IdM의 인증서 관리

절차

1. Identity (ID) 탭에서 사용자 , 호스트 또는 서비스 하위 탭을 선택합니다.

2. 사용자, 호스트 또는 서비스의 이름을 클릭하여 구성 페이지를 엽니다.

   그림 2.1. 호스트 목록

   
3. Actions → New Certificate (새 인증서)를 클릭합니다.
4. 선택 사항: 발행 CA 및 프로필 ID를 선택합니다.
5. 화면에서 certutil 명령줄(CLI) 유틸리티를 사용하는 방법에 대한 지침을 따릅니다.
6. Issue 를 클릭합니다.

절차

1. 인증서 데이터베이스에 대한 임시 디렉터리를 생성합니다.

   # mkdir ~/certdb/

2. 새 임시 인증서 데이터베이스를 만듭니다. 예를 들면 다음과 같습니다.

   # certutil -N -d ~/certdb/

3. CSR을 생성하고 출력을 파일로 리디렉션합니다. 예를 들어 4096비트 인증서에 대한 CSR을 생성하고 이를 CN=server.example.com,O=EXAMPLE.COM 으로 설정하려면 다음을 실행합니다.

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

4. 인증서 요청 파일을 IdM 서버에서 실행 중인 CA에 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM의 ipa cert-request 명령에서는 다음과 같은 기본값을 사용합니다.

   • caIPAserviceCert 인증서 프로파일

     사용자 지정 프로필을 선택하려면 --profile-id 옵션을 사용합니다.

   • 통합 IdM 루트 CA, ipa

     하위 CA를 선택하려면 --ca 옵션을 사용합니다.

절차

1. Kerberos 보안 주체 test/server.example.com 에 대해 하나 이상의 별칭을 만듭니다. 예: test1/server.example.com 및 test2/server.example.com.

2. CSR에서 dnsName(server.example.com) 및 otherName(test2/server.example.com)에 subjectAltName을 추가합니다. 이렇게 하려면 UPN otherName 및 subjectAltName을 지정하는 다음 행을 포함하도록 openssl.conf 파일을 구성하십시오.

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

3. openssl 을 사용하여 인증서 요청을 생성합니다.

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

4. 인증서 요청 파일을 IdM 서버에서 실행 중인 CA에 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM의 ipa cert-request 명령에서는 다음과 같은 기본값을 사용합니다.

   • caIPAserviceCert 인증서 프로파일

     사용자 지정 프로필을 선택하려면 --profile-id 옵션을 사용합니다.

   • 통합 IdM 루트 CA, ipa

     하위 CA를 선택하려면 --ca 옵션을 사용합니다.

절차

1. 사용자, 호스트 또는 서비스에 대한 CSR(인증서 서명 요청)을 생성합니다. 예를 들어 openssl 유틸리티를 사용하여 client.idm.example.com에서 실행되는 HTTP 서비스에 대한 CSR을 생성하려면 다음을 입력합니다.

   # openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout new.key -out new.csr -subj '/CN=client.idm.example.com,O=IDM.EXAMPLE.COM'

   결과적으로 CSR은 new.csr 에 저장됩니다.

2. 다음 내용으로 Ansible 플레이북 파일 request-certificate.yml 을 생성합니다.

   ---
   - name: Playbook to request a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Request a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         state: requested
         csr: |
           -----BEGIN CERTIFICATE REQUEST-----
           MIGYMEwCAQAwGTEXMBUGA1UEAwwOZnJlZWlwYSBydWxlcyEwKjAFBgMrZXADIQBs
           HlqIr4b/XNK+K8QLJKIzfvuNK0buBhLz3LAzY7QDEqAAMAUGAytlcANBAF4oSCbA
           5aIPukCidnZJdr491G4LBE+URecYXsPknwYb+V+ONnf5ycZHyaFv+jkUBFGFeDgU
           SYaXm/gF8cDYjQI=
           -----END CERTIFICATE REQUEST-----
         principal: HTTP/client.idm.example.com
       register: cert

   인증서 요청을 new.csr 의 CSR으로 바꿉니다.

3. 인증서를 요청합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/request-certificate.yml

절차

1. 다음 콘텐츠를 사용하여 Ansible 플레이북 파일 revoke-certificate.yml 을 생성합니다.

   ---
   - name: Playbook to revoke a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Revoke a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         revocation_reason: "keyCompromise"
         state: revoked

2. 인증서를 취소하십시오.

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/revoke-certificate.yml

절차

1. 다음 콘텐츠를 사용하여 Ansible 플레이북 파일 restore-certificate.yml 을 생성합니다.

   ---
   - name: Playbook to restore a certificate
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Restore a certificate for a web service
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         state: released

2. 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/restore-certificate.yml

절차

1. 다음 콘텐츠를 사용하여 Ansible 플레이북 파일 retrieve-certificate.yml 을 생성합니다.

   ---
   - name: Playbook to retrieve a certificate and store it locally on the managed node
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Retrieve a certificate and save it to file 'cert.pem'
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         certificate_out: cert.pem
         state: retrieved

2. 인증서를 검색합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/retrieve-certificate.yml

절차

1. Identity 탭을 열고 사용자,호스트 또는 서비스 하위 탭을 선택합니다.
2. 사용자, 호스트 또는 서비스의 이름을 클릭하여 구성 페이지를 엽니다.

3. Certificates (인증서) 항목 옆에 있는 Add (추가)를 클릭합니다.

   그림 4.1. 사용자 계정에 인증서 추가

   
4. Base64 또는 PEM으로 인코딩된 형식으로 인증서를 붙여넣고 텍스트 필드에 인증서를 붙여넣고 추가를 클릭합니다.
5. 저장을 클릭하여 변경 사항을 저장합니다.

절차

1. Identity 탭을 열고 사용자,호스트 또는 서비스 하위 탭을 선택합니다.
2. 사용자, 호스트 또는 서비스의 이름을 클릭하여 구성 페이지를 엽니다.
3. 삭제할 인증서 옆에 있는 작업을 클릭하고 삭제를 선택합니다.
4. 저장을 클릭하여 변경 사항을 저장합니다.

절차

1. 기존 기본 프로필을 복사하여 사용자 정의 프로필을 생성합니다.

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert
   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

2. 텍스트 편집기에서 새로 생성된 프로필 구성 파일을 엽니다.

   $ vi  smime.cfg

3. 프로필 ID 를 프로필 사용을 반영하는 이름으로 변경합니다(예: smime ).

   참고

   새로 생성된 프로필을 가져올 때 profileId 필드가 있는 경우 명령줄에 지정된 ID와 일치해야 합니다.

4. 확장 키 사용 구성을 업데이트합니다. 기본 확장 키 사용 확장 구성은 TLS 서버 및 클라이언트 인증에 사용됩니다. 예를 들어 S/MIME의 경우 이메일 보호를 위해 확장 키 사용을 구성해야 합니다.

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

5. 새 프로필을 가져옵니다.

   $ ipa certprofile-import smime --file smime.cfg \
     --desc "S/MIME certificates" --store TRUE
   
   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

절차

1. 인증서 프로필의 사용자를 위한 새 그룹을 생성합니다.

   $ ipa group-add smime_users_group
   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

2. smime_user_group 그룹에 추가할 새 사용자를 생성합니다.

   $ ipa user-add smime_user
   First name: smime
   Last name: user
   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

3. smime_user 를 smime_users_group 그룹에 추가합니다.

   $ ipa group-add-member smime_users_group --users=smime_user
     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user
   -------------------------
   Number of members added 1
   -------------------------

4. 그룹의 사용자가 인증서 프로필에 액세스할 수 있도록 CA ACL을 만듭니다.

