13.4. tomcat 引擎和 Web 服务的配置文件

Red Hat Certificate System} 支持 TLS 1.2 密码套件。当 CS 实例充当服务器时，在实例的 server.xml 中定义，当 CS 实例充当客户端时，在 CS.cfg 中定义。

与所有其他 RHCS 子系统一样，在 CA 中支持/启用撤销检查( 请参阅启用 RHCS 子系统的证书撤销检查)。通常，RHCS 建议 OCSP 进行更有效的证书撤销检查。但是，除其他 CS 子系统外设置 CA 的一件事是 CA 是其发出的证书的 CRL 的创建者，因此是 OCSP 子系统所需的 CRL 源。因此，他们需要在 OCSP 或其他 RHCS 子系统之前独立启动。

在这种情况下，当 CA 本身发布 CA 的内部 LDAP 服务器证书时，使用 CRL 分发点扩展而不是 AIA (OCSP)非常重要，因此在 CA 启动期间不会受到 chicken 和 egg 问题的影响。

证书吊销检查是 PKI 环境中证书验证的重要部分。RHCS 提供两种类型的证书撤销验证方法： OCSP 和 CRL 通过检测/处理 AIA (OCSP)或其对等证书的 CRL 分发点扩展。

RHCS 建议 OCSP 用于更有效地撤销检查。

使用 OCSP 的应用程序（本例中为 PKI 子系统）需要了解如何联系 OCSP 系统以验证证书。PKI 子系统默认没有启用 OCSP 检查。您可以通过编辑其 server.xml 文件来为 PKI 子系统启用 OCSP 检查。

默认情况下，除非明确指定，CA 使用 AIA (Authority Information Access)扩展来发布证书，指向 CA 自己的内部 OCSP。设置 OCSP 实例后，您可以将 CA 配置为开始使用指向 OCSP 实例的 AIA 扩展发布证书。

要为证书添加 CRL 分发点扩展，您需要使用带 CRL 分发点扩展的证书注册配置文件。要启用证书注册配置文件，请参阅 CA 的注册配置集配置带有 CRL 分发点。

请注意，需要将 CA 配置为处理此类配置集的 CRL 分发点。请参阅 配置对 CRL 分发点的支持。

TLS 会话是通过 TLS 握手协议建立的 TLS 连接的安全通信频道。

PKI 服务器为 TLS 会话活动生成审计事件。服务器在创建连接时使用 Outcome=Success 生成 ACCESS_SESSION_ESTABLISH 审计事件。如果无法创建连接，服务器将使用 Outcome=Failure 生成 ACCESS_SESSION_ESTABLISH 审计事件。连接关闭时，服务器将生成 ACCESS_SESSION_TERMINATED 审计事件。

TLS 会话超时（即 TLS 连接超时）在 /etc/pki/instance/server.xml 文件中的 Secure Connector 元素的 keepAliveTimeout 参数中配置：

...
Server
	Service
		Connector name="Secure"
			...
			keepAliveTimeout="300000"
			...
			/
	/Service
/Server
...

默认情况下，超时值设置为 300000 毫秒（即 5 分钟）。要更改这个值，请编辑 /etc/pki/instance/server.xml 文件，然后重新启动服务器。

HTTP 会话是利用 HTTP cookie 在多个 HTTP 请求之间跟踪用户的机制。PKI 服务器不会为 HTTP 会话生成审计事件。

HTTP 会话超时可以在 /etc/pki/instance/web.xml 文件中的 session-timeout 元素中配置：

...
web-app
	session-config
		session-timeout30/session-timeout
	/session-config
/web-app
...

默认情况下，超时值设置为 30 分钟。要更改值，请编辑 /etc/pki/instance/web.xml 文件，然后重新启动服务器。

PKI Web UI 是在浏览器中运行的基于 Web 的交互式客户端。目前，它只支持客户端证书身份验证。

打开 Web UI 时，浏览器可能会创建多个 TLS 连接到服务器。这些连接与单个 HTTP 会话关联。

要为 Web UI 配置超时，请参阅 第 13.4.2.2 节 “HTTP 会话超时”。TLS 会话超时通常无关，因为浏览器会缓存客户端证书，以便它自动重新创建 TLS 会话。

当 HTTP 会话过期时，Web UI 不提供任何立即指示。但是，Web UI 将在用户执行操作前显示访问横幅（如果已启用）。

PKI 控制台是一个交互式的单机图形 UI 客户端。它支持用户名/密码和客户端证书身份验证。

当控制台启动时，它将创建一个到服务器的 TLS 连接。控制台将在打开图形界面前显示访问横幅（如果已启用）。与 Web UI 不同，控制台不会维护与服务器的 HTTP 会话。

要为控制台配置超时，请参阅 第 13.4.2.1 节 “TLS 会话超时”。HTTP 会话超时无关，因为控制台不使用 HTTP 会话。

当 TLS 会话过期时，TLS 连接将关闭，控制台将立即退出系统。如果用户希望继续，用户需要重启控制台。

PKI CLI 是执行一系列操作的命令行客户端。它支持用户名/密码和客户端证书身份验证。

当 CLI 启动时，它将创建一个到服务器和 HTTP 会话的 TLS 连接。CLI 将在执行操作前显示访问横幅（如果已启用）。

两个超时通常都与 PKI CLI 无关，因为操作按顺序执行，且 CLI 在完成后会立即退出。但是，如果 CLI 等待用户输入，速度缓慢或者变得无响应，则 TLS 会话或 HTTP 会话可能会过期，其余操作会失败。如果预期有这种延迟，请参阅 第 13.4.2.1 节 “TLS 会话超时” 和 第 13.4.2.2 节 “HTTP 会话超时” 以适应预期的延迟。