24장. IdM 상태 점검을 사용하여 인증서 확인
IdM(Identity Management)의 Healthcheck 툴을 이해하고 사용하여 certmonger 에서 유지 관리하는 IPA 인증서의 문제를 식별하는 방법에 대해 자세히 알아보십시오.
자세한 내용은 IdM의 상태 점검을 참조하십시오.
24.1. IdM 인증서 상태 점검 테스트
Healthcheck 툴에는 IdM(Identity Management)의 certmonger에서 유지 관리하는 인증서 상태를 확인하는 여러 테스트가 포함됩니다. certmonger에 대한 자세한 내용은 certmonger를 사용하여 서비스에 대한 IdM 인증서 Obtaining an IdM certificate 을 참조하십시오.
이 테스트 검사 모음의 만료, 검증, 신뢰 및 기타 문제. 동일한 기본 문제에 대해 여러 오류가 발생할 수 있습니다.
모든 인증서 테스트를 보려면 --list-sources 옵션을 사용하여 ipa-healthcheck 을 실행합니다.
# ipa-healthcheck --list-sources
ipahealthcheck.ipa.certs 소스에서 모든 테스트를 찾을 수 있습니다.
- IPACertmongerExpirationCheck
이 테스트에서는
certmonger의 만료를 확인합니다.오류가 보고되면 인증서가 만료되었습니다.
경고가 표시되면 인증서가 곧 만료됩니다. 기본적으로 이 테스트는 인증서가 만료되기 전 28일 이내에 적용됩니다.
/etc/ipahealthcheck/ipahealthcheck.conf파일에서 일 수를 구성할 수 있습니다. 파일을 연 후 default 섹션에 있는cert_expiration_days옵션을 변경합니다.참고certmonger는 인증서 만료에 대한 자체 보기를 로드하고 유지합니다. 이 검사에서는 디스크상의 인증서의 유효성을 검사하지 않습니다.
- IPACertfileExpirationCheck
이 테스트에서는 인증서 파일 또는 NSS 데이터베이스를 열 수 없는지 확인합니다. 이 테스트는 또한 만료를 확인합니다. 따라서 오류 또는 경고 출력에서
msg속성을 주의 깊게 읽습니다. 메시지는 문제를 지정합니다.참고이 테스트에서는 디스크상의 인증서를 확인합니다. 인증서가 누락된 경우 읽을 수 없으므로 별도의 오류도 발생할 수 있습니다.
- IPACertNSSTrust
- 이 테스트에서는 NSS 데이터베이스에 저장된 인증서에 대한 신뢰를 비교합니다. NSS 데이터베이스에서 예상되는 추적된 인증서의 경우 신뢰는 예상 값과 비교되며 일치하지 않는 항목에서 발생하는 오류입니다.
- IPANSSChainValidation
-
이 테스트에서는 NSS 인증서의 인증서 체인의 유효성을 검사합니다. 테스트 실행:
certutil -V -u V -e -d [dbdir] -n [nickname] - IPAOpenSSLChainValidation
이 테스트에서는 OpenSSL 인증서의 인증서 체인을 검증합니다.
NSSChain검증과 비교하려면 다음을 실행하는 OpenSSL 명령을 실행합니다.openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]
- IPARAAgent
-
이 테스트에서는 디스크의 인증서를
uid=ipara,ou=People,o=ipaca의 LDAP의 동등한 레코드와 비교합니다. - IPACertRevocation
- 이 테스트에서는 certmonger를 사용하여 인증서가 취소되지 않았는지 확인합니다. 따라서 이 테스트는 certmonger에서만 유지 관리하는 인증서와 관련된 문제를 찾을 수 있습니다.
- IPACertmongerCA
이 테스트는 certmonger CA(인증 기관) 구성을 확인합니다. IdM은 CA 없이 인증서를 발행할 수 없습니다.
certmonger는 CA 도우미 세트를 유지합니다. IdM에는 IdM을 통해 인증서를 발행하고 호스트 또는 서비스 인증서에 대한 호스트 또는 사용자 주체로 인증하는 IPA라는 CA가 있습니다.
CA 하위 시스템 인증서를 갱신하는
dogtag-ipa-ca-renew-agent및dogtag-ipa-ca-renew-agent-reuse도 있습니다.
문제를 확인하려고 할 때 모든 IdM 서버에서 이 테스트를 실행합니다.