   $ ipa caacl-add smime_acl
   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

5. CA ACL에 사용자 그룹을 추가합니다.

   $ ipa caacl-add-user smime_acl --group smime_users_group
     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

6. CA ACL에 인증서 프로필을 추가합니다.

   $ ipa caacl-add-profile smime_acl --certprofile smime
     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

절차

1. 사용자에 대한 인증서 요청을 생성합니다. 예를 들어 OpenSSL을 사용합니다.

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

2. IdM CA에서 사용자의 새 인증서를 요청합니다.

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   선택적으로 --ca 하위-CA_name 옵션을 명령에 전달하여 루트 CA 대신 하위 CA에서 인증서를 요청합니다.

절차

1. 수정 중인 인증서 프로필의 인증서 프로필 ID를 확인합니다. IdM에 현재 저장된 모든 인증서 프로필을 표시하려면 다음을 수행합니다.

   # ipa certprofile-find
   
   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

2. 인증서 프로필 설명을 수정합니다. 예를 들어 기존 프로필을 사용하여 S/MIME 인증서에 대한 사용자 정의 인증서 프로필을 생성한 경우 새 사용과 함께 설명을 변경합니다.

   # ipa certprofile-mod smime --desc "New certificate profile description"
   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

3. 텍스트 편집기에서 고객 인증서 프로필 파일을 열고 요구 사항에 맞게 수정합니다.

   # vi smime.cfg

   인증서 프로필 구성 파일에서 구성할 수 있는 옵션에 대한 자세한 내용은 인증서 프로필 구성 매개 변수를 참조하십시오.

4. 기존 인증서 프로필 구성 파일을 업데이트합니다.

   # ipa certprofile-mod _profile_ID_ --file=smime.cfg

절차

1. 인증 메뉴에서 인증서 > 인증서 를 클릭합니다.

2. 인증서의 일련 번호를 클릭하여 인증서 정보 페이지를 엽니다.

   그림 7.1. 인증서 목록

   
3. 인증서 정보 페이지에서 Expires On 정보를 찾습니다.

1. PEM 형식으로 CA 인증서를 사용하여 파일을 가져옵니다.
2. 내장된 ipa-advise 스크립트를 실행합니다.
3. 시스템 구성을 다시 로드합니다.

절차

1. 구성을 수행할 디렉터리를 만듭니다.

   [root@server]# mkdir ~/SmartCard/

2. 디렉터리로 이동합니다.

   [root@server]# cd ~/SmartCard/

3. PEM 형식으로 파일에 저장된 관련 CA 인증서를 가져옵니다. CA 인증서가 DER와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다. IdM 인증 기관 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

   DER 파일을 PEM 파일로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

4. 쉽게 구성을 수행할 디렉터리에 인증서를 복사합니다.

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

5. 선택 사항: 외부 인증 기관의 인증서를 사용하는 경우 openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 발급 자 및 주체 값이 올바른지 확인합니다.

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

6. 관리자의 권한을 사용하여 기본 제공된 ipa-advise 유틸리티로 구성 스크립트를 생성합니다.

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   config-server-for-smart-card-auth.sh 스크립트는 다음 작업을 수행합니다.

   • IdM Apache HTTP 서버를 구성합니다.
   • KDC(Key Distribution Center)에서 Kerberos(PKINIT)의 초기 인증용 공개 키 암호화가 가능합니다.
   • 스마트 카드 인증 요청을 수락하도록 IdM 웹 UI를 구성합니다.

7. 스크립트를 실행하고 루트 CA 및 하위 CA 인증서가 포함된 PEM 파일을 인수로 추가합니다.

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   참고

   하위 CA 인증서 및 CA 또는 하위 CA 인증서가 만료되지 않았는지 루트 CA 인증서를 인수로 추가해야 합니다.

8. 선택 사항: 사용자 인증서를 발급한 인증 기관이 OCSP 응답자를 제공하지 않는 경우 IdM 웹 UI에 대한 인증을 위해 OCSP 검사를 비활성화해야 할 수 있습니다.

   1. /etc/httpd/conf.d/ssl.conf 파일에서 SSLOCSPEnable 매개변수를 off 로 설정합니다.

      SSLOCSPEnable off

   2. 변경 사항이 즉시 적용되도록 Apache 데몬(httpd)을 다시 시작합니다.

      [root@server SmartCard]# systemctl restart httpd

   주의

   IdM CA에서 발급한 사용자 인증서만 사용하는 경우 OCSP 검사를 비활성화하지 마십시오. OCSP 응답자는 IdM의 일부입니다.

   OCSP 검사를 계속 활성화하는 방법에 대한 자세한 내용은 사용자 인증서가 OCSP 서비스 요청을 수신하는 CA에 대한 정보가 포함되어 있지 않은 경우, Apache mod_ssl 구성 옵션 의 SSLOCSPDefaultResponder 지시문을 참조하십시오.

절차

1. CA 인증서가 DER 와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM 인증 기관 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

2. 선택 사항: openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 발급 자 및 주체 값이 올바른지 확인합니다.

   # openssl x509 -noout -text -in root-ca.pem | more

3. ~/MyPlaybook/ 디렉토리로 이동합니다.

   $ cd ~/MyPlaybooks/

4. CA 인증서 전용 하위 디렉터리를 생성합니다.

   $ mkdir SmartCard/

5. 편의를 위해 필요한 모든 인증서를 ~/MyPlaybook/SmartCard/ 디렉터리에 복사합니다.

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. Ansible 인벤토리 파일에서 다음을 지정합니다.

   • 스마트 카드 인증을 위해 구성할 IdM 서버입니다.
   • IdM 관리자 암호입니다.

   • 다음 순서로 CA 인증서의 경로입니다.

     • 루트 CA 인증서 파일
     • 중간 CA 인증서 파일
     • IdM CA 인증서 파일

   파일은 다음과 같습니다.

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 다음 콘텐츠를 사용하여 install-smartcard-server.yml 플레이북을 생성합니다.

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

8. 파일을 저장합니다.

9. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   ipasmartcard_server Ansible 역할은 다음 작업을 수행합니다.

   • IdM Apache HTTP 서버를 구성합니다.
   • KDC(Key Distribution Center)에서 Kerberos(PKINIT)의 초기 인증용 공개 키 암호화가 가능합니다.
   • 스마트 카드 인증 요청을 수락하도록 IdM 웹 UI를 구성합니다.

10. 선택 사항: 사용자 인증서를 발급한 인증 기관이 OCSP 응답자를 제공하지 않는 경우 IdM 웹 UI에 대한 인증을 위해 OCSP 검사를 비활성화해야 할 수 있습니다.

    1. root 로 IdM 서버에 연결합니다.

       ssh root@ipaserver.idm.example.com

    2. /etc/httpd/conf.d/ssl.conf 파일에서 SSLOCSPEnable 매개변수를 off 로 설정합니다.

       SSLOCSPEnable off

    3. 변경 사항이 즉시 적용되도록 Apache 데몬(httpd)을 다시 시작합니다.

       # systemctl restart httpd

    주의

    IdM CA에서 발급한 사용자 인증서만 사용하는 경우 OCSP 검사를 비활성화하지 마십시오. OCSP 응답자는 IdM의 일부입니다.

    OCSP 검사를 계속 활성화하는 방법에 대한 자세한 내용은 사용자 인증서가 OCSP 서비스 요청을 수신하는 CA에 대한 정보가 포함되어 있지 않은 경우, Apache mod_ssl 구성 옵션 의 SSLOCSPDefaultResponder 지시문을 참조하십시오.

