18.3. 续订子系统证书

将证书导入到子系统的数据库，如 第 18.6.1 节 “在证书系统数据库中安装证书” 所述。可以使用 certutil 或 console 导入证书。例如：

certutil -A -n "ServerCert cert-example" -t u,u,u -d /var/lib/pki/ instance_name/alias -a -i /tmp/example.cert

获取令牌数据库的密码。

cat /var/lib/pki/ instance_name/conf/password.conf

internal=263163888660

打开证书正在续订的实例的证书数据库目录。

cd /var/lib/pki/ instance_name/alias

列出正在续订的证书的密钥和别名。要续订证书，用于生成和提供给新证书的主题名称必须与旧证书中的主题名称相同。

# certutil -K -d .

certutil: Checking token "NSS Certificate DB" in slot "NSS User Private Key and Certificate Services"
Enter Password or Pin for "NSS Certificate DB":
< 0> rsa      69481646e38a6154dc105960aa24ccf61309d37d   caSigningCert cert-pki-tomcat CA

将 别名 目录复制为备份，然后从证书数据库中删除原始证书。例如：

certutil -D -n "ServerCert cert-example"  -d .

运行 certutil 命令，并将选项设置为现有证书中的值。

certutil -d . -R -n "NSS Certificate DB:cert-pki-tomcat CA" -s "cn=CA Authority,o=Example Domain" -a -o example.req2.txt

生成新证书和密钥对和续订证书之间的差别是证书 的值。要生成完全新的请求和密钥对，那么 -k 会设置密钥类型，并与 -g 一起使用，这会设置位长度。对于续订请求，-n 选项使用证书 nickname 来访问存储在安全数据库中的现有密钥对。

有关参数的详情，请查看 certutil (1) 手册页。

如果系统证书已过期：

显示证书并记录过期系统证书的 ID：

# pki-server cert-find

创建新的持久性证书：

# pki-server cert-create certificate_ID

停止证书系统：

# pki-server stop instance_name

导入新证书来替换过期的证书：

# pki-server cert-import certificate_ID

启动证书系统：

# pki-server start instance_name