7.3. 创建并配置 RootCA （第 I 部分）

流程

1. 在要托管 RHCS 实例的机器上的所选位置（如 /root/pki_rsa）创建一个 CA 安装文件，该文件将托管 RHCS 实例(rhcs10.example.com)。

   # cd /root/pki_rsa

   Copy to Clipboard Toggle word wrap

   # vi rootca_inst.cfg

   Copy to Clipboard Toggle word wrap
   注意

   除非明确指定，否则系统证书别名将自动命名为 pki_instance_name 的值。为了避免共享 HSM 上的证书别名冲突，请为每个实例创建使用不同的实例名称。
   

   以下安装文件中指定的值是示例。除了更改 HSM 密码外，还要相应地编辑值，如 ports, directory, nicknames, domains…​

   [DEFAULT]
   pki_instance_name=rhcs10-RSA-RootCA
   pki_https_port=8443
   pki_http_port=8080
   
   ### Crypto Token
   pki_hsm_enable=True
   pki_hsm_libfile=/opt/nfast/toolkits/pkcs11/libcknfast.so
   pki_hsm_modulename=nfast
   pki_token_name=NHSM-CONN-XC
   pki_token_password=<YourHSMpassword>
   
   pki_audit_signing_token=NHSM-CONN-XC
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=2048
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA
   
   pki_subsystem_token=NHSM-CONN-XC
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_signing_algorithm=SHA256withRSA
   pki_subsystem_key_size=2048
   pki_subsystem_key_type=rsa
   
   pki_sslserver_token=NHSM-CONN-XC
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_signing_algorithm=SHA256withRSA
   pki_sslserver_key_size=2048
   pki_sslserver_key_type=rsa
   
   ### Bootstrap Admin
   pki_admin_password=SECret.123
   pki_admin_key_type=rsa
   pki_admin_key_size=2048
   pki_admin_key_algorithm=SHA256withRSA
   
   ### Bootstrap Admin client dir
   ### by default, if pki_client_dir, pki_client_database_dir,
   ### and pki_client_admin_cert_p12 are not specified, items will be placed
   ### under some default directories in /root/.dogtag
   pki_client_admin_cert_p12=/opt/pki_rsa/rhcs10-RSA-RootCA/ca_admin_cert.p12
   pki_client_database_dir=/opt/pki_rsa/rhcs10-RSA-RootCA/certs_db
   pki_client_database_password=SECret.123
   pki_client_dir=/opt/pki_rsa/rhcs10-RSA-RootCA
   pki_client_pkcs12_password=SECret.123
   
   ### Internal LDAP
   pki_ds_bind_dn=cn=Directory Manager
   pki_ds_ldap_port=389
   pki_ds_ldaps_port=636
   pki_ds_password=SECret.123
   pki_ds_remove_data=True
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=/opt/pki_rsa/temp-dirsrv-rootca-cert.pem
   pki_ds_secure_connection_ca_nickname=DS temp CA certificate
   
   ### Security Domain
   pki_security_domain_hostname=rhcs10.example.com
   pki_security_domain_name=Example-rhcs10-RSA-RootCA
   pki_security_domain_password=SECret.123
   
   
   [Tomcat]
   pki_ajp_port=8009
   pki_tomcat_server_port=8005
   
   
   [CA]
   pki_import_admin_cert=False
   pki_admin_nickname=PKI Bootstrap Administrator for RSA-RootCA
   pki_admin_name=caadmin
   pki_admin_uid=caadmin
   pki_admin_email=caadmin@example.com
   
   pki_ca_signing_token=NHSM-CONN-XC
   pki_ca_signing_key_algorithm=SHA256withRSA
   pki_ca_signing_key_size=3072
   pki_ca_signing_key_type=rsa
   pki_ca_signing_nickname=CA Signing Cert - %(pki_instance_name)s
   pki_ca_signing_signing_algorithm=SHA256withRSA
   
   pki_ocsp_signing_token=NHSM-CONN-XC
   pki_ocsp_signing_key_algorithm=SHA256withRSA
   pki_ocsp_signing_key_size=3072
   pki_ocsp_signing_key_type=rsa
   pki_ocsp_signing_signing_algorithm=SHA256withRSA
   
   pki_ds_hostname=rhds11.example.com
   pki_ds_base_dn=dc=RSA-RootCA
   pki_ds_database=CC-RSA-RootCA-LDAP
   pki_share_db=False
   
   ### Enable random serial numbers
   pki_random_serial_numbers_enable=True

   Copy to Clipboard Toggle word wrap

2. 运行 pkispawn 工具来安装 RHCS CA 实例：

   # pkispawn -s CA -f rootca_inst.cfg --debug

   Copy to Clipboard Toggle word wrap

验证步骤

1. 显示已安装 CA 的状态：

   # pki-server status rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

   请注意 Unsecure EE、Secure EE、Agent、Admin 和 pkiconsole URL。

2. 运行以下命令，验证 CA 的健全性。它应该显示证书：

   # pki -p 8443 -h rhcs10.example.com ca-cert-find

   Copy to Clipboard Toggle word wrap

RootCA 安装的第一步

1. 在要托管 RHCS 实例的机器上的所选位置（如 /root/pki_rsa）创建一个 CA 安装文件，该文件将托管 RHCS 实例(rhcs10.example.com)。

