23장. CA 갱신 서버 및 CRL 게시자 역할을 수행하는 서버 해제

프로세스

1. IdM 관리자 인증 정보를 가져옵니다.

   [user@server ~]$ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

   Copy to Clipboard Toggle word wrap

2. 선택 사항: CA 갱신 서버 및 CRL 게시자 역할을 수행하는 서버가 확실하지 않은 경우:

   1. 현재 CA 갱신 서버를 표시합니다. IdM 서버에서 다음 명령을 실행할 수 있습니다.

      [user@server ~]$ ipa config-show | grep 'CA renewal'
        IPA CA renewal master: server.idm.example.com

      Copy to Clipboard Toggle word wrap

   2. 호스트가 현재 CRL 게시자인지 테스트합니다.

      [user@server ~]$ ipa-crlgen-manage status
      CRL generation: enabled
      Last CRL update: 2019-10-31 12:00:00
      Last CRL Number: 6
      The ipa-crlgen-manage command was successful

      Copy to Clipboard Toggle word wrap

      CRL을 생성하지 않는 CA 서버에 CRL 생성: disabled 가 표시됩니다.

      [user@replica ~]$ ipa-crlgen-manage status
      CRL generation: disabled
      The ipa-crlgen-manage command was successful

      Copy to Clipboard Toggle word wrap

      CRL 게시자 서버를 찾을 때까지 CA 서버에서 이 명령을 계속 입력합니다.

   3. 이러한 역할을 충족하기 위해 승격할 수 있는 다른 모든 CA 서버를 표시합니다. 이 환경에는 두 개의 CA 서버가 있습니다.

      [user@server ~]$ ipa server-role-find --role 'CA server'
      ----------------------
      2 server roles matched
      ----------------------
        Server name: server.idm.example.com
        Role name: CA server
        Role status: enabled
        Server name: replica.idm.example.com
        Role name: CA server
        Role status: enabled
      ----------------------------
      Number of entries returned 2
      ----------------------------

      Copy to Clipboard Toggle word wrap

3. replica.idm.example.com 을 CA 갱신 서버로 설정합니다.

   [user@server ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com

   Copy to Clipboard Toggle word wrap

4. server.idm.example.com 에서 :

   1. 인증서 업데이트기 작업을 비활성화합니다.

      [root@server ~]# pki-server ca-config-set ca.certStatusUpdateInterval 0

      Copy to Clipboard Toggle word wrap

   2. IdM 서비스를 다시 시작합니다.

      [root@server ~]# ipactl restart

      Copy to Clipboard Toggle word wrap

5. replica.idm.example.com 에서 다음을 수행합니다.

   1. 인증서 업데이트기 작업을 활성화합니다.

      [root@replica ~]# pki-server ca-config-unset ca.certStatusUpdateInterval

      Copy to Clipboard Toggle word wrap

   2. IdM 서비스를 다시 시작합니다.

      [root@replica ~]# ipactl restart

      Copy to Clipboard Toggle word wrap

6. server.idm.example.com 에서 CRL 생성을 중지합니다.

   [user@server ~]$ ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

7. replica.idm.example.com 에서 CRL 생성을 시작합니다.

   [user@replica ~]$ ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

8. server.idm.example.com 에서 IdM 서비스를 중지합니다.

   [root@server ~]# ipactl stop

   Copy to Clipboard Toggle word wrap

9. replica.idm.example.com 에서 IdM 환경에서 server.idm.example.com 을 삭제합니다.

   [user@replica ~]$ ipa server-del server.idm.example.com

   Copy to Clipboard Toggle word wrap

10. server.idm.example.com 에서 ipa-server-install --uninstall 명령을 root 계정으로 사용합니다.

    [root@server ~]# ipa-server-install --uninstall
    ...
    Are you sure you want to continue with the uninstall procedure? [no]: yes

    Copy to Clipboard Toggle word wrap