절차

1. IdM 서버에서 관리자 권한을 사용하여 ipa-advise 로 구성 스크립트를 생성합니다.

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   config-client-for-smart-card-auth.sh 스크립트는 다음 작업을 수행합니다.

   • 스마트 카드 데몬을 구성합니다.
   • 시스템 전체 신뢰 저장소를 설정합니다.
   • 사용자가 사용자 이름 및 암호 또는 스마트 카드로 인증할 수 있도록 SSSD(System Security Services Daemon)를 구성합니다. 스마트 카드 인증에 대한 SSSD 프로필 옵션에 대한 자세한 내용은 RHEL의 스마트 카드 인증 옵션을 참조하십시오.

2. IdM 서버에서 IdM 클라이언트 시스템에서 선택한 디렉터리에 스크립트를 복사합니다.

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

3. IdM 서버에서 이전 단계에서 사용된 것과 동일한 디렉터리에 편의를 위해 PEM 형식으로 CA 인증서 파일을 복사합니다.

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

4. 클라이언트 시스템에서 스크립트를 실행하고 CA 인증서가 포함된 PEM 파일을 인수로 추가합니다.

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   참고

   하위 CA 인증서 및 CA 또는 하위 CA 인증서가 만료되지 않았는지 루트 CA 인증서를 인수로 추가해야 합니다.

절차

1. CA 인증서가 DER 와 같은 다른 형식의 파일에 저장된 경우 PEM 형식으로 변환합니다.

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 인증서는 PEM 형식이며 /etc/ipa/ca.crt 파일에 있습니다.

2. 선택 사항: openssl x509 유틸리티를 사용하여 PEM 형식의 파일 내용을 보고 발급 자 및 주체 값이 올바른지 확인합니다.

   # openssl x509 -noout -text -in root-ca.pem | more

3. Ansible 제어 노드에서 ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

4. CA 인증서 전용 하위 디렉터리를 생성합니다.

   $ mkdir SmartCard/

5. 편의를 위해 필요한 모든 인증서를 ~/MyPlaybook/SmartCard/ 디렉터리에 복사합니다. 예를 들면 다음과 같습니다.

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. Ansible 인벤토리 파일에서 다음을 지정합니다.

   • 스마트 카드 인증을 위해 구성할 IdM 클라이언트입니다.
   • IdM 관리자 암호입니다.

   • 다음 순서로 CA 인증서의 경로입니다.

     • 루트 CA 인증서 파일
     • 중간 CA 인증서 파일
     • IdM CA 인증서 파일

   파일은 다음과 같습니다.

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 다음 콘텐츠를 사용하여 install-smartcard-clients.yml 플레이북을 생성합니다.

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. 파일을 저장합니다.

9. Ansible 플레이북을 실행합니다. Playbook 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible 역할은 다음 작업을 수행합니다.

   • 스마트 카드 데몬을 구성합니다.
   • 시스템 전체 신뢰 저장소를 설정합니다.
   • 사용자가 사용자 이름 및 암호 또는 스마트 카드로 인증할 수 있도록 SSSD(System Security Services Daemon)를 구성합니다. 스마트 카드 인증에 대한 SSSD 프로필 옵션에 대한 자세한 내용은 RHEL의 스마트 카드 인증 옵션을 참조하십시오.

절차

1. 다른 사용자에게 인증서를 추가하려면 IdM 웹 UI에 관리자로 로그인합니다. 고유한 프로필에 인증서를 추가하는 경우 관리자의 인증 정보가 필요하지 않습니다.
2. 사용자 → 활성 사용자 → sc_user 로 이동합니다.
3. 인증서 옵션을 찾고 추가를 클릭합니다.

4. 명령줄 인터페이스에서 cat 유틸리티 또는 텍스트 편집기를 사용하여 PEM 형식으로 인증서를 표시합니다.

   [user@client SmartCard]$ cat testuser.crt

5. CLI의 인증서를 복사하여 웹 UI에서 열린 창에 붙여넣습니다.

6. 추가를 클릭합니다.

   그림 8.1. IdM 웹 UI에 새 인증서 추가

   

절차

1. 다른 사용자에게 인증서를 추가하려면 IdM CLI에 관리자로 로그인합니다.

   [user@client SmartCard]$ kinit admin

   고유한 프로필에 인증서를 추가하는 경우 관리자의 인증 정보가 필요하지 않습니다.

   [user@client SmartCard]$ kinit sc_user

2. ipa user-add-cert 명령에서 예상되는 형식인 헤더 및 푸너가 제거되고 연결된 인증서가 포함된 환경 변수를 생성합니다.

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   testuser.crt 파일의 인증서는 PEM 형식이어야 합니다.

3. ipa user-add-cert 명령을 사용하여 sc_user의 프로필에 인증서를 추가합니다.

   [user@client SmartCard]$ ipa user-add-cert sc_user --certificate=$CERT

절차

1. opensc 및 gnutls-utils 패키지를 설치합니다.

   # dnf -y install opensc gnutls-utils

2. pcscd 서비스를 시작합니다.

   # systemctl start pcscd

절차

1. 스마트 카드를 지우고 Pin을 사용하여 사용자를 인증합니다.

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   카드가 삭제 되었습니다.

2. 스마트 카드를 초기화하고, 사용자 Pin 및 PUK를 설정하고, 보안 사무실자 Pin 및 PUK를 설정합니다.

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \ --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   speeds ks15-init 툴은 스마트 카드에 새 슬롯을 만듭니다.

3. 슬롯의 라벨 및 인증 ID를 설정합니다.

   $ pkcs15-init --store-pin --label testuser \ --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   레이블은 사람이 읽을 수 있는 값(이 경우 testuser )으로 설정됩니다. auth-id 는 두 개의 16진수 값이어야 합니다. 이 경우 01 로 설정됩니다.

4. 스마트 카드의 새 슬롯에 개인 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \ --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   참고

   --id 에 지정하는 값은 개인 키를 저장하고 다음 단계에 인증서를 저장할 때 동일해야 합니다. 도구에서 더 복잡한 값을 계산하므로 --id 에 대해 자체 값을 지정하는 것이 좋습니다.

5. 스마트 카드의 새 슬롯에 인증서를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \ --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 선택 사항: 스마트 카드의 새 슬롯에 공개 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-public-key testuserpublic.key --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   참고

   공개 키가 개인 키 또는 인증서에 해당하는 경우 개인 키 또는 인증서의 ID와 동일한 ID를 지정합니다.

7. 선택 사항: 특정 스마트 카드를 사용하려면 설정을 잠그어 카드를 종료해야 합니다.

   $ pkcs15-init -F

   이 단계에서 스마트 카드에는 새로 생성된 슬롯에 인증서, 개인 키 및 공개 키가 포함됩니다. 또한 사용자 Pin 및 PUK 및 Security Officer Pin 및 PUK를 생성했습니다.

절차

1. 브라우저에서 IdM 웹 UI를 엽니다.

2. 인증서를 사용하여 로그인을 클릭합니다.

   

3. Password Required (암호 필요) 대화 상자가 열리면, 스마트 카드 잠금을 해제하는 pin을 추가하고 OK 버튼을 클릭합니다.

   사용자 식별 요청 대화 상자가 열립니다.

   스마트 카드에 두 개 이상의 인증서가 포함된 경우 드롭다운 목록에서 인증에 사용할 인증서를 선택합니다. 인증서 선택.

4. OK 버튼을 클릭합니다.

절차

1. 리더에 스마트 카드를 삽입합니다.
2. 스마트 카드 Pin을 입력합니다.
3. Sign In 을 클릭합니다.

