ca에서 발급한 인증서를 사용하여 웹 서버에 인증하는 사용자 웹 브라우저에 대한 CA ACL 생성

프로세스

1. ipa caacl 명령을 사용하여 CA ACL을 생성하고 해당 이름을 지정합니다.

   $ ipa caacl-add TLS_web_client_authentication

   --------------------------------------------
   Added CA ACL "TLS_web_client_authentication"
   --------------------------------------------
     ACL name: TLS_web_client_authentication
     Enabled: TRUE

2. CA ACL에 대한 설명을 지정하려면 ipa caacl-mod 명령을 사용하여 CA ACL을 수정합니다.

   $ ipa caacl-mod TLS_web_client_authentication --desc="CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca"

   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE

3. CA ACL에 webclient-ca 하위 CA를 추가합니다.

   $ ipa caacl-add-ca TLS_web_client_authentication --ca=webclient-ca

     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
   -------------------------
   Number of members added 1
   -------------------------

4. ipa caacl-add-profile 명령을 사용하여 요청된 인증서에 대한 인증서 프로필을 지정합니다.

   $ ipa caacl-add-profile TLS_web_client_authentication --certprofiles=IECUserRoles

     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
     Profiles: IECUserRoles
   -------------------------
   Number of members added 1
   -------------------------

5. ipa caacl-mod 명령을 사용하여 CA ACL을 수정하여 모든 IdM 사용자에게 CA ACL을 적용하도록 지정합니다.

   $ ipa caacl-mod TLS_web_client_authentication --usercat=all

   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     User category: all
     CAs: webclient-ca
     Profiles: IECUserRoles

   새로 생성된 CA ACL을 바로 사용할 수 있습니다. 기본적으로 생성된 후 활성화됩니다.

   참고

   CA ACL은 특정 주체 또는 그룹에서 들어오는 요청에 대해 허용되는 CA 및 프로필 조합을 지정하는 것입니다. CA ACL은 인증서 검증 또는 신뢰에 영향을 미치지 않습니다. 발급된 인증서를 사용하는 방법에는 영향을 미치지 않습니다.