   # cd /root/pki_rsa
   
   # vi rootca_inst.cfg

   Copy to Clipboard Toggle word wrap

   [DEFAULT]
   pki_instance_name=rhcs10-RSA-RootCA
   pki_https_port=8443
   pki_http_port=8080
   
   ### Crypto Token
   pki_hsm_enable=True
   pki_hsm_libfile=/opt/nfast/toolkits/pkcs11/libcknfast.so
   pki_hsm_modulename=nfast
   pki_token_name=NHSM-CONN-XC
   pki_token_password=<YourHSMpassword>
   
   pki_audit_signing_token=NHSM-CONN-XC
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=2048
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA
   
   pki_subsystem_token=NHSM-CONN-XC
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_signing_algorithm=SHA256withRSA
   pki_subsystem_key_size=2048
   pki_subsystem_key_type=rsa
   
   pki_sslserver_token=NHSM-CONN-XC
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_signing_algorithm=SHA256withRSA
   pki_sslserver_key_size=2048
   pki_sslserver_key_type=rsa
   
   ### Bootstrap Admin
   pki_admin_password=SECret.123
   pki_admin_key_type=rsa
   pki_admin_key_size=2048
   pki_admin_key_algorithm=SHA256withRSA
   
   ### Bootstrap Admin client dir
   ### by default, if pki_client_dir, pki_client_database_dir,
   ### and pki_client_admin_cert_p12 are not specified, items will be placed
   ### under some default directories in /root/.dogtag
   pki_client_dir=/opt/pki_rsa/rhcs10-RSA-RootCA
   pki_client_admin_cert_p12=/opt/pki_rsa/rhcs10-RSA-RootCA/ca_admin_cert.p12
   pki_client_database_dir=/opt/pki_rsa/rhcs10-RSA-RootCA/certs_db
   pki_client_database_password=SECret.123
   pki_client_pkcs12_password=SECret.123
   
   ### Internal LDAP
   pki_ds_bind_dn=cn=Directory Manager
   pki_ds_ldap_port=389
   pki_ds_ldaps_port=636
   pki_ds_password=SECret.123
   pki_ds_remove_data=True
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=/opt/pki_rsa/temp-dirsrv-rootca-cert.pem
   pki_ds_secure_connection_ca_nickname=DS temp CA certificate
   
   ### Security Domain
   pki_security_domain_hostname=rhcs10.example.com
   pki_security_domain_name=Example-rhcs10-RSA-RootCA
   pki_security_domain_password=SECret.123
   
   
   [Tomcat]
   pki_ajp_port=8009
   pki_tomcat_server_port=8005
   
   
   [CA]
   pki_import_admin_cert=False
   pki_admin_nickname=PKI Bootstrap Administrator for RSA-RootCA
   pki_admin_name=caadmin
   pki_admin_uid=caadmin
   pki_admin_email=caadmin@example.com
   
   pki_ca_signing_token=NHSM-CONN-XC
   pki_ca_signing_key_algorithm=SHA256withRSA
   pki_ca_signing_key_size=3072
   pki_ca_signing_key_type=rsa
   pki_ca_signing_nickname=CA Signing Cert - %(pki_instance_name)s
   pki_ca_signing_signing_algorithm=SHA256withRSA
   
   pki_ocsp_signing_token=NHSM-CONN-XC
   pki_ocsp_signing_key_algorithm=SHA256withRSA
   pki_ocsp_signing_key_size=3072
   pki_ocsp_signing_key_type=rsa
   pki_ocsp_signing_signing_algorithm=SHA256withRSA
   
   pki_ds_hostname=rhds11.example.com
   pki_ds_base_dn=dc=RSA-RootCA
   pki_ds_database=CC-RSA-RootCA-LDAP
   pki_share_db=False
   
   ### Enable random serial numbers
   pki_random_serial_numbers_enable=True

   Copy to Clipboard Toggle word wrap
   注意

   除非明确指定，否则系统证书别名将自动命名为 pki_instance_name 的值。为了避免共享 HSM 上的证书别名冲突，请为每个实例创建使用不同的实例名称。但是，在两步安装中，两个文件的 pki_instance_name 值应该匹配。以下值只是示例。

2. 运行 pkispawn 工具来安装 RHCS CA 实例：

   # pkispawn -s CA -f rootca_inst.cfg --skip-configuration --debug

   Copy to Clipboard Toggle word wrap

验证步骤

1. 显示已安装 CA 的状态：

   # pki-server status rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

   请注意 Unsecure EE、Secure EE、Agent、Admin 和 pkiconsole URL。

2. 运行以下命令，验证 CA 的健全性。它应该显示证书：

   # pki -p 8443 -h rhcs10.example.com ca-cert-find

   Copy to Clipboard Toggle word wrap

流程

1. 生成要编辑的非CMC 配置集列表：

   # ls /var/lib/pki/rhcs10-RSA-RootCA/ca/profiles/ca | grep -v CMC | grep -v Install | grep -v caInternal | grep -v caECInternal | grep -v caAdminCert | grep -v caECAdminCert | tee /root/pki_rsa/ca-profile-deletelist.txt