절차

1. IdM 서버에서 연결하고 adcs-winserver-ca.cer 루트 인증서를 IdM 서버에 복사합니다.

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <Path to certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <Path to certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <Path to certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

2. IdM 클라이언트에서 연결하고 aduser1.pfx 사용자 인증서를 클라이언트에 복사합니다.

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<Path to certificates>
   sftp> get aduser1.pfx
   Fetching <Path to certificates>/aduser1.pfx to aduser1.pfx
   <Path to certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

절차

1. IdM 서버에서 ipa-advise 스크립트를 사용하여 클라이언트를 구성합니다.

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

2. IdM 서버에서 ipa-advise 스크립트를 사용하여 서버 구성을 수행합니다.

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

3. IdM 서버에서 스크립트를 실행합니다.

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   • IdM Apache HTTP 서버를 구성합니다.
   • KDC(Key Distribution Center)에서 Kerberos(PKINIT)의 초기 인증용 공개 키 암호화가 가능합니다.
   • 스마트 카드 인증 요청을 수락하도록 IdM 웹 UI를 구성합니다.

4. sc_client.sh 스크립트를 클라이언트 시스템에 복사합니다.

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

5. Windows 인증서를 클라이언트 시스템에 복사합니다.

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

6. 클라이언트 시스템에서 클라이언트 스크립트를 실행합니다.

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

절차

1. IdM 클라이언트에서 PEM 형식으로 되어 있습니다.

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

2. 키를 별도의 파일에 추출합니다.

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

3. 공용 인증서를 별도의 파일에 추출합니다.

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

절차

1. opensc 및 gnutls-utils 패키지를 설치합니다.

   # dnf -y install opensc gnutls-utils

2. pcscd 서비스를 시작합니다.

   # systemctl start pcscd

절차

1. 스마트 카드를 지우고 Pin을 사용하여 사용자를 인증합니다.

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   카드가 삭제 되었습니다.

2. 스마트 카드를 초기화하고, 사용자 Pin 및 PUK를 설정하고, 보안 사무실자 Pin 및 PUK를 설정합니다.

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \ --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   speeds ks15-init 툴은 스마트 카드에 새 슬롯을 만듭니다.

3. 슬롯의 라벨 및 인증 ID를 설정합니다.

   $ pkcs15-init --store-pin --label testuser \ --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   레이블은 사람이 읽을 수 있는 값(이 경우 testuser )으로 설정됩니다. auth-id 는 두 개의 16진수 값이어야 합니다. 이 경우 01 로 설정됩니다.

4. 스마트 카드의 새 슬롯에 개인 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \ --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   참고

   --id 에 지정하는 값은 개인 키를 저장하고 다음 단계에 인증서를 저장할 때 동일해야 합니다. 도구에서 더 복잡한 값을 계산하므로 --id 에 대해 자체 값을 지정하는 것이 좋습니다.

5. 스마트 카드의 새 슬롯에 인증서를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \ --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 선택 사항: 스마트 카드의 새 슬롯에 공개 키를 저장하고 레이블을 지정합니다.

   $ pkcs15-init --store-public-key testuserpublic.key --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   참고

   공개 키가 개인 키 또는 인증서에 해당하는 경우 개인 키 또는 인증서의 ID와 동일한 ID를 지정합니다.

7. 선택 사항: 특정 스마트 카드를 사용하려면 설정을 잠그어 카드를 종료해야 합니다.

   $ pkcs15-init -F

   이 단계에서 스마트 카드에는 새로 생성된 슬롯에 인증서, 개인 키 및 공개 키가 포함됩니다. 또한 사용자 Pin 및 PUK 및 Security Officer Pin 및 PUK를 생성했습니다.

절차

1. sssd.conf 파일을 엽니다.

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

2. p11_child_timeout 의 값을 변경합니다.

   [pam]
   p11_child_timeout = 60

3. NetNamespace 5_auth_timeout 의 값을 변경합니다.

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

4. 설정을 저장합니다.

1. 관리자는 인증서 매핑 데이터 또는 전체 인증서를 사용자 계정으로 로드해야 합니다.
2. 관리자는 인증서의 정보와 일치하는 인증서 매핑 데이터 항목이 포함된 사용자에 대해 IdM에 성공적으로 로그인할 수 있도록 인증서 매핑 규칙을 생성해야 합니다.

절차

1. 필요한 데이터를 검색할 수 있도록 인증서가 올바르게 인코딩되었는지 확인하는 변수를 만듭니다.

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

2. sssctl cert-eval-rule 을 사용하여 일치하는 데이터를 확인합니다. 다음 예제에서는 인증서 일련 번호가 사용됩니다.

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   이 경우 altSecurityIdentities= 후 모든 항목을 AD의 altSecurityIdentities 속성에 추가합니다. SKI 매핑을 사용하는 경우 --map='LDAPU1:(altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})' 를 사용합니다.

3. 선택 사항: 인증서 발행자가 ad.example.com 도메인의 dcs19- Cryostat1-CA 와 일치해야 함을 지정하는 일치 규칙에 따라 CLI에 새 매핑 규칙을 생성하려면 사용자 계정의 altSecurityIdentities 항목과 일치해야 합니다.

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

1. Identity Management 서버에서 관리자 권한을 얻고 서버를 구성하는 쉘 스크립트를 생성합니다.

   1. ipa-advise config-server-for-smart-card-auth 명령을 실행하고 출력을 파일에 저장합니다(예: server_certificate_script.sh ):

      # kinit admin
      # ipa-advise config-server-for-smart-card-auth > server_certificate_script.sh

   2. pkexec 유틸리티를 사용하여 파일에 실행 권한을 추가합니다.

      # chmod +x server_certificate_script.sh

2. Identity Management 도메인의 모든 서버에서 server_certificate_script.sh 스크립트를 실행합니다.

   1. IdM CA가 인증서 인증을 활성화하려는 사용자의 인증서를 발급한 유일한 인증 기관인 경우 입력으로서 IdM 인증 기관의 경로 /etc/ipa/ca.crt 입니다.

      # ./server_certificate_script.sh /etc/ipa/ca.crt

   2. 다른 외부 CA가 인증서 인증을 활성화하려는 사용자의 인증서에 서명하면 관련 CA 인증서가 입력으로 발생합니다.

      # ./server_certificate_script.sh /tmp/ca1.pem /tmp/ca2.pem

절차

1. 선택 사항: 새 디렉터리(예: ~/certdb/ )를 생성하고 임시 인증서 데이터베이스로 설정합니다. 메시지가 표시되면 NSS 인증서 DB 암호를 생성하여 후속 단계에서 생성할 인증서에 대한 키를 암호화합니다.

   # mkdir ~/certdb/
   # certutil -N -d ~/certdb/
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:

2. CSR(인증서 서명 요청)을 생성하고 출력을 파일로 리디렉션합니다. 예를 들어 IDM.EXAMPLE.COM 영역에 있는 idm_user 사용자의 4096 비트 인증서에 대해 certificate_request.csr 이라는 이름으로 CSR을 생성하려면 인증서 개인 키의 nickname을 쉽게 찾을 수 있도록 idm_user 로 설정하고 CN=idm_user,O=IDMM.EXALE :COM으로 설정합니다.

   # certutil -R -d ~/certdb/ -a -g 4096 -n idm_user -s "CN=idm_user,O=IDM.EXAMPLE.COM" > certificate_request.csr

3. 메시지가 표시되면 certutil 을 사용하여 임시 데이터베이스를 생성할 때 입력한 암호와 동일한 암호를 입력합니다. 다음으로 중지될 때까지 randlomly를 계속 입력합니다.

