红帽全球峰会3.2. 设置证书配置文件
在证书系统中，您可以添加、删除和修改注册配置集：
- 使用 PKI 命令行界面
- 直接编辑配置文件（仅在安装配置时推荐使用；请参阅 规划、安装和部署指南（通用标准版） 中的第 11 章 配置证书配置文件。
本节提供有关 pki CLI 方法的信息。
3.2.1. 使用 pki 命令行界面管理证书注册配置集
本节描述了如何使用 pki 工具管理证书配置文件。详情请查看 pki-ca-profile (1) 手册页。
建议使用 raw 格式。有关配置文件的每个属性和字段的详情，请参阅 规划、安装和部署指南(Common criteria Edition) 中的第 11 章 配置证书配置文件。
3.2.2. 启用和禁用证书配置文件
在编辑证书配置文件前，您必须禁用它。修改完成后，您可以重新启用配置集。
只有 CA 代理可以启用和禁用证书配置文件。
例如，禁用
caCMCECserverCert证书配置文件：# pki -c password -n caagent ca-profile-disable caCMCECserverCert例如，启用
caCMCECserverCert证书配置文件：# pki -c password -n caagent ca-profile-enable caCMCECserverCert
3.2.2.1. 以原始格式创建证书配置文件
以 raw 格式创建新配置集：
# pki -c password -n caadmin ca-profile-add profile_name.cfg --raw在 raw 格式中，指定新的配置集 ID，如下所示：
profileId=profile_name3.2.2.2. 使用原始格式编辑证书配置文件
CA 管理员可以以原始格式编辑证书配置文件，而无需手动下载配置文件。
例如，编辑 caCMCECserverCert 配置集：
# pki -c password -n caadmin ca-profile-edit caCMCECserverCert
此命令自动下载原始格式的配置集配置，并在 VI 编辑器中打开它。关闭编辑器时，将在服务器上更新配置文件配置。
编辑配置集后您不需要重启 CA。
在编辑配置集前，请禁用配置集。详情请查看 第 3.2.2 节 “启用和禁用证书配置文件”。
例 3.1. 使用原始格式编辑证书配置文件
例如，编辑 caCMCserverCert 配置集以接受多个用户提供的扩展：
禁用配置集作为 CA 代理：
# pki -c password -n caagemt ca-profile-disable caCMCserverCert以 CA 管理员身份编辑配置集：
在
VI编辑器中下载并打开配置集：# pki -c password -n caadmin ca-profile-edit caCMCserverCert- 更新配置以接受扩展。详情请查看 例 B.3 “CSR 中提供了多个用户扩展”。
启用配置集作为 CA 代理：
# pki -c password -n caagent ca-profile-enable caCMCserverCert
3.2.2.3. 删除证书配置文件
删除证书配置文件：
# pki -c password -n caadmin ca-profile-del profile_name在删除配置集前，请禁用配置集。详情请查看 第 3.2.2 节 “启用和禁用证书配置文件”。
3.2.3. 列出证书注册配置集
安装证书系统 CA 时，以下预定义证书配置文件已准备好在此环境中使用和设置。这些证书配置文件专为最常用的证书类型而设计，它们提供常见的默认值、约束、身份验证方法、输入和输出。
有关支持的配置集列表，请查看 第 8.3 节 “CMC 身份验证插件”
要在命令行上列出可用的配置集，请使用 pki 工具。例如：
# pki -c password -n caadmin ca-profile-find
-------------------
59 entries matched
-------------------
Profile ID: caCMCserverCert
Name: Server Certificate Enrollment using CMC
Description: This certificate profile is for enrolling server certificates using CMC.
Profile ID: caCMCECserverCert
Name: Server Certificate wth ECC keys Enrollment using CMC
Description: This certificate profile is for enrolling server certificates with ECC keys using CMC.
Profile ID: caCMCECsubsystemCert
Name: Subsystem Certificate Enrollment with ECC keys using CMC
Description: This certificate profile is for enrolling subsystem certificates with ECC keys using CMC.
Profile ID: caCMCsubsystemCert
Name: Subsystem Certificate Enrollment using CMC
Description: This certificate profile is for enrolling subsystem certificates using CMC.
-----------------------------------
Number of entries returned 20
详情请查看 pki-ca-profile (1) 手册页。如需更多信息，请参阅 规划、安装和部署指南（通用标准版） 中的第 11 章 配置证书配置文件。
3.2.4. 显示证书注册配置文件的详情
例如，要显示特定的证书配置文件，如 caECFullCMCUserSignedCert ：
$ pki -c password -n caadmin ca-profile-show caECFullCMCUserSignedCert
-----------------------------------
Profile "caECFullCMCUserSignedCert"
-----------------------------------
Profile ID: caECFullCMCUserSignedCert
Name: User-Signed CMC-Authenticated User Certificate Enrollment
Description: This certificate profile is for enrolling user certificates with EC keys by using the CMC certificate request with non-agent user CMC authentication.
Name: Certificate Request Input
Class: cmcCertReqInputImpl
Attribute Name: cert_request
Attribute Description: Certificate Request
Attribute Syntax: cert_request
Name: Certificate Output
Class: certOutputImpl
Attribute Name: pretty_cert
Attribute Description: Certificate Pretty Print
Attribute Syntax: pretty_print
Attribute Name: b64_cert
Attribute Description: Certificate Base-64 Encoded
Attribute Syntax: pretty_print
例如，要以 raw 格式显示特定的证书配置文件，如 caECFullCMCUserSignedCert ：
$ pki -c password -n caadmin ca-profile-show caECFullCMCUserSignedCert --raw
#Wed Jul 25 14:41:35 PDT 2018
auth.instance_id=CMCUserSignedAuth
policyset.cmcUserCertSet.1.default.params.name=
policyset.cmcUserCertSet.4.default.class_id=authorityKeyIdentifierExtDefaultImpl
policyset.cmcUserCertSet.6.default.params.keyUsageKeyCertSign=false
policyset.cmcUserCertSet.10.default.class_id=noDefaultImpl
policyset.cmcUserCertSet.10.constraint.name=Renewal Grace Period Constraint
output.o1.class_id=certOutputImpl
...
详情请查看 pki-ca-profile (1) 手册页。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}