50.3.3. Criação de uma ACL CA para navegadores web de usuários autenticados em servidores web usando certificados emitidos pela webclient-ca

Procedimento

1. Criar uma CA ACL usando o comando ipa caacl e especificar seu nome:

   $ ipa caacl-add TLS_web_client_authentication
   --------------------------------------------
   Added CA ACL "TLS_web_client_authentication"
   --------------------------------------------
     ACL name: TLS_web_client_authentication
     Enabled: TRUE

   Copy to Clipboard Toggle word wrap

2. Modificar a CA ACL usando o comando ipa caacl-mod para especificar a descrição da CA ACL:

   $ ipa caacl-mod TLS_web_client_authentication --desc="CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca"
   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE

   Copy to Clipboard Toggle word wrap

3. Adicione o sub-CA webclient-ca ao CA ACL:

   $ ipa caacl-add-ca TLS_web_client_authentication --ca=webclient-ca
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

4. Use o comando ipa caacl-add-profile para especificar o modelo de certificado para o certificado solicitado:

   $ ipa caacl-add-profile TLS_web_client_authentication --certprofiles=IECUserRoles
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
     Profiles: IECUserRoles
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

5. Modificar a CA ACL usando o comando ipa caacl-mod para especificar que a CA ACL se aplica a todos os usuários da IdM:

   $ ipa caacl-mod TLS_web_client_authentication --usercat=all
   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     User category: all
     CAs: webclient-ca
     Profiles: IECUserRoles

   Copy to Clipboard Toggle word wrap

   Você pode usar imediatamente a ACL recém-criada CA ACL. Ela é habilitada após sua criação por padrão.