   Enter Password or Pin for "NSS Certificate DB":
   
   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:

4. 인증서 요청 파일을 서버에 제출합니다. 새로 발급된 인증서, 인증서를 저장할 출력 파일, 선택적으로 인증서 프로필과 연결할 Kerberos 주체를 지정합니다. 예를 들어 IECUserRoles 프로필의 인증서를 얻으려면 사용자 역할 확장이 추가된 프로필인 idm_user@IDM.EXAMPLE.COM 주체의 경우 ~/idm_user.pem 파일에 저장합니다.

   # ipa cert-request certificate_request.csr --principal=idm_user@IDM.EXAMPLE.COM --profile-id=IECUserRoles --certificate-out=~/idm_user.pem

5. NSS 데이터베이스에 인증서를 추가합니다. -n 옵션을 사용하여 이전에 CSR을 생성할 때 사용한 것과 동일한 nickname을 설정하여 인증서가 NSS 데이터베이스의 개인 키와 일치하도록 합니다. t 옵션은 신뢰 수준을 설정합니다. 자세한 내용은 certutil(1) 매뉴얼 페이지를 참조하십시오. i 옵션은 입력 인증서 파일을 지정합니다. 예를 들어 NSS 데이터베이스에 ~/certdb/ 데이터베이스의 ~/ idm_user.pem 파일에 저장된 idm_user nickname을 사용하여 인증서를 추가하려면 다음을 수행합니다.

   # certutil -A -d ~/certdb/ -n idm_user -t "P,," -i ~/idm_user.pem

6. NSS 데이터베이스의 키가 닉네임 (orphan) 으로 표시되지 않는지 확인합니다. 예를 들어 ~/certdb/ 데이터베이스에 저장된 인증서가 분리되지 않았는지 확인하려면 다음을 수행합니다.

   # certutil -K -d ~/certdb/
   < 0> rsa      5ad14d41463b87a095b1896cf0068ccc467df395   NSS Certificate DB:idm_user

7. pk12util 명령을 사용하여 NSS 데이터베이스에서 PKCS12 형식으로 인증서를 내보냅니다. 예를 들어 idm_user nickname을 사용하여 인증서를 /root/certdb NSS 데이터베이스에서 ~/idm_user.p12 파일로 내보내려면 다음을 실행합니다.

   # pk12util -d ~/certdb -o ~/idm_user.p12 -n idm_user
   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL

8. idm_user 의 인증서 인증을 활성화할 호스트에 인증서를 전송합니다.

   # scp ~/idm_user.p12 idm_user@client.idm.example.com:/home/idm_user/

9. 인증서가 전송된 호스트에서 .pkcs12 파일이 저장된 디렉토리를 보안상의 이유로 'other' 그룹에 저장할 수 없도록 합니다.

   # chmod o-rwx /home/idm_user/

10. 보안상의 이유로 서버에서 임시 NSS 데이터베이스 및 .pkcs12 파일을 제거하십시오.

    # rm ~/certdb/
    # rm ~/idm_user.p12

절차

1. Firefox를 연 다음 기본 설정 → 개인 정보 보호 및 보안 으로 이동합니다.

   그림 11.1. 기본 설정의 개인 정보 및 보안 섹션

   

2. View Certificates (인증서 보기)를 클릭합니다.

   그림 11.2. 개인 정보 보호 및 보안의 인증서 보기

   
3. 인증서 탭에서 가져오기 를 클릭합니다. PKCS12 형식으로 사용자 인증서를 찾아서 연 다음 확인 및 확인을 클릭합니다.

4. Firefox에서 Identity Management 인증 기관을 신뢰할 수 있는 기관으로 인식했는지 확인합니다.

   1. IdM CA 인증서를 로컬에 저장합니다.

      • Firefox 주소 표시줄에 IdM 서버 이름을 작성하여 IdM 웹 UI로 이동합니다. Insecure Connection 경고 페이지에서 Advanced 를 클릭합니다.

        그림 11.3. 비보안 연결

        

      • 예외를 추가합니다. View 를 클릭합니다.

        그림 11.4. 인증서 세부 정보 보기

        

      • Details (세부 정보) 탭에서 Certificate Authority 필드를 강조 표시합니다.

        그림 11.5. CA 인증서 내보내기

        
      • Export. 예를 들어 CertificateAuthority.crt 파일과 같은 CA 인증서를 저장한 다음 닫기 를 클릭하고 취소를 클릭합니다.

   2. IdM CA 인증서를 신뢰할 수 있는 인증 기관 인증서로 Firefox로 가져옵니다.

      • Firefox를 열고 기본 설정으로 이동하고 개인 정보 및 보안을 클릭합니다.

        그림 11.6. 기본 설정의 개인 정보 및 보안 섹션

        

      • View Certificates (인증서 보기)를 클릭합니다.

        그림 11.7. 개인 정보 보호 및 보안의 인증서 보기

        
      • Authorities (권한) 탭에서 Import (가져오기)를 클릭합니다. CertificateAuthority.crt 파일에서 이전 단계에서 저장한 CA 인증서를 찾아서 엽니다. 인증서를 신뢰하여 웹 사이트를 식별한 다음 확인을 클릭하고 확인을 클릭합니다.
5. Identity Management User로 인증서를 사용하여 ID 관리 웹 UI를 계속 인증합니다.

절차

1. 브라우저에서 에서 ID 관리 웹 UI로 이동합니다(예: https://server.idm.example.com/ipa/ui ).

2. 인증서를 사용하여 로그인을 클릭합니다.

   그림 11.8. Identity Management 웹 UI에서 인증서를 사용하여 로그인

   
3. 사용자 인증서가 이미 선택되어 있어야 합니다. Remember this decision.를 선택 해제한 다음 확인을 클릭합니다.

절차

1. IdM 관리자 자격 증명을 가져옵니다.

   ~]$ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

2. 선택 사항: 배포에 있는 IdM 서버에 새 CA 갱신 서버가 되는 데 필요한 CA 역할이 있는지 확인하려면 다음을 수행합니다.

   ~]$ ipa server-role-find --role 'CA server'
   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   배포에는 두 개의 CA 서버가 있습니다.

3. optionALL: 현재 CA 갱신 서버인 CA 서버를 확인하려면 다음을 입력합니다.

   ~]$ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   현재 갱신 서버는 server.idm.example.com 입니다.

4. 갱신 서버 구성을 변경하려면 --ca-renewal-master-server 옵션과 함께 ipa config-mod 유틸리티를 사용합니다.

   ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
     IPA CA renewal master: replica.idm.example.com

   중요

   다음을 사용하여 새 CA 갱신 서버로 전환할 수도 있습니다.

   • ipa-cacert-manage --renew 명령. 이 명령은 둘 다 CA 인증서를 갱신 하고 새 CA 갱신 서버를 실행하는 CA 서버를 만듭니다.

   • ipa-cert-fix 명령 이 명령은 만료된 인증서로 인해 오류가 발생하면 배포를 복구합니다. 또한 명령을 새 CA 갱신 서버로 실행하는 CA 서버를 만듭니다.

     자세한 내용은 IdM이 오프라인인 경우 만료된 시스템 인증서 갱신을 참조하십시오.

절차

1. IdM CA 갱신 서버에서 CA 인증서를 자체 서명으로 갱신합니다.

   # ipa-cacert-manage renew --self-signed
   Renewing CA certificate, please wait
   CA certificate successfully renewed
   The ipa-cacert-manage command was successful

2. 나머지 IdM 서버 및 클라이언트에 root 로 SSH 를 수행합니다. 예를 들어 다음과 같습니다.

