61.2. certutil을 사용하여 IdM CA에서 사용자, 호스트 또는 서비스에 대한 새 인증서 요청
certutil 유틸리티를 사용하여 표준 IdM 상황에서 IdM(Identity Management) 사용자, 호스트 또는 서비스에 대한 인증서를 요청할 수 있습니다. 호스트 또는 서비스 Kerberos 별칭이 인증서를 사용할 수 있도록 하려면 openssl 유틸리티를 사용하여 인증서를 대신 요청합니다.
certutil 을 사용하여 ipa, IdM 인증 기관(CA)에서 IdM 사용자, 호스트 또는 서비스에 대한 인증서를 요청하려면 다음 절차를 따르십시오.
일반적으로 서비스는 개인 키가 저장된 전용 서비스 노드에서 실행됩니다. 서비스의 개인 키를 IdM 서버에 복사하는 것은 안전하지 않은 것으로 간주됩니다. 따라서 서비스에 대한 인증서를 요청하는 경우 서비스 노드에 CSR(인증서 서명 요청)을 생성합니다.
사전 요구 사항
- IdM 배포에 통합된 CA가 포함되어 있습니다.
- IdM 관리자로 IdM CLI(명령줄 인터페이스)에 로그인되어 있습니다.
절차
인증서 데이터베이스의 임시 디렉터리를 생성합니다.
# mkdir ~/certdb/
다음과 같은 새 임시 인증서 데이터베이스를 생성합니다.
# certutil -N -d ~/certdb/CSR을 생성하고 출력을 파일로 리디렉션합니다. 예를 들어 4096비트 인증서에 대한 CSR을 생성하고 제목을 CN=server.example.com,O=EXAMPLE.COM로 설정하려면 다음을 수행합니다.
# certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr
IdM 서버에서 실행 중인 CA에 인증서 요청 파일을 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.
# ipa cert-request certificate_request.csr --principal=host/server.example.com
IdM의
ipa cert-request명령은 다음 기본값을 사용합니다.caIPAserviceCert인증서 프로필사용자 지정 프로필을 선택하려면
--profile-id옵션을 사용합니다.통합 IdM 루트 CA,
ipa하위 CA를 선택하려면
--ca옵션을 사용합니다.
추가 리소스
-
ipa cert-request --help명령의 출력을 참조하십시오. - Identity Management에서 인증서 프로필 생성 및 관리를 참조하십시오.
