Red Hat SummitCapítulo 51. Invalidação rápida de um grupo específico de certificados relacionados
Como administrador do sistema, se você quiser ser capaz de invalidar rapidamente um grupo específico de certificados relacionados:
- Projete suas aplicações para que elas só confiem em certificados emitidos por uma sub-CA específica de Gerenciamento de Identidade (IdM) leve. Depois disso, você poderá invalidar todos estes certificados, revogando apenas o certificado da sub-CA de Gerenciamento de Identidade (IdM) que emitiu estes certificados. Para detalhes sobre como criar e usar uma sub-CA leve em IdM, veja Capítulo 50, Restringindo um pedido de confiança apenas a um subconjunto de certificados.
Para garantir que todos os certificados que foram emitidos pelo sub-CA IdM a ser invocado sejam imediatamente inválidos, configure as aplicações que dependem de tais certificados para usar os respondedores do IdM OCSP. Por exemplo, para configurar o navegador Firefox para usar os respondedores OCSP, certifique-se de que a caixa de seleção
Query OCSP responder servers to confirm the current validity of certificatesesteja marcada em Preferências do Firefox.Na IdM, a lista de revogação de certificados (CRL) é atualizada a cada quatro horas.
Para invalidar todos os certificados emitidos por uma sub-CA IdM, revogar o certificado da sub-CA IdM. Além disso, desabilitar as ACLs CA relevantes e considerar a desabilitação da sub-CA IdM. A desativação da sub-CA impede que a sub-CA emita novos certificados, mas permite que respostas do Protocolo de Status de Certificado On-line (OCSP) sejam produzidas para certificados emitidos anteriormente, porque as chaves de assinatura da sub-CA são retidas.
Não exclua o sub-CA se você usar OCSP em seu ambiente. A exclusão do sub-CA elimina as chaves de assinatura do sub-CA, impedindo a produção de respostas OCSP para certificados emitidos por esse sub-CA.
O único cenário ao excluir uma sub-CA é preferível a desativá-la quando se deseja criar uma nova sub-CA com o mesmo nome distinto de Assunto (DN), mas com uma nova chave de assinatura.
51.1. Desabilitando ACLs CA em IdM CLI
Quando você quiser aposentar um serviço IdM ou um grupo de serviços IdM, considere a possibilidade de desativar quaisquer ACLs CA correspondentes existentes.
Complete esta seção para desativar o TLS_web_server_authentication CA ACL que restringe o servidor web executado em seu cliente IdM para solicitar um certificado a ser emitido pela sub-CA webserver-ca IdM, e para desativar o TLS_web_client_authentication CA ACL que restringe os usuários IdM para solicitar um certificado de usuário a ser emitido pela sub-CA webclient-ca IdM.
Procedimento
Opcionalmente, para visualizar todas as ACLs CA em seu ambiente IdM, digite o comando
ipa caacl-find:ipa caacl-find
$ ipa caacl-find ----------------- 3 CA ACLs matched ----------------- ACL name: hosts_services_caIPAserviceCert Enabled: TRUE ACL name: TLS_web_server_authentication Enabled: TRUE ACL name: TLS_web_client_authentication Enabled: TRUECopy to Clipboard Copied! Toggle word wrap Toggle overflow Opcionalmente, para visualizar os detalhes de uma CA ACL, digite o comando
ipa caacl-showe especifique o nome da CA ACL:ipa caacl-show TLS_web_server_authentication
$ ipa caacl-show TLS_web_server_authentication ACL name: TLS_web_server_authentication Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca Enabled: TRUE CAs: webserver-ca Profiles: caIPAserviceCert Services: HTTP/rhel8server.idm.example.com@IDM.EXAMPLE.COMCopy to Clipboard Copied! Toggle word wrap Toggle overflow Para desativar uma CA ACL, digite o comando
ipa caacl-disable, e especifique o nome da CA ACL.Para desativar a CA ACL TLS_web_server_authentication, entre:
ipa caacl-disable TLS_web_server_authentication
$ ipa caacl-disable TLS_web_server_authentication ------------------------------------------------- Disabled CA ACL "TLS_web_server_authentication" -------------------------------------------------Copy to Clipboard Copied! Toggle word wrap Toggle overflow Para desativar a CA ACL TLS_web_client_authentication, entre:
ipa caacl-disable TLS_web_client_authentication
$ ipa caacl-disable TLS_web_client_authentication ------------------------------------------------- Disabled CA ACL "TLS_web_client_authentication" -------------------------------------------------Copy to Clipboard Copied! Toggle word wrap Toggle overflow
A única CA ACL habilitada agora é a hosts_services_caIPAserviceCert CA ACL.
ImportanteSeja extremamente cuidadoso ao desativar a CA ACL
hosts_services_caIPAserviceCert. Desativarhosts_services_caIPAserviceCert, sem que outra CA ACL conceda aos servidores da IdM o uso daipaCA com o perfilcaIPAserviceCertsignifica que a renovação do certificado da IdMHTTPeLDAPfalhará. Os certificados expirados do IdMHTTPeLDAPeventualmente causarão falha no sistema IdM.
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}