   # ssh root@idmclient01.idm.example.com

3. IdM 클라이언트에서 서버의 인증서로 로컬 IdM 인증서 데이터베이스를 업데이트합니다.

   [idmclient01 ~]# ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

검증

1. 업데이트가 성공했는지 확인하고 새 CA 인증서가 /etc/ipa/ca.crt 파일에 추가되었습니다.

   [idmclient01 ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   새 CA 인증서가 이전 CA 인증서를 사용하여 나열되므로 출력에 업데이트가 성공한 것으로 표시됩니다.

1. 외부 CA에 제출할 CSR을 생성합니다.

   • 외부 CA가 AD CS인 경우 --external-ca-type=ms-cs 옵션을 사용합니다. 기본 subCA 템플릿과 다른 템플릿을 원하는 경우 --external-ca-profile 옵션을 사용하여 지정합니다.

     ~]# ipa-cacert-manage renew --external-ca --external-ca-type=ms-cs [--external-ca-profile=PROFILE]
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

   • 외부 CA가 AD CS가 아닌 경우:

     ~]# ipa-cacert-manage renew --external-ca
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

     출력은 CSR이 생성되었으며 /var/lib/ipa/ca.csr 파일에 저장되어 있음을 보여줍니다.

2. /var/lib/ipa/ca.csr 에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

3. 발행된 인증서와 권한 있는 Blob에 대해 발행된 CA의 CA 인증서 체인(CA 인증서 체인)을 검색합니다.

   • 외부 CA가 AD CS가 아닌 경우 PEM 파일입니다.

   • 외부 CA가 AD CS인 경우 Base_64 인증서입니다.

     이 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

     외부 CA가 AD CS이고 Microsoft Windows 인증 기관 관리 창을 통해 알려진 템플릿이 있는 CSR을 제출한 경우 AD CS가 인증서를 즉시 발행하고 Save Certificate 대화 상자가 AD CS 웹 인터페이스에 표시되어 발급된 인증서를 저장할 위치를 묻는 메시지가 표시됩니다.

4. ipa-cacert-manage renew 명령을 다시 실행하여 전체 인증서 체인을 제공하는 데 필요한 모든 CA 인증서 파일을 추가합니다. --external-cert-file 옵션을 여러 번 사용하여 필요한 만큼 파일을 지정합니다.

   ~]# ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate_1 --external-cert-file=/path/to/external_ca_certificate_2

5. 모든 IdM 서버 및 클라이언트에서 서버의 인증서로 로컬 IdM 인증서 데이터베이스를 업데이트합니다.

   [client ~]$ ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

검증

1. 업데이트가 성공했는지 확인하고 새 CA 인증서가 /etc/ipa/ca.crt 파일에 추가되었습니다.

   [client ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   새 CA 인증서가 이전 CA 인증서를 사용하여 나열되므로 출력에 업데이트가 성공한 것으로 표시됩니다.

절차

1. 선택 사항: 시스템을 백업합니다. ipa-cert-fix 가 nssdbs 에 대한 되돌릴 수 없는 변경을 수행하기 때문에 이는 매우 권장됩니다. ipa-cert-fix 도 LDAP를 변경하므로 전체 클러스터를 백업하는 것이 좋습니다.

2. ipa-cert-fix 툴을 시작하여 시스템을 분석하고 갱신이 필요한 만료된 인증서를 나열합니다.

   # ipa-cert-fix
   ...
   The following certificates will be renewed:
   
   Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  13
     Expires: 2019-05-12 05:55:47
   ...
   Enter "yes" to proceed:

3. yes 를 입력하여 갱신 프로세스를 시작합니다.

   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  268369925
     Expires: 2021-08-14 02:19:33
   ...
   
   Becoming renewal master.
   The ipa-cert-fix command was successful

   ipa-cert-fix 가 만료된 모든 인증서를 갱신하기까지 최대 1분 정도 걸릴 수 있습니다.

검증

1. 모든 서비스가 실행 중인지 확인합니다.

   # ipactl status
   Directory Service: RUNNING
   krb5kdc Service: RUNNING
   kadmin Service: RUNNING
   httpd Service: RUNNING
   ipa-custodia Service: RUNNING
   pki-tomcatd Service: RUNNING
   ipa-otpd Service: RUNNING
   ipa: INFO: The ipactl command was successful

절차

1. --force 매개변수를 사용하여 IdM을 다시 시작합니다.

   # ipactl restart --force

   --force 매개변수를 사용하면 ipactl 유틸리티에서 개별 서비스 시작 실패를 무시합니다. 예를 들어 서버가 만료된 인증서가 있는 CA인 경우 pki-tomcat 서비스가 시작되지 않습니다. 이는 --force 매개변수를 사용하므로 예상되고 무시됩니다.

2. 다시 시작한 후 certmonger 서비스가 인증서를 갱신했는지 확인합니다(인증서 상태가 MONITORING으로 표시됨).

   # getcert list | egrep '^Request|status:|subject:'
   Request ID '20190522120745':
           status: MONITORING
           subject: CN=IPA RA,O=EXAMPLE.COM 201905222205
   Request ID '20190522120834':
           status: MONITORING
           subject: CN=Certificate Authority,O=EXAMPLE.COM 201905222205
   ...

   certmonger 가 복제본의 공유 인증서를 갱신하는 데 다소 시간이 걸릴 수 있습니다.

3. 서버가 CA이기도 한 경우 이전 명령은 pki-tomcat 서비스에서 사용하는 인증서에 CA_UNREACHABLE 을 보고합니다.

   Request ID '20190522120835':
           status: CA_UNREACHABLE
           subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
   ...

4. 이 인증서를 갱신하려면 ipa-cert-fix 유틸리티를 사용하십시오.

   # ipa-cert-fix
   Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM
     Serial:  3
     Expires: 2019-05-11 12:07:11
   
   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
     Serial:  15
     Expires: 2019-08-14 04:25:05
   
   The ipa-cert-fix command was successful

절차

1. 서버가 CRL을 생성 중인지 확인합니다.

   [root@server ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. 서버에서 CRL 생성을 중지합니다.

   [root@server ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. 서버가 CRL 생성을 중지했는지 확인합니다.

   [root@server ~]# ipa-crlgen-manage status

절차

1. CRL 생성을 시작합니다.

   [root@replica1 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

2. CRL이 생성되었는지 확인합니다.

   [root@replica1 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:10:00
   Last CRL Number: 7
   The ipa-crlgen-manage command was successful

절차

1. CRL 생성 서버를 중지합니다.

   # systemctl stop pki-tomcatd@pki-tomcat.service

2. /var/lib/pki/pki-tomcat/conf/ca/CS.cfg 파일을 열고 ca.crl.MasterCRL.autoUpdateInterval 값을 새 간격 설정으로 변경합니다. 예를 들어 60분마다 CRL을 생성하려면 다음을 수행합니다.

   ca.crl.MasterCRL.autoUpdateInterval=60

   참고

   ca.crl.MasterCRL.autoUpdateInterval 매개변수를 업데이트하면 이미 예약된 CRL 업데이트 후에 변경 사항이 적용됩니다.

3. CRL 생성 서버를 시작합니다.

   # systemctl start pki-tomcatd@pki-tomcat.service

절차

1. HTTP 서비스가 실행 중인 my_company.idm.example.com IdM 클라이언트에서 HTTP /my_company.idm.example.com@IDM.EXAMPLE.COM 주체에 해당하는 서비스에 대한 인증서를 요청하며 이를 지정합니다.

   • 인증서는 로컬 /etc/pki/tls/certs/httpd.pem 파일에 저장됩니다.
   • 개인 키는 로컬 /etc/pki/tls/private/httpd.key 파일에 저장해야 합니다.

