7.2. 使用 pkispawn 工具安装 RHCS

1. [DEFAULT] - 独立于子系统的设置
2. [Tomcat]
3. [CA], [KRA], [OCSP], [TKS], [TPS], [ACME], 或 [EST] - 特定于子系统的部分

1. 从 /usr/share/pki/server/etc/default.cfg 文件中读取默认值。详情请查看 pki_default.cfg (5) 手册页。

   重要

   不要编辑 /usr/share/pki/server/etc/default.cfg 文件。相反，您会被指示创建覆盖默认值的配置文件。有关使用配置文件的详情，请查看以下部分中与各种不同子系统类型对应的 pkispawn 配置文件示例。

2. 读取上述管理员提供的配置文件，以覆盖默认值。
3. 执行请求的子系统的安装。
4. 将设置传递给根据设置执行配置的 Java servlet。

1. 设置唯一的实例名称：

   # pki_instance_name=instance_name

2. 设置主机名：

   # pki_hostname=server.example.com

   注意

   证书系统根据这些参数和实例名称创建唯一的证书别名。证书别名的唯一性对于保持多个 PKI 实例共享的 HSM 令牌保持重要。

3. 为 HTTP 和 HTTPS 协议设置端口号：

   pki_https_port=port_number
   pki_http_port=port_number

   重要

   要在同一主机上运行多个证书系统实例，您必须在 pki_https_port 和 pki_http_port 参数中设置唯一端口，它们没有被主机上的任何其他服务使用。默认情况下，证书系统使用端口 8080 用于 HTTP，8443 用于 HTTPS。

4. 设置特定于 HSM 的参数：

   pki_hsm_enable=<True|False>
   pki_hsm_libfile=HSM_PKCS11_library_path
   pki_hsm_modulename=HSM_module_name
   pki_token_name=HSM_token_name
   pki_token_password=HSM_token_password
   
   pki_audit_signing_token=HSM_token_name
   pki_subsystem_token=HSM_token_name
   pki_sslserver_token=HSM_token_name

   详情请查看 第 6.2.4 节 “准备使用 HSM 安装证书系统”。

5. 如果构建 RSA 证书系统实例，请使用以下配置：

   pki_admin_key_algorithm=SHA256withRSA
   pki_admin_key_size=4096
   pki_admin_key_type=rsa
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_key_size=4096
   pki_sslserver_key_type=rsa
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_key_size=4096
   pki_subsystem_key_type=rsa
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=4096
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA

   key_algorithm 参数允许的选择有：

   SHA256withRSA
   SHA384withRSA
   SHA512withRSA

   注意

   您可以将这些算法参数设置为 CA 的 CS.cfg 文件中的 ca.profiles.defaultSigningAlgsAllowed 参数中指定的值。详情请查看管理指南中的 B.2.10 Signing Algorithm Constraint 附录。签名算法必须与 key_type 匹配。

6. 要在创建证书时使用 Elliptic Curve Cryptography (ECC)而不是 RSA，请设置：

   pki_admin_key_algorithm=SHA256withEC
   pki_admin_key_size=nistp256
   pki_admin_key_type=ecc
   pki_sslserver_key_algorithm=SHA256withEC
   pki_sslserver_key_size=nistp256
   pki_sslserver_key_type=ecc
   pki_subsystem_key_algorithm=SHA256withEC
   pki_subsystem_key_size=nistp256
   pki_subsystem_key_type=ecc
   pki_audit_signing_key_algorithm=SHA256withEC
   pki_audit_signing_key_size=nistp256
   pki_audit_signing_key_type=ecc
   pki_audit_signing_signing_algorithm=SHA256withEC

   key_algorithm 参数允许的选择有：

   SHA256withEC
   SHA384withEC
   SHA512withEC

   注意

   您可以将这些算法参数设置为 CA 的 CS.cfg 文件中的 ca.profiles.defaultSigningAlgsAllowed 参数中指定的值。详情请查看管理指南中的 SigningAlgorithm Constraint 附录。签名算法必须与 key_type 匹配。

   对于 ECC，key_size 允许选择：

   nistp256
   nistp384
   nistp521

   对于 ECC，允许选择 key_type 是 ecc。

7. 设置 bootstrap admin 用户的客户端目录：

   pki_client_dir=bootstrap_admin_directory

   默认情况下，路径设置为 ~/.dogtag/instance_name/

   重要

   pki_admin JavaDoc 和 pki_client 27:2.7 参数属于安装过程自动创建的 bootstrap 用户。有关默认角色（特权）和 bootstrap 用户的更多信息，请参阅 第 2.6.6 节 “用户、授权和访问控制”。有关本节中涵盖的参数的描述，请参阅 pki_default.cfg (5) 手册页。

8. 为 bootstrap admin 用户设置各种密码：

   pki_admin_password=password
   pki_client_database_password=password
   pki_client_pkcs12_password=password

9. 如果您选择在证书系统和目录服务器之间设置 TLS，请在配置文件中使用以下参数：

   注意

   我们需要首先创建基本的 TLS 服务器身份验证连接。在安装后，我们将返回并建立连接，要求将客户端身份验证证书提供给目录服务器。此时，一旦设置客户端身份验证，pki_ds_password 将不再相关。

   pki_ds_database=back_end_database_name
   pki_ds_hostname=host_name
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=path_to_CA_or_self-signed_certificate
   pki_ds_password=password
   pki_ds_ldaps_port=port
   pki_ds_bind_dn=cn=Directory Manager

   pki_ds_database 参数的值是 pkispawn 实用程序在 Directory Server 实例中创建对应的子系统数据库使用的名称。

   pki_ds_hostname 参数的值取决于目录服务器实例的安装位置。这取决于 第 6.4.1 节 “安装目录服务器软件包” 中使用的值。

   设置 pki_ds_secure_connection=True 时，必须设置以下参数：

   • pki_ds_secure_connection_ca_pem_file: 设置包含目录服务器 CA 证书的导出副本的文件的文件名。在 pkispawn 可以使用该文件之前，该文件必须已存在。
   • pki_ds_ldaps_port ：设置安全 LDAPS 端口目录服务器侦听的端口。默认值为 636。

10. 如果您在目录服务器中使用自签名证书，请使用以下命令将其从目录服务器的网络安全服务(NSS)数据库中导出：

    # certutil -L -d /etc/dirsrv/slapd-instance_name/ \ -n "server-cert" -a -o /root/ds.crt

11. 对于充当安全域的 CA，请设置正确的参数：

    # for a CA that acts as a security domain
    pki_security_domain_hostname=
    pki_security_domain_name=example.com Security Domain
    pki_security_domain_user=caadmin
    pki_security_domain_password=SD password

[Tomcat] 部分：

1. 设置 Tomcat JServ 协议(AJP)端口：

   pki_ajp_port=Tomcat_AJP_port

2. 设置 Tomcat 服务器端口：

   pki_tomcat_server_port=Tomcat_server_port