39.3. Solicitação de novos certificados para um usuário, host ou serviço da IdM CA usando o openssl

Procedimento

1. Crie um ou mais pseudônimos para seu Kerberos principal test/server.example.com. Por exemplo, test1/server.example.com e test2/server.example.com.

2. No CSR, adicionar um assuntoAltName para dnsName (server.example.com) e outroName (test2/server.example.com). Para isso, configure o arquivo openssl.conf para incluir a seguinte linha especificando o UPN otherName e o subjectAltName:

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

   Copy to Clipboard Toggle word wrap

3. Crie um pedido de certificado usando openssl:

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

   Copy to Clipboard Toggle word wrap

4. Enviar o arquivo de pedido de certificado para a CA em execução no servidor da IdM. Especificar o Kerberos principal a ser associado com o certificado recém-emitido:

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   Copy to Clipboard Toggle word wrap

   O comando ipa cert-request no IdM usa os seguintes padrões:

   • O perfil do certificado caIPAserviceCert

     Para selecionar um perfil personalizado, use a opção --profile-id.

   • A raiz integrada da IdM CA, ipa

     Para selecionar uma sub-CA, use a opção --ca.