20장. IdM 복제본에서 아직 만료되지 않은 경우 웹 서버 및 LDAP 서버 인증서 교체

프로세스

1. 새 httpd/LDAP 인증서가 이전 CA와 다른 CA에서 서명하려는 경우 IdM에 추가 CA 인증서로 외부 CA 인증서의 새 외부 CA 인증서 및 전체 CA 인증서 체인을 설치합니다. 인증서를 저장하는 파일은 PEM 및 DER 인증서, PKCS#7 인증서 체인, PKCS#8 및 원시 개인 키 및 PKCS#12 형식으로 허용됩니다.

   1. CA 인증서를 설치합니다.

      # ipa-cacert-manage install /path/to/ca.crt

      Copy to Clipboard Toggle word wrap
      중요

      새 외부 CA 인증서의 주체가 이전 키와 동일하지만 다른 키를 사용하는 경우 다음 조건을 충족한 경우에만 사용할 수 있습니다.

      • 두 인증서에는 동일한 신뢰 플래그가 있습니다.
      • CA는 동일한 닉네임을 공유합니다.
      • 인증서에 나열된 X509 확장에는 AKI( Authority Key Identifier ) 확장이 포함됩니다.

   2. 나머지 인증서 체인을 IdM에 추가 CA 인증서로 설치합니다. ipa-cacert-manage install 명령은 파일에서 첫 번째 인증서만 읽기 때문에 한 번에 하나의 전체 CA 체인을 설치해야 합니다. 예를 들어 체인에 두 개의 인증서가 포함된 경우 각각 인증서를 별도의 파일에 저장하고 각 파일에 대해 ipa-cacert-manage install 을 개별적으로 실행합니다.

      # ipa-cacert-manage install /path/to/intermediate-ca.crt

      Copy to Clipboard Toggle word wrap

      # ipa-cacert-manage install /path/to/root-ca.crt

      Copy to Clipboard Toggle word wrap

   3. 인증서 체인의 인증서로 로컬 IdM 인증서 데이터베이스를 업데이트합니다.

      # ipa-certupdate

      Copy to Clipboard Toggle word wrap

2. OpenSSL 유틸리티를 사용하여 개인 키 및 CSR(인증서 서명 요청)을 생성합니다.

   $ openssl req -new -newkey rsa:4096 -days 365 -nodes -keyout new.key -out new.csr -addext "subjectAltName = DNS:server.idm.example.com" -subj '/CN=server.idm.example.com,O=IDM.EXAMPLE.COM'

   Copy to Clipboard Toggle word wrap

   CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다. CA가 인증서에 서명한 후 인증서를 IdM 서버로 가져옵니다.

3. IdM 서버에서 Apache 웹 서버의 이전 개인 키와 인증서를 새 키 및 새로 서명된 인증서로 교체합니다.

   # ipa-server-certinstall -w --pin=password new.key new.crt

   Copy to Clipboard Toggle word wrap

   위의 명령에서 다음을 수행합니다.

   • w 옵션은 웹 서버에 인증서를 설치하도록 지정합니다.
   • --pin 옵션은 개인 키를 보호하는 암호를 지정합니다.
4. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

5. LDAP 서버의 이전 개인 키와 인증서를 새 키 및 새로 서명된 인증서로 교체합니다.

   # ipa-server-certinstall -d --pin=password new.key new.cert

   Copy to Clipboard Toggle word wrap

   위의 명령에서 다음을 수행합니다.

   • d 옵션은 LDAP 서버에 인증서를 설치하도록 지정합니다.
   • --pin 옵션은 개인 키를 보호하는 암호를 지정합니다.
6. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

7. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap

8. Directory 서비스를 다시 시작하십시오.

   # systemctl restart dirsrv@IDM.EXAMPLE.COM.service

   Copy to Clipboard Toggle word wrap

9. 서버에서 하위 CA가 제거되거나 교체된 경우 클라이언트를 업데이트합니다.

   # ipa-certupdate

   Copy to Clipboard Toggle word wrap