22.4. certmonger를 사용하여 서비스에 대한 IdM 인증서 가져오기

절차

1. HTTP 서비스가 실행 중인 my_company.idm.example.com IdM 클라이언트에서 HTTP /my_company.idm.example.com@IDM.EXAMPLE.COM 주체에 해당하는 서비스에 대한 인증서를 요청하며 이를 지정합니다.

   • 인증서는 로컬 /etc/pki/tls/certs/httpd.pem 파일에 저장됩니다.
   • 개인 키는 로컬 /etc/pki/tls/private/httpd.key 파일에 저장해야 합니다.
   • webserver-ca 하위 CA는 발급 기관입니다.

   • SubjectAltName 에 대한 extensionRequest가 my_company.idm.example.com 의 DNS 이름을 사용하여 서명 요청에 추가됩니다.

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     위의 명령에서:

     • ipa-getcert request 명령은 인증서를 IdM CA에서 가져올 수 있도록 지정합니다. ipa-getcert request 명령은 getcert request -c IPA 의 바로 가기입니다.
     • g 옵션은 아직 없는 경우 생성할 키 크기를 지정합니다.
     • d 옵션은 요청에 추가할 SubjectAltName DNS 값을 지정합니다.
     • X 옵션은 인증서 발행자가 ipa 가 아닌 webserver-ca 여야 함을 지정합니다.
     • -C 옵션은 인증서를 가져온 후 httpd 서비스를 다시 시작하도록 certmonger 에 지시합니다.
     • 특정 프로필로 인증서를 발행하도록 지정하려면 -T 옵션을 사용합니다.

2. 선택 사항: 요청 상태를 확인하려면 다음을 수행합니다.

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   출력은 요청이 MONITORING 상태에 있음을 보여줍니다. 즉, 인증서를 가져온 것입니다. 키 쌍과 인증서의 위치는 요청된 위치입니다.