   Copy to Clipboard Toggle word wrap

2. 停止 RootCA 实例：

   pki-server stop rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

3. 对于列表中的每个配置集，将 visible 和 enable 参数从 true 改为 false。例如，使用以下命令设置 visible=false 和 enable=false ：

   # cat /root/pki_rsa/ca-profile-deletelist.txt | while read line; do sed -i 's/^visible=true/visible=false/g' /var/lib/pki/rhcs10-RSA-RootCA/ca/profiles/ca/$line; sed -i 's/^enable=true/enable=false/g' /var/lib/pki/rhcs10-RSA-RootCA/ca/profiles/ca/$line; done

   Copy to Clipboard Toggle word wrap

4. 另外，还要将 caCMCUserCert 配置集的 visible 参数改为 false ：

   # sed -i 's/^visible=true/visible=false/' /var/lib/pki/rhcs10-RSA-RootCA/ca/profiles/ca/caCMCUserCert.cfg

   Copy to Clipboard Toggle word wrap

5. 启动 RootCA 实例：

   pki-server start rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

1. 创建 CA 链文件供以后使用：

   # certutil -L -d /var/lib/pki/rhcs10-RSA-RootCA/alias -n "CA Signing Cert - rhcs10-RSA-RootCA" -a > /opt/pki_rsa/rootCA.pem

   Copy to Clipboard Toggle word wrap

   # cp /opt/pki_rsa/rootCA.pem /opt/pki_rsa/ca-chain.pem

   Copy to Clipboard Toggle word wrap

2. 将文件复制到 rhds11.example.com （托管 DS 实例的机器）：

   # scp /opt/pki_rsa/rootCA.pem root@rhds11.example.com:/opt/pki_rsa

   Copy to Clipboard Toggle word wrap

   # scp /opt/pki_rsa/ca-chain.pem root@rhds11.example.com:/opt/pki_rsa

   Copy to Clipboard Toggle word wrap

3. 在 rhds11.example.com 上，编辑 /etc/openldap/ldap.conf 文件，使 TLS_CACERT 指向我们刚才创建的 CA 链文件：

   # echo "TLS_CACERT /opt/pki_rsa/ca-chain.pem" >> /etc/openldap/ldap.conf

   Copy to Clipboard Toggle word wrap

4. 重启 RootCA 的 DS 实例：

   # dsctl slapd-CC-RSA-RootCA-LDAP restart

   Copy to Clipboard Toggle word wrap

流程

1. 创建客户端 nssdb：

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db -c SECret.123 client-init

   Copy to Clipboard Toggle word wrap
   注意

   指定 at -d 的目录应尚不存在。如果存在，另一个 RHCS 实例可能会使用它。在这种情况下，建议将其移出，或者指定不同的路径。您可以使用以下内容检查是否有证书：

   # certutil -L -d /root/.dogtag/pki_rsa_bootstrap/certs_db

   Copy to Clipboard Toggle word wrap

   如果不存在，您可以选择 Yes 来覆盖。

2. 将 CA 签名证书导入到 nssdb 中：

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db -c SECret.123 client-cert-import "CA Signing Cert - rhcs10-RSA-RootCA" --ca-cert /opt/pki_rsa/rootCA.pem

   Copy to Clipboard Toggle word wrap

3. 将 RootCA bootstrap admin 证书/密钥导入到 nssdb 中：

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db -c SECret.123 client-cert-import --pkcs12 /opt/pki_rsa/rhcs10-RSA-RootCA/ca_admin_cert.p12 --pkcs12-password SECret.123
   
   ----------------------------------------
   Imported certificates from PKCS #12 file
   ----------------------------------------

   Copy to Clipboard Toggle word wrap

验证：

1. 列出证书：

   # certutil -d /root/.dogtag/pki_rsa_bootstrap/certs_db -L
   
   Certificate Nickname                            Trust Attributes
                                                   SSL,S/MIME,JAR/XPI
   
   PKI Bootstrap Administrator for RSA-RootCA      u,u,u
   CA Signing Cert - rhcs10-RSA-RootCA             CT,C,C

   Copy to Clipboard Toggle word wrap

2. 以 bootstrap admin 用户身份，列出 RootCA 中的用户：

   # pki -d /root/.dogtag/pki_rsa_bootstrap/certs_db/ -c SECret.123 -p 8443 -n "PKI Bootstrap Administrator for RSA-RootCA" ca-user-find

   Copy to Clipboard Toggle word wrap

   -----------------
   3 entries matched
   -----------------
     User ID:  CA-rhcs10.example.com-8443
     Full name:  CA-rhcs10.example.com-8443
   
     User ID: caadmin
     Full name: caadmin
   
     User ID: pkidbuser
     Full name: pkidbuser
   ----------------------------
   Number of entries returned 3

   Copy to Clipboard Toggle word wrap