25.2. IdM 내부 인증서

내부 인증서는 IdM을 설치하는 방법과 해당 설치에 포함된 구성 요소에 따라 달라질 수 있습니다. 해당 설치에 따라 다음 인증서가 시스템에 저장되어 있을 수 있습니다.

IdM CA 인증서

IdM CA 인증서는 다른 모든 인증서에 서명하는 데 IdM에서 사용됩니다. CA가 없는 설치에는 존재하지 않습니다.

caSigningCert	설명
파일 시스템 위치	`/etc/pki/pki-tomcat/alias` NSS 데이터베이스의 `nickname=caSigningCert cert-pki-ca` `/etc/ipa/nssdb/` 및 `/etc/ipa/ca.crt` 의 `nickname=REALM.NAME IPA CA` (LDAP에서 입력됨)
LDAP 위치	`CN=REALM.NAME IPA CA,cn=certificates,cn=ipa,cn=etc,dc=realm,dc=name 및 ou=authorities,ou=ca,o=ipaca`
issuer	외부 CA에서 자체 서명 또는 서명
제목	`O = realM.NAME, CN = 인증 기관` 이는 기본값이지만 IdM 서버 설치 중에 사용자 지정할 수 있습니다.
추가 정보	`CA:true` 심각한 제약 조건이 있어야 하며 NSS 데이터베이스에 `Cryostat,C,C` 신뢰 플래그가 있어야 합니다.

외부 CA 인증서

외부 CA를 사용하는 경우 IdM 인증서를 확인하려면 IdM에서 외부 CA 체인을 사용할 수 있어야 합니다. CA가 없는 설치의 경우 LDAP 및 /etc/ipa/ca.crt 디렉터리에 HTTPD 및 LDAP 인증서를 검증하는 외부 CA 인증서가 다양한 위치에 있어야 합니다.

참고

설치 중에 자동으로 수행되므로 필요한 모든 위치에 외부 CA 인증서를 수동으로 추가할 필요는 없습니다. 그러나 외부 CA 인증서가 나중에 업데이트되면 외부 CA를 사용하여 IdM CA 갱신 서버 인증서 업데이트 단계를 수행하여 새 인증서가 필요한 모든 위치에 추가되었는지 확인해야 합니다.

외부 인증서	설명
파일 시스템 위치	`/etc/pki/pki-tomcat/alias nssdb` 및 `/etc/ipa/ca.crt` 에 있는 체인의 일부로 (LDAP에서 채워지기)
LDAP 위치	`CN=SUBJECT,cn=certificates,cn=ipa,cn=etc,dc=realm,dc=name and ou=authorities,ou=ca,o=ipaca`
issuer	외부 CA 서명
제목	외부 CA 제목
추가 정보	체인에 DER 형식의 모든 인증서가 있어야 하며 LDAP로 가져와야 합니다. NSS 데이터베이스에 `Cryostat,C,C` 신뢰 플래그가 있어야 합니다.

하위 시스템 CA 인증서

이 인증서는 LDAP 데이터베이스에 작성할 때 LDAP 서버를 인증하는 데 사용됩니다. 이 인증서는 CA가 없는 설치에는 없습니다.

subsystemCert	설명
파일 시스템 위치	`nickname=subsystemCert cert-pki-ca` in `/etc/pki/pki-tomcat/alias nssdb`
LDAP 위치	`uid=pkidbuser,ou=people,o=ipaca`
issuer	IPA CA
제목	`CN=CA Cryostat,O=REALM.NAME`
추가 정보	LDAP에서 직렬 및 Blob 불일치를 주의하십시오. 예를 들어 `2;SERIAL;CN=Certificate Authority,O=REALM.NAME;CN=CA Cryostat,O=REALM.NAME` 및 `userCertificate` 는 파일 시스템의 항목과 일치해야 합니다.

감사 서명 인증서

이 인증서는 감사 로그에 서명하는 데 사용됩니다. CA가 없는 설치에는 존재하지 않습니다.

auditSigningCert	설명
파일 시스템 위치	`nickname=auditSigningCert cert-pki-ca` in `/etc/pki/pki-tomcat/alias nssdb`
LDAP 위치	`ou=certificateRepository,ou=ca,o=ipaca`를 통해 공유되는 전용 LDAP 위치가 없습니다
issuer	IPA CA
제목	`CN=CA Audit,O=REALM.NAME`
추가 정보	NSS 데이터베이스에 `,,P` 신뢰 플래그가 있어야 합니다.

