22.3. 만료된 IdM CA 인증서에서 복구

프로세스

1. 갱신 서버에서 CA 인증서를 자체 서명으로 갱신합니다. 이 명령은 기존 개인 키를 사용하여 업데이트된 유효 기간이 있는 새 CA 인증서를 생성합니다.

   # ipa-cacert-manage renew --self-signed

   Copy to Clipboard Toggle word wrap

   인증서가 만료 날짜에 가깝고 만료 날짜를 내보내지 않은 경우 IPA의 CA 인증서가 만료 날짜에 가까운 경우 갱신하면 만료 날짜 솔루션을 내보내지 않습니다.

2. 갱신 서버에서 만료된 서비스 인증서를 수정합니다.

   1. IdM 서비스를 중지합니다.

      # ipactl stop

      Copy to Clipboard Toggle word wrap

   2. ipa-cert-fix 명령을 실행하여 IdM 데이터베이스에서 만료된 서비스 인증서의 만료 날짜를 재설정합니다.

      # ipa-cert-fix

      Copy to Clipboard Toggle word wrap

   3. 새 인증서를 발급하고 IdM 서비스에 적용합니다.

      # ipa-certupdate

      Copy to Clipboard Toggle word wrap

   4. IdM 서비스를 다시 시작하여 갱신을 완료합니다.

      # ipactl start

      Copy to Clipboard Toggle word wrap

3. 원래 설정에서 외부 서명된 CA를 사용한 경우 외부 기관에서 새 CA 인증서를 다시 서명해야 합니다. 자체 서명된 CA를 사용하는 경우 이 단계를 건너뜁니다.

   1. 새로 업데이트된 CA에 대한 CSR(인증서 서명 요청)을 생성합니다.

      # ipa-cacert-manage renew --external-ca

      Copy to Clipboard Toggle word wrap

      이렇게 하면 /var/lib/ipa/ca.csr 에 CSR 파일이 생성됩니다.

   2. CSR 파일을 외부 CA에 제출하고 새로 서명된 인증서 및 외부 CA의 신뢰 체인을 수신합니다.

   3. 새로 서명된 인증서를 IdM에 다시 설치합니다.

      # ipa-cacert-manage renew --external-cert-file /path/to/new-ca.pem --external-cert-file /path/to/external-chain.pem

      Copy to Clipboard Toggle word wrap

4. 새 CA 인증서를 모든 IdM 서버 및 클라이언트에 전파합니다. 먼저 갱신 서버에서 ipa-certupdate 를 실행한 다음 다른 모든 복제본에서, 마지막으로 모든 클라이언트에서 다음을 실행합니다.

   # ipa-certupdate

   Copy to Clipboard Toggle word wrap

   이 단계는 토폴로지의 모든 시스템이 새 CA 인증서를 신뢰하도록 하는 데 중요합니다.