19.8. certmonger와 함께 SCEP 사용

절차

1. certmonger 에 CA 구성을 추가합니다.

   Copy to Clipboard Toggle word wrap

   [root@client.idm.example.com ~]# getcert add-scep-ca -c SCEP_example -u SCEP_URL

   • -c: CA 구성에 대한 필수 구성 이름입니다. 나중에 동일한 값을 다른 getcert 명령과 함께 사용할 수 있습니다.

   • -u: 서버의 SCEP 인터페이스의 URL입니다.

     중요

     HTTPS URL을 사용하는 경우 -R 옵션을 사용하여 SCEP 서버 CA 인증서의 PEM 형식 사본 위치도 지정해야 합니다.

2. CA 구성이 성공적으로 추가되었는지 확인합니다.

   Copy to Clipboard Toggle word wrap

   [root@client.idm.example.com ~]# getcert list-cas -c SCEP_example
   CA 'SCEP_example':
          is-default: no
          ca-type: EXTERNAL
          helper-location: /usr/libexec/certmonger/scep-submit -u http://SCEP_server_enrollment_interface_URL
          SCEP CA certificate thumbprint (MD5): A67C2D4B 771AC186 FCCA654A 5E55AAF7
          SCEP CA certificate thumbprint (SHA1): FBFF096C 6455E8E9 BD55F4A5 5787C43F 1F512279

   구성이 성공적으로 추가되면 certmonger는 원격 CA에서 CA 체인을 검색합니다. 그런 다음 CA 체인이 명령 출력에서 지문으로 표시됩니다. 암호화되지 않은 HTTP를 통해 서버에 액세스하는 경우 지문을 SCEP 서버에 표시된 것과 수동으로 비교하여 중간자 공격을 방지합니다.

3. CA에서 인증서를 요청합니다.

   • NSS를 사용하는 경우:

     Copy to Clipboard Toggle word wrap

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -d /etc/pki/nssdb -n ExampleCert -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     옵션을 사용하여 인증서 요청의 다음 매개변수를 지정할 수 있습니다.

     • - i : 선택 사항: 작업의 이름: 요청에 대한 추적 ID입니다. 나중에 getcert list 명령과 동일한 값을 사용할 수 있습니다.
     • -c: 요청을 제출하기 위한 CA 구성입니다.
     • - D : 인증서와 키를 저장할 NSS 데이터베이스가 있는 디렉터리입니다.
     • -n: NSS 데이터베이스에 사용된 인증서의 Nickname입니다.
     • - n : CSR의 주체 이름입니다.
     • -L: CA에서 발행한 1회성 규칙 pin입니다.
     • - d : 인증서의 주체 대체 이름, 일반적으로 호스트 이름과 동일합니다.

   • OpenSSL을 사용하는 경우:

     Copy to Clipboard Toggle word wrap

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -f /etc/pki/tls/certs/server.crt -k /etc/pki/tls/private/private.key -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     옵션을 사용하여 인증서 요청의 다음 매개변수를 지정할 수 있습니다.

     • - i : 선택 사항: 작업의 이름: 요청에 대한 추적 ID입니다. 나중에 getcert list 명령과 동일한 값을 사용할 수 있습니다.
     • -c: 요청을 제출하기 위한 CA 구성입니다.
     • -f: 인증서의 스토리지 경로입니다.
     • -k: 키의 스토리지 경로입니다.
     • - n : CSR의 주체 이름입니다.
     • -L: CA에서 발행한 1회성 규칙 pin입니다.
     • - d : 인증서의 주체 대체 이름, 일반적으로 호스트 이름과 동일합니다.

검증

1. 인증서가 발급되었는지 확인하고 로컬 데이터베이스에 올바르게 저장되었는지 확인합니다.

   • NSS를 사용한 경우 다음을 입력합니다.

     Copy to Clipboard Toggle word wrap

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     	Request ID 'Example_Task':
             status: MONITORING
             stuck: no
             key pair storage: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             certificate: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             signing request thumbprint (MD5): 503A8EDD DE2BE17E 5BAA3A57 D68C9C1B
             signing request thumbprint (SHA1): B411ECE4 D45B883A 75A6F14D 7E3037F1 D53625F4
             CA: IPA
             issuer: CN=Certificate Authority,O=EXAMPLE.COM
             subject: CN=client.idm.example.com,O=EXAMPLE.COM
             expires: 2018-05-06 10:28:06 UTC
             key usage: digitalSignature,keyEncipherment
             eku: iso.org.dod.internet.security.mechanisms.8.2.2
             certificate template/profile: IPSECIntermediateOffline
             pre-save command:
             post-save command:
             track: true
     	auto-renew: true

   • OpenSSL을 사용한 경우 다음을 입력합니다.

     Copy to Clipboard Toggle word wrap

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     Request ID 'Example_Task':
            status: MONITORING
            stuck: no
            key pair storage: type=FILE,location='/etc/pki/tls/private/private.key'
            certificate: type=FILE,location='/etc/pki/tls/certs/server.crt'
            CA: IPA
            issuer: CN=Certificate Authority,O=EXAMPLE.COM
            subject: CN=client.idm.example.com,O=EXAMPLE.COM
            expires: 2018-05-06 10:28:06 UTC
            eku: id-kp-serverAuth,id-kp-clientAuth
            pre-save command:
            post-save command:
            track: true
            auto-renew: true

     MONITORING 상태는 발급된 인증서를 성공적으로 검색할 수 있음을 나타냅니다. getcert-list(1) 도움말 페이지에는 가능한 다른 상태 및 의미가 나열됩니다.

절차

1. AD 서버에서 등록 할 수 있습니다.
2. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP 하위 키에서 새로운 32비트 REG_Doctets 항목 DisableRenewalSubjectNameMatch 를 추가하고 해당 값을 1 로 설정합니다.

3. certmonger 가 실행 중인 서버에서 /etc/certmonger/certmonger.conf 파일을 열고 다음 섹션을 추가합니다.

   Copy to Clipboard Toggle word wrap

   [scep]
   challenge_password_otp = yes

4. certmonger를 다시 시작하십시오.

   Copy to Clipboard Toggle word wrap

   # systemctl restart certmonger