   • SubjectAltName 에 대한 extensionRequest가 my_company.idm.example.com 의 DNS 이름을 사용하여 서명 요청에 추가됩니다.

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     위의 명령에서:

     • ipa-getcert request 명령은 인증서를 IdM CA에서 가져올 수 있도록 지정합니다. ipa-getcert request 명령은 getcert request -c IPA 의 바로 가기입니다.
     • g 옵션은 아직 없는 경우 생성할 키 크기를 지정합니다.
     • d 옵션은 요청에 추가할 SubjectAltName DNS 값을 지정합니다.
     • -C 옵션은 인증서를 가져온 후 httpd 서비스를 다시 시작하도록 certmonger 에 지시합니다.
     • 특정 프로필로 인증서를 발행하도록 지정하려면 -T 옵션을 사용합니다.
     • 지정된 CA에서 이름이 지정된 발행자를 사용하여 인증서를 요청하려면 -X ISSUER 옵션을 사용합니다.

2. 선택 사항: 요청 상태를 확인하려면 다음을 수행합니다.

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
   [...]

   출력은 요청이 MONITORING 상태에 있음을 보여줍니다. 즉, 인증서를 가져온 것입니다. 키 쌍과 인증서의 위치는 요청된 위치입니다.

1. IdM 서버에서 아직 존재하지 않는 시스템의 인증서를 생성합니다.
2. 새 시스템을 생성합니다.
3. 새 시스템을 IdM 클라이언트로 등록합니다.
4. 의 IdM 서버에서 IdM 클라이언트로 인증서와 키를 가져옵니다.
5. certmonger 를 사용하여 인증서 추적을 시작하여 만료될 때 갱신되도록 합니다.

절차

1. 하위 시스템 CA 인증서에 대한 pin을 가져옵니다.

   # grep 'internal=' /var/lib/pki/pki-tomcat/conf/password.conf

2. 하위 시스템 CA 인증서에 추적을 추가하고 아래 명령에서 [내부 Pin] 을 이전 단계에서 얻은 PIN으로 교체합니다.

   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "caSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "caSigningCert cert-pki-ca"' -T caCACert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "auditSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "auditSigningCert cert-pki-ca"' -T caSignedLogCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "ocspSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "ocspSigningCert cert-pki-ca"' -T caOCSPCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "subsystemCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "subsystemCert cert-pki-ca"' -T caSubsystemCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "Server-Cert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "Server-Cert cert-pki-ca"' -T caServerCert

3. 나머지 IdM 인증서, HTTP,LDAP,IPA 갱신 에이전트 및 PKINIT 인증서에 대한 추적을 추가합니다.

   # getcert start-tracking -f /var/lib/ipa/certs/httpd.crt -k /var/lib/ipa/private/httpd.key -p /var/lib/ipa/passwds/idm.example.com-443-RSA -c IPA -C /usr/libexec/ipa/certmonger/restart_httpd -T caIPAserviceCert
   
   # getcert start-tracking -d /etc/dirsrv/slapd-IDM-EXAMPLE-COM -n "Server-Cert" -c IPA -p /etc/dirsrv/slapd-IDM-EXAMPLE-COM/pwdfile.txt -C '/usr/libexec/ipa/certmonger/restart_dirsrv "IDM-EXAMPLE-COM"' -T caIPAserviceCert
   
   # getcert start-tracking -f /var/lib/ipa/ra-agent.pem -k /var/lib/ipa/ra-agent.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_ra_cert -T caSubsystemCert
   
   # getcert start-tracking -f /var/kerberos/krb5kdc/kdc.crt -k /var/kerberos/krb5kdc/kdc.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_kdc_cert -T KDCs_PKINIT_Certs

4. certmonger 를 다시 시작하십시오.

   # systemctl restart certmonger

5. certmonger 가 시작된 후 1 분 정도 기다린 다음 새 인증서의 상태를 확인합니다.

   # getcert list

절차

1. 전체 IdM 배포에서 ACME를 활성화합니다.

   # ipa-acme-manage enable
   The ipa-acme-manage command was successful

2. CA에서 만료된 인증서를 자동으로 제거하도록 ACME를 설정합니다.

   # ipa-acme-manage pruning --enable --cron "0 0 1 * *"

   참고

   만료된 인증서는 보존 기간 후에 제거됩니다. 기본적으로 만료 후 30일입니다.

절차

1. 전체 IdM 배포에서 ACME를 비활성화합니다.

   # ipa-acme-manage disable
   The ipa-acme-manage command was successful

2. 선택 사항: 만료된 인증서의 자동 제거를 비활성화합니다.

   ipa-acme-manage pruning --disable

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.certificate
     vars:
       certificate_requests:
         - name: mycert
           dns: "*.example.com"
           ca: self-sign

   • name 매개 변수를 원하는 인증서 이름(예: mycert )으로 설정합니다.
   • dns 매개 변수를 인증서에 포함할 도메인으로 설정합니다(예: *.example.com ).
   • ca 매개 변수를 자체 서명 으로 설정합니다.

   기본적으로 certmonger 는 만료되기 전에 인증서를 자동으로 갱신합니다. Ansible 플레이북의 auto_renew 매개변수를 no 로 설정하여 비활성화할 수 있습니다.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.certificate
     vars:
       certificate_requests:
         - name: mycert
           dns: www.example.com
           principal: HTTP/www.example.com@EXAMPLE.COM
           ca: ipa

   • name 매개 변수를 원하는 인증서 이름(예: mycert )으로 설정합니다.
   • dns 매개변수를 인증서에 포함할 도메인으로 설정합니다(예: www.example.com ).
   • principal 매개변수를 설정하여 HTTP/www.example.com@EXAMPLE.COM 와 같은 Kerberos 보안 주체를 지정합니다.
   • ca 매개 변수를 ipa 로 설정합니다.

   기본적으로 certmonger 는 만료되기 전에 인증서를 자동으로 갱신합니다. Ansible 플레이북의 auto_renew 매개변수를 no 로 설정하여 비활성화할 수 있습니다.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.certificate
     vars:
       certificate_requests:
         - name: mycert
           dns: www.example.com
           ca: self-sign
           run_before: systemctl stop httpd.service
           run_after: systemctl start httpd.service

   • name 매개 변수를 원하는 인증서 이름(예: mycert )으로 설정합니다.
   • dns 매개변수를 인증서에 포함할 도메인으로 설정합니다(예: www.example.com ).
   • ca 매개 변수를 사용하여 인증서를 발급할 CA(예: self-sign )로 설정합니다.
   • 이 인증서를 발행하거나 systemctl stop httpd.service 와 같이 갱신하기 전에 실행할 명령에 run_before 매개변수를 설정합니다.
   • 이 인증서가 실행된 후 실행할 run_after 매개 변수를 systemctl start httpd.service 와 같이 갱신합니다.

   기본적으로 certmonger 는 만료되기 전에 인증서를 자동으로 갱신합니다. Ansible 플레이북의 auto_renew 매개변수를 no 로 설정하여 비활성화할 수 있습니다.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

절차

1. 인증 메뉴에서 인증서 > 인증서 를 클릭합니다.

   그림 22.2. 인증서 목록의 하위 CA 인증서

   
2. 하위 CA 인증서의 일련 번호를 클릭하여 인증서 정보 페이지를 엽니다.
3. 인증서 정보 페이지에서 작업 > 다운로드를 클릭합니다.

4. CLI에서 하위 CA 인증서를 /etc/pki/tls/private/ 디렉터리로 이동합니다.

   # mv path/to/the/downloaded/certificate /etc/pki/tls/private/sub-ca.crt

절차

1. HTTP 서비스가 실행 중인 my_company.idm.example.com IdM 클라이언트에서 HTTP /my_company.idm.example.com@IDM.EXAMPLE.COM 주체에 해당하는 서비스에 대한 인증서를 요청하며 이를 지정합니다.

