18.8. certmonger와 SCEP 사용

절차

1. certmonger 에 CA 구성을 추가합니다.

   [root@client.idm.example.com ~]# getcert add-scep-ca -c SCEP_example -u SCEP_URL

   Copy to Clipboard Toggle word wrap
   • -c: CA 구성에 대한 필수 닉네임입니다. 나중에 동일한 값을 다른 getcert 명령과 함께 사용할 수 있습니다.

   • -u: 서버의 SCEP 인터페이스 URL.

     중요

     HTTPS URL을 사용하는 경우 -R 옵션을 사용하여 SCEP 서버 CA 인증서의 PEM 형식 사본 위치도 지정해야 합니다.

2. CA 구성이 성공적으로 추가되었는지 확인합니다.

   [root@client.idm.example.com ~]# getcert list-cas -c SCEP_example
   CA 'SCEP_example':
          is-default: no
          ca-type: EXTERNAL
          helper-location: /usr/libexec/certmonger/scep-submit -u http://SCEP_server_enrollment_interface_URL
          SCEP CA certificate thumbprint (MD5): A67C2D4B 771AC186 FCCA654A 5E55AAF7
          SCEP CA certificate thumbprint (SHA1): FBFF096C 6455E8E9 BD55F4A5 5787C43F 1F512279

   Copy to Clipboard Toggle word wrap

   구성이 성공적으로 추가되면 certmonger는 원격 CA에서 CA 체인을 검색합니다. 그러면 CA 체인이 명령 출력에 지문으로 표시됩니다. 암호화되지 않은 HTTP를 통해 서버에 액세스하는 경우 지문을 SCEP 서버에 표시되는 지문과 수동으로 비교하여 중간자 공격을 방지합니다.

3. CA에서 인증서를 요청합니다.

   • NSS를 사용하는 경우:

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -d /etc/pki/nssdb -n ExampleCert -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     Copy to Clipboard Toggle word wrap

     옵션을 사용하여 인증서 요청의 다음 매개변수를 지정할 수 있습니다.

     • -I: 선택 사항: 작업 이름: 요청에 대한 추적 ID입니다. 나중에 getcert list 명령과 동일한 값을 사용할 수 있습니다.
     • -c: 요청을 제출할 CA 구성입니다.
     • -d: 인증서와 키를 저장할 NSS 데이터베이스가 있는 디렉터리입니다.
     • -n: NSS 데이터베이스에 사용되는 인증서의 별 이름입니다.
     • -N: CSR의 제목 이름입니다.
     • -L: CA에서 발행한 시간 제한 일회성 challengePassword BOOM입니다.
     • -D: 인증서의 대체 이름(일반적으로 호스트 이름과 동일)입니다.

   • OpenSSL을 사용하는 경우:

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -f /etc/pki/tls/certs/server.crt -k /etc/pki/tls/private/private.key -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     Copy to Clipboard Toggle word wrap

     옵션을 사용하여 인증서 요청의 다음 매개변수를 지정할 수 있습니다.

     • -I: 선택 사항: 작업 이름: 요청에 대한 추적 ID입니다. 나중에 getcert list 명령과 동일한 값을 사용할 수 있습니다.
     • -c: 요청을 제출할 CA 구성입니다.
     • -f: 인증서의 스토리지 경로입니다.
     • -k: 키의 스토리지 경로입니다.
     • -N: CSR의 제목 이름입니다.
     • -L: CA에서 발행한 시간 제한 일회성 challengePassword BOOM입니다.
     • -D: 인증서의 대체 이름(일반적으로 호스트 이름과 동일)입니다.

검증

1. 인증서가 발행되어 로컬 데이터베이스에 올바르게 저장되었는지 확인합니다.

   • NSS를 사용한 경우 다음을 입력합니다.

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     	Request ID 'Example_Task':
             status: MONITORING
             stuck: no
             key pair storage: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             certificate: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             signing request thumbprint (MD5): 503A8EDD DE2BE17E 5BAA3A57 D68C9C1B
             signing request thumbprint (SHA1): B411ECE4 D45B883A 75A6F14D 7E3037F1 D53625F4
             CA: IPA
             issuer: CN=Certificate Authority,O=EXAMPLE.COM
             subject: CN=client.idm.example.com,O=EXAMPLE.COM
             expires: 2018-05-06 10:28:06 UTC
             key usage: digitalSignature,keyEncipherment
             eku: iso.org.dod.internet.security.mechanisms.8.2.2
             certificate template/profile: IPSECIntermediateOffline
             pre-save command:
             post-save command:
             track: true
     	auto-renew: true

     Copy to Clipboard Toggle word wrap

   • OpenSSL을 사용한 경우 다음을 입력합니다.

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     Request ID 'Example_Task':
            status: MONITORING
            stuck: no
            key pair storage: type=FILE,location='/etc/pki/tls/private/private.key'
            certificate: type=FILE,location='/etc/pki/tls/certs/server.crt'
            CA: IPA
            issuer: CN=Certificate Authority,O=EXAMPLE.COM
            subject: CN=client.idm.example.com,O=EXAMPLE.COM
            expires: 2018-05-06 10:28:06 UTC
            eku: id-kp-serverAuth,id-kp-clientAuth
            pre-save command:
            post-save command:
            track: true
            auto-renew: true

     Copy to Clipboard Toggle word wrap

     MONITORING 상태는 발급된 인증서를 성공적으로 검색할 수 있음을 나타냅니다. getcert-list(1) 매뉴얼 페이지에는 다른 가능한 상태 및 해당 의미가 나열되어 있습니다.

절차

1. AD 서버에서 regedit 를 엽니다.
2. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP 하위 키에서 새로운 32비트 REG_DWORD 항목 DisableRenewalSubjectNameMatch 를 추가하고 해당 값을 1 로 설정합니다.

3. certmonger 가 실행 중인 서버에서 /etc/certmonger/certmonger.conf 파일을 열고 다음 섹션을 추가합니다.

   [scep]
   challenge_password_otp = yes

   Copy to Clipboard Toggle word wrap

4. certmonger를 다시 시작하십시오.

   # systemctl restart certmonger

   Copy to Clipboard Toggle word wrap