第 8 章为 ECC 安装和配置

本节重点介绍与 RSA 指令（章节 6&7）相比，在进行 ECC 安装时遇到的区别。

8.1. ECC 安装的先决条件
复制链接

以类似第 6 章 安装的先决条件 中描述的步骤准备您的系统，确保您为 ECC 调整路径、名称和其他配置。

例如，我们将安装以下实例：

rhcs10-ECC-RootCA
rhcs10-ECC-SubCA
rhcs10-ECC-OCSP-rootca
rhcs10-ECC-OCSP-subca
rhcs10-ECC-KRA

注意

请注意，TMS (TPS 和 TKS)不支持 ECC。

创建用于存储 pki 文件的目录

例如，在 rhcs10.example.com 上：

mkdir -p /root/pki_ecc

# mkdir -p /root/pki_ecc

Copy to Clipboard

Toggle word wrap

为 ECC 设置防火墙端口

有关 ECC 使用的端口，请参阅第 6.8 节 “在防火墙和 SELinux 上下文中添加端口” 中的表。

您可以使用以下命令打开端口：

firewall-cmd --permanent --add-port={20080/tcp,20443/tcp,1389/tcp,1636/tcp,20009/tcp,20005/tcp,21080/tcp,21443/tcp,8389/tcp,8636/tcp,21009/tcp,21005/tcp,23080/tcp,23443/tcp,2389/tcp,2636/tcp,23009/tcp,23005/tcp,13389/tcp,13636/tcp,22080/tcp,22443/tcp,9389/tcp,9636/tcp,22009/tcp,22005/tcp,14389/tcp,14636/tcp,23009/tcp,23005/tcp,34080/tcp,34443/tcp,4389/tcp,4636/tcp}

# firewall-cmd --permanent --add-port={20080/tcp,20443/tcp,1389/tcp,1636/tcp,20009/tcp,20005/tcp,21080/tcp,21443/tcp,8389/tcp,8636/tcp,21009/tcp,21005/tcp,23080/tcp,23443/tcp,2389/tcp,2636/tcp,23009/tcp,23005/tcp,13389/tcp,13636/tcp,22080/tcp,22443/tcp,9389/tcp,9636/tcp,22009/tcp,22005/tcp,14389/tcp,14636/tcp,23009/tcp,23005/tcp,34080/tcp,34443/tcp,4389/tcp,4636/tcp}

Copy to Clipboard

Toggle word wrap

然后重新载入防火墙以应用新打开的端口：

firewall-cmd --reload

# firewall-cmd --reload

Copy to Clipboard

Toggle word wrap

设置 SELinux 上下文

对于 Red Hat Certificate System 端口：

for port in 20080 20443 21080 21443 34080 34443 22080 22443 23080 2343; do semanage port -a -t http_port_t -p tcp $port; done

# for port in 20080 20443 21080 21443 34080 34443 22080 22443 23080 2343; do semanage port -a -t http_port_t -p tcp $port; done

Copy to Clipboard

Toggle word wrap

对于 DS 端口（将端口类型选项 http_port_t 替换为 ldap_port_t：

for port in 1389 1636 8389 8636 2389 2636 13389 13636 9389 9636 14389 14636 4389 4636; do semanage port -a -t ldap_port_t -p tcp $port; done

# for port in 1389 1636 8389 8636 2389 2636 13389 13636 9389 9636 14389 14636 4389 4636; do semanage port -a -t ldap_port_t -p tcp $port; done

Copy to Clipboard

Toggle word wrap

安装 RHDS 实例

安装红帽目录服务器实例，例如：

CC-ECC-RootCA-LDAP (LDAP 端口：1389/1636)
CC-ECC-SubCA-LDAP (LDAP 端口：8389/8636)
CC-ECC-OCSP-rootca-LDAP (LDAP 端口：2389/2636)
CC-ECC-OCSP-subca-LDAP (LDAP 端口：9389/9636)
CC-ECC-KRA-LDAP (LDAP 端口：4389/4636)

注意

请注意，TMS (TPS 和 TKS)不支持 ECC。

您可以使用以下示例脚本来安装 DS 实例。例如，ECC RootCA:

echo "Setting up ENV VARIABLES"
export BASEDN='dc=example,dc=com'
export PORT=1389
export INSTANCE_NAME=CC-ECC-RootCA-LDAP
export SECURE_PORT=1636
export PASSWORD=SECret.123

echo "Running dscreate create-template..."
dscreate create-template | sed -e 's/;suffix =/suffix = '$BASEDN'/' \
    -e 's/;instance_name = localhost/instance_name ='$INSTANCE_NAME'/' \
    -e 's/;port = 389/port = '$PORT'/' \
    -e 's/;secure_port = 636/secure_port = '$SECURE_PORT'/' \
    -e 's/;full_machine_name =/full_machine_name =/' \
    -e 's/;create_suffix_entry = False/create_suffix_entry = True/' \
    -e 's/;root_password = Directory_Manager_Password/root_password = '$PASSWORD'/' \
    -e 's/;self_sign_cert = True/self_sign_cert = True/' > /root/pki_ecc/rootca-ldap.cfg; \
    dscreate from-file /root/pki_ecc/rootca-ldap.cfg

echo "Setting up ENV VARIABLES"
export BASEDN='dc=example,dc=com'
export PORT=1389
export INSTANCE_NAME=CC-ECC-RootCA-LDAP
export SECURE_PORT=1636
export PASSWORD=SECret.123

echo "Running dscreate create-template..."
dscreate create-template | sed -e 's/;suffix =/suffix = '$BASEDN'/' \
    -e 's/;instance_name = localhost/instance_name ='$INSTANCE_NAME'/' \
    -e 's/;port = 389/port = '$PORT'/' \
    -e 's/;secure_port = 636/secure_port = '$SECURE_PORT'/' \
    -e 's/;full_machine_name =/full_machine_name =/' \
    -e 's/;create_suffix_entry = False/create_suffix_entry = True/' \
    -e 's/;root_password = Directory_Manager_Password/root_password = '$PASSWORD'/' \
    -e 's/;self_sign_cert = True/self_sign_cert = True/' > /root/pki_ecc/rootca-ldap.cfg; \
    dscreate from-file /root/pki_ecc/rootca-ldap.cfg

Copy to Clipboard

Toggle word wrap

测试 CRL 发布

确保在命令中使用 ECC 算法。

例如：

PKCS10Client -d /root/.dogtag/pki_ecc_bootstrap/certs_db -p SECret.123 -a ec -c nistp256 -n "cn=test user1, uid=user1" -o /root/.dogtag/pki_ecc_bootstrap/certs_db/user1.req

# PKCS10Client -d /root/.dogtag/pki_ecc_bootstrap/certs_db -p SECret.123 -a ec -c nistp256 -n "cn=test user1, uid=user1" -o /root/.dogtag/pki_ecc_bootstrap/certs_db/user1.req

Copy to Clipboard

Toggle word wrap

请注意以上命令中的 ec -c nistp256。

返回顶部

第 8 章为 ECC 安装和配置

8.1. ECC 安装的先决条件
复制链接

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

第 8 章 为 ECC 安装和配置

8.1. ECC 安装的先决条件复制链接链接已复制到粘贴板!

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

第 8 章为 ECC 安装和配置

8.1. ECC 安装的先决条件
复制链接