26.2. 인증서 갱신

절차 26.1. IdM 서버에서 만료된 시스템 인증서 모두 갱신

1. IdM 도메인의 CA에서 다음을 수행합니다.
   1. ipa-cert-fix 유틸리티를 시작하여 시스템을 분석하고 만료된 인증서를 나열합니다.

      # ipa-cert-fix
      ...
      The following certificates will be renewed:
      
      Dogtag sslserver certificate:
        Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
        Serial:  13
        Expires: 2019-05-12 05:55:47
      ...
      Enter "yes" to proceed:

      Copy to Clipboard Toggle word wrap
   2. yes 를 입력하여 갱신 프로세스를 시작합니다.

      Enter "yes" to proceed: yes
      Proceeding.
      Renewed Dogtag sslserver certificate:
        Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
        Serial:  268369925
        Expires: 2021-08-14 02:19:33
      ...
      
      Becoming renewal master.
      The ipa-cert-fix command was successful

      Copy to Clipboard Toggle word wrap
      ipa-cert-fix 가 만료된 모든 인증서를 갱신하기까지 최대 1분 정도 걸릴 수 있습니다.
      참고
      갱신 마스터가 아닌 CA 호스트에서 ipa-cert-fix 유틸리티를 실행하고 유틸리티 공유 인증서를 업데이트한 경우 이 호스트는 자동으로 도메인의 새 갱신 마스터가 됩니다. 불일치를 방지하려면 항상 도메인에는 하나의 갱신 마스터만 있어야 합니다.
   3. 선택적으로 모든 서비스가 실행 중인지 확인합니다.

      # ipactl status
      Directory Service: RUNNING
      krb5kdc Service: RUNNING
      kadmin Service: RUNNING
      httpd Service: RUNNING
      ipa-custodia Service: RUNNING
      pki-tomcatd Service: RUNNING
      ipa-otpd Service: RUNNING
      ipa: INFO: The ipactl command was successful

      Copy to Clipboard Toggle word wrap
2. IdM 도메인의 다른 서버에서 다음을 수행합니다.
   1. --force 매개변수를 사용하여 IdM을 다시 시작합니다.

      # ipactl restart --force

      Copy to Clipboard Toggle word wrap
      --force 매개변수를 사용하면 ipactl 유틸리티에서 개별 시작 오류를 무시합니다. 예를 들어 서버가 CA인 경우 pki-tomcat 서비스가 시작되지 않습니다. --force 매개변수를 사용하므로 이는 예상되고 무시됩니다.
   2. 재시작 후 certmonger 서비스가 인증서를 갱신했는지 확인합니다.

      # getcert list | egrep '^Request|status:|subject:'
      Request ID '20190522120745':
              status: MONITORING
              subject: CN=IPA RA,O=EXAMPLE.COM 201905222205
      Request ID '20190522120834':
              status: MONITORING
              subject: CN=Certificate Authority,O=EXAMPLE.COM 201905222205
      ...

      Copy to Clipboard Toggle word wrap
      certmonger 가 복제본에서 공유 인증서를 갱신하기 전에 시간이 걸릴 수 있습니다.
   3. 서버가 CA인 경우 이전 명령은 pki-tomcat 서비스에서 사용하는 인증서에 대해 CA_UNREACHABLE 을 보고합니다.

      Request ID '20190522120835':
              status: CA_UNREACHABLE
              subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
      ...

      Copy to Clipboard Toggle word wrap
      이 인증서를 갱신하려면 ipa-cert-fix 유틸리티를 사용합니다.

      # ipa-cert-fix
      Dogtag sslserver certificate:
        Subject: CN=ca2.example.com,O=EXAMPLE.COM
        Serial:  3
        Expires: 2019-05-11 12:07:11
      
      Enter "yes" to proceed: yes
      Proceeding.
      Renewed Dogtag sslserver certificate:
        Subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
        Serial:  15
        Expires: 2019-08-14 04:25:05
      
      The ipa-cert-fix command was successful

      Copy to Clipboard Toggle word wrap