61.3. openssl을 사용하여 IdM CA에서 사용자, 호스트 또는 서비스에 대한 새 인증서 요청
호스트 또는 서비스의 Kerberos 별칭이 인증서를 사용할 수 있도록 하려면 openssl 유틸리티를 사용하여 IdM(Identity Management) 호스트 또는 서비스에 대한 인증서를 요청할 수 있습니다. 표준 상황에서는 대신 certutil 유틸리티를 사용하여 새 인증서를 요청하는 것이 좋습니다.
openssl 을 사용하여 ipa, IdM 인증 기관에서 IdM 호스트 또는 서비스에 대한 인증서를 요청하려면 다음 절차를 따르십시오.
일반적으로 서비스는 개인 키가 저장된 전용 서비스 노드에서 실행됩니다. 서비스의 개인 키를 IdM 서버에 복사하는 것은 안전하지 않은 것으로 간주됩니다. 따라서 서비스에 대한 인증서를 요청하는 경우 서비스 노드에 CSR(인증서 서명 요청)을 생성합니다.
사전 요구 사항
- IdM 배포에 통합된 CA가 포함되어 있습니다.
- IdM 관리자로 IdM CLI(명령줄 인터페이스)에 로그인되어 있습니다.
절차
- Kerberos 주체 test/server.example.com 에 대해 하나 이상의 별칭을 만듭니다. 예를 들어 test1/server.example.com 및 test2/server.example.com 입니다.
CSR에서 dnsName(server.example.com) 및 otherName(test2/server.example.com)에 대한 subjectAltName을 추가합니다. 이렇게 하려면 UPN otherName 및 subjectAltName을 지정하는 다음 행을 포함하도록
openssl.conf파일을 구성합니다.otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM DNS.1 = server.example.com
openssl을 사용하여 인증서 요청을 생성합니다.openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf
IdM 서버에서 실행 중인 CA에 인증서 요청 파일을 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.
# ipa cert-request certificate_request.csr --principal=host/server.example.com
IdM의
ipa cert-request명령은 다음 기본값을 사용합니다.caIPAserviceCert인증서 프로필사용자 지정 프로필을 선택하려면
--profile-id옵션을 사용합니다.통합 IdM 루트 CA,
ipa하위 CA를 선택하려면
--ca옵션을 사용합니다.
추가 리소스
-
ipa cert-request --help명령의 출력을 참조하십시오. - Identity Management에서 인증서 프로필 생성 및 관리를 참조하십시오.