   • 인증서는 로컬 /etc/pki/tls/certs/httpd.pem 파일에 저장됩니다.
   • 개인 키는 로컬 /etc/pki/tls/private/httpd.key 파일에 저장해야 합니다.
   • webserver-ca 하위 CA는 발급 기관입니다.

   • SubjectAltName 에 대한 extensionRequest가 my_company.idm.example.com 의 DNS 이름을 사용하여 서명 요청에 추가됩니다.

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     위의 명령에서:

     • ipa-getcert request 명령은 인증서를 IdM CA에서 가져올 수 있도록 지정합니다. ipa-getcert request 명령은 getcert request -c IPA 의 바로 가기입니다.
     • g 옵션은 아직 없는 경우 생성할 키 크기를 지정합니다.
     • d 옵션은 요청에 추가할 SubjectAltName DNS 값을 지정합니다.
     • X 옵션은 인증서 발행자가 ipa 가 아닌 webserver-ca 여야 함을 지정합니다.
     • -C 옵션은 인증서를 가져온 후 httpd 서비스를 다시 시작하도록 certmonger 에 지시합니다.
     • 특정 프로필로 인증서를 발행하도록 지정하려면 -T 옵션을 사용합니다.

2. 선택 사항: 요청 상태를 확인하려면 다음을 수행합니다.

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   출력은 요청이 MONITORING 상태에 있음을 보여줍니다. 즉, 인증서를 가져온 것입니다. 키 쌍과 인증서의 위치는 요청된 위치입니다.

절차

1. httpd 패키지를 설치합니다.

   # dnf install httpd

2. firewalld 를 사용하는 경우 로컬 방화벽에서 TCP 포트 80 을 엽니다.

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

3. httpd 서비스를 활성화하고 시작합니다.

   # systemctl enable --now httpd

4. 선택 사항: /var/www/html/ 디렉터리에 HTML 파일을 추가합니다.

   참고

   콘텐츠를 /var/www/html/에 추가할 때 기본적으로 httpd가 실행되는 사용자가 파일 및 디렉터리를 읽을 수 있어야 합니다. 콘텐츠 소유자는 root 사용자 및 root 사용자 그룹 또는 다른 사용자 또는 관리자가 선택한 그룹일 수 있습니다. 콘텐츠 소유자가 root 사용자 및 root 사용자 그룹인 경우 다른 사용자가 파일을 읽을 수 있어야 합니다. 모든 파일 및 디렉터리에 대한 SELinux 컨텍스트는 기본적으로 /var/www 디렉터리 내의 모든 콘텐츠에 적용되는 httpd_sys_content_t이어야 합니다.

절차

1. mod_ssl 패키지를 설치합니다.

   # dnf install mod_ssl

2. /etc/httpd/conf.d/ssl.conf 파일을 편집하고 다음 설정을 <VirtualHost _default_:443> 지시문에 추가합니다.

   1. 서버 이름을 설정합니다.

      ServerName my_company.idm.example.com

   중요

   서버 이름은 인증서의 Common Name 필드에 설정된 항목과 일치해야 합니다.

   1. 선택 사항: 인증서에 SAN( 주체 Alt Names ) 필드에 추가 호스트 이름이 포함된 경우 이러한 호스트 이름에 TLS 암호화도 제공하도록 mod_ssl 을 구성할 수 있습니다. 이를 구성하려면 해당 이름으로 ServerAliases 매개변수를 추가합니다.

      ServerAlias www.my_company.idm.example.com server.my_company.idm.example.com

   2. 개인 키, 서버 인증서 및 CA 인증서에 대한 경로를 설정합니다.

      SSLCertificateKeyFile "/etc/pki/tls/private/httpd.key"
      SSLCertificateFile "/etc/pki/tls/certs/httpd.pem"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. 보안상의 이유로 root 사용자만 개인 키 파일에 액세스할 수 있도록 구성합니다.

   # chown root:root /etc/pki/tls/private/httpd.key
   # chmod 600 //etc/pki/tls/private/httpd.key

   주의

   권한이 없는 사용자가 개인 키에 액세스한 경우 인증서를 취소하고 새 개인 키를 만들고 새 인증서를 요청합니다. 그렇지 않으면 TLS 연결이 더 이상 안전하지 않습니다.

4. firewalld 를 사용하는 경우 로컬 방화벽에서 포트 443 을 엽니다.

   # firewall-cmd --permanent --add-port=443/tcp
   # firewall-cmd --reload

5. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

   참고

   개인 키 파일을 암호로 보호한 경우 httpd 서비스가 시작될 때마다 이 암호를 입력해야 합니다.

   • 브라우저를 사용하여 https://my_company.idm.example.com 에 연결합니다.

절차

1. /etc/httpd/conf/httpd.conf 파일을 편집하고 다음 설정을 TLS 프로토콜 버전을 설정하려는 <VirtualHost> 지시문에 추가합니다. 예를 들어 TLSv1.3 프로토콜만 활성화하려면 다음을 수행합니다.

   SSLProtocol -All TLSv1.3

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

검증

1. 다음 명령을 사용하여 서버가 TLSv1.3을 지원하는지 확인합니다:

   # openssl s_client -connect example.com:443 -tls1_3

2. 다음 명령을 사용하여 서버가 TLSv1.2를 지원하지 않는지 확인합니다.

   # openssl s_client -connect example.com:443 -tls1_2

   서버가 프로토콜을 지원하지 않으면 명령에서 오류를 반환합니다.

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 선택 사항: 다른 TLS 프로토콜 버전에 대해 명령을 반복합니다.

절차

1. /etc/httpd/conf/httpd.conf 파일을 편집하고 SSLCipherSuite 매개변수를 TLS 암호를 설정하려는 <VirtualHost> 지시문에 추가합니다.

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   이 예제에서는 EECDH+AESGCM,EDH+AESGCM,AES256+EECDH 및 AES256+EDH 암호만 활성화하며 SHA1 및 SHA256 메시지 인증 코드(MAC)를 사용하는 모든 암호를 비활성화합니다.

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

검증

1. Apache HTTP Server에서 지원하는 암호 목록을 표시하려면 다음을 수행합니다.

   1. nmap 패키지를 설치합니다.

      # dnf install nmap

   2. nmap 유틸리티를 사용하여 지원되는 암호를 표시합니다.

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

절차

1. /etc/httpd/conf/httpd.conf 파일을 편집하고 다음 설정을 클라이언트 인증을 구성하려는 <VirtualHost> 지시문에 추가합니다.

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   SSLverifyClient require를 설정해야 클라이언트가 /var/www/html/Example/ 디렉터리의 콘텐츠에 액세스하기 전에 서버가 클라이언트 인증서의 유효성을 검사해야 합니다.

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

검증

1. curl 유틸리티를 사용하여 클라이언트 인증 없이 https://my_company.idm.example.com/Example/ URL에 액세스합니다.

   $ curl https://my_company.idm.example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 alert certificate required, errno 0

   이 오류는 my_company.idm.example.com 웹 서버에 클라이언트 인증서 인증이 필요함을 나타냅니다.

2. 클라이언트 개인 키 및 인증서와 CA 인증서를 curl에 전달하여 클라이언트 인증으로 동일한 URL에 액세스합니다.

   $ curl --cacert ca.crt --key client.key --cert client.crt https://my_company.idm.example.com/Example/

   요청이 성공하면 curl은 /var/www/html/Example/ 디렉터리에 저장된 index.html 파일을 표시합니다.

절차