OCSP 서명 인증서

이 인증서는 OCSP(Online Certificate Status Protocol) 서비스를 제공하는 데 사용됩니다. CA가 없는 설치에는 존재하지 않습니다.

ocspSigningCert	설명
파일 시스템 위치	`nickname=ocspSigningCert cert-pki-ca` in `/etc/pki/pki-tomcat/alias nssdb`
LDAP 위치	`ou=certificateRepository,ou=ca,o=ipaca`를 통해 공유되는 전용 LDAP 위치가 없습니다
issuer	IPA CA
제목	`CN=OCSP Cryostat,O=REALM.NAME`
추가 정보

Tomcat 서블릿 인증서

이 인증서는 클라이언트가 PKI에 연결할 때 사용됩니다. 이 서버 인증서는 호스트에 고유하며 CA가 없는 설치에 존재하지 않습니다.

서버-인증	설명
파일 시스템 위치	/etc/pki/pki-tomcat/alias nssdb+의 nickname=Server-Cert cert-pki-ca
LDAP 위치
issuer	IPA CA
제목	CN=$HOSTNAME,O=REALM.NAME
추가 정보

등록 기관 인증서

certmonger 및 IdM 프레임워크에서 PKI에 인증하는 데 사용하는 인증서입니다. 예를 들어 ipa cert-show 1 을 실행하는 경우 HTTPD는 PKI와 통신하고 이 인증서로 인증합니다. CA가 없는 설치에는 존재하지 않습니다.

RA 에이전트	설명
파일 시스템 위치	`/var/lib/ipa/ra-agent.pem` (RHEL 7.4 이전 `/etc/httpd/alias` 에 있는 경우)
LDAP 위치	`uid=ipara,ou=people,o=ipaca`
issuer	IPA CA
제목	`CN=IPA RA,O=REALM.NAME`
추가 정보	LDAP에서 직렬 및 Blob 불일치를 주의하십시오. 예를 들어 `2;SERIAL;CN=Certificate Authority,O=REALM.NAME;CN=IPA RA, O=REALM.NAME` 및 `userCertificate` 가 파일 시스템의 항목과 일치해야 합니다.

HTTPD 프런트 엔드 인증서

HTTPD 프런트 엔드에 웹 UI 및 API에 대한 연결을 보호하는 데 사용되는 인증서입니다. 존재할 수 있어야 합니다.

HTTPD	설명
파일 시스템 위치	`/var/lib/ipa/certs/httpd.crt` (RHEL 8 이전 `/etc/httpd/alias` 에 있는 경우)
LDAP 위치
issuer	CA가 없는 설치의 IPA CA 또는 외부 CA
제목	`CN=$HOSTNAME,O=REALM.NAME`
추가 정보	사용자 이름이 `other Name = 1.3.6.1.4.1.311.20.2.3;UTF8:HTTP/$HOSTNAME@REALM, DNS name = $HOSTNAME 인 인증서 주체` 대체 이름을 포함해야 합니다.

LDAP TLS 및 STARTTLS 인증서

LDAP TLS 및 STARTTLS 연결에 사용되는 인증서입니다. 존재할 수 있어야 합니다.

LDAP	설명
파일 시스템 위치	`/etc/dirsrv/slapd-DOMAIN` NSS 데이터베이스의 `nickname=Server-Cert` ( `dse.ldif`에서 `nsSSLPersonalitySSL` 과 일치)
LDAP 위치
issuer	CA가 없는 설치의 IPA CA 또는 외부 CA
제목	`CN=$HOSTNAME,O=REALM.NAME`
추가 정보	사용자 이름이 `other Name = 1.3.6.1.4.1.311.20.2.3;UTF8:ldap/$HOSTNAME@REALM, DNS name = $HOSTNAME 인 인증서 주체` 대체 이름을 포함해야 합니다.

KDC 인증서

IdM KDC에 PKINIT에 사용되는 인증서입니다.

KDC	설명
파일 시스템 위치	`/var/kerberos/krb5kdc/kdc.crt`
LDAP 위치
issuer	CA가 없는 설치의 IPA CA 또는 외부 CA
제목	`CN=$HOSTNAME,O=REALM.NAME`
추가 정보	확장된 키 사용량 `id-pkinit-KPkdc (1.3.6.1.5.2.3.5)`, principal name as `otherName = 1.3.6.1.4.1.311.20.2.3;UTF8:krbtgt/REALM@REALM, DNS name = $HOSTNAME`.

25.2. IdM 내부 인증서

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat 소개

Red Hat legal and privacy links

Red Hat legal and privacy links