7.2. 使用 pkispawn 工具安装 RHCS

1. [DEFAULT] - 独立于子系统的设置
2. [Tomcat]
3. [CA], [KRA], [OCSP], [TKS], 或 [TPS] - 特定于子系统的部分

1. 从 /usr/share/pki/server/etc/default.cfg 文件中读取默认值。详情请查看 pki_default.cfg (5) 手册页。

   重要

   不要编辑 /usr/share/pki/server/etc/default.cfg 文件。相反，将指示您创建将覆盖默认值的配置文件。有关使用配置文件的详情，请查看以下部分中与各种不同子系统类型对应的 pkispawn 配置文件示例。

2. 读取上述管理员提供的配置文件，以覆盖默认值。
3. 执行请求的子系统的安装。
4. 将设置传递给根据设置执行配置的 Java servlet。

1. 设置唯一的实例名称：

   # pki_instance_name=instance_name

   Copy to Clipboard Toggle word wrap

2. 设置主机名：

   # pki_hostname=server.example.com

   Copy to Clipboard Toggle word wrap
   注意

   证书系统根据这些参数和实例名称创建唯一的证书别名。证书 nickname 的唯一性对于保持由多个 PKI 实例正常工作的 HSM 令牌非常重要。

3. 为 HTTP 和 HTTPS 协议设置端口号：

   pki_https_port=port_number
   pki_http_port=port_number

   Copy to Clipboard Toggle word wrap
   重要

   要在同一主机上运行多个证书系统实例，您必须在 pki_https_port 和 pki_http_port 参数中设置端口，它们没有被主机上的任何其他服务使用。默认情况下，证书系统使用端口 8080 用于 HTTP，8443 用于 HTTPS。

4. 设置特定于 HSM 的参数：

   pki_hsm_enable=True
   pki_hsm_libfile=HSM_PKCS11_library_path
   pki_hsm_modulename=HSM_module_name
   pki_token_name=HSM_token_name
   pki_token_password=HSM_token_password
   
   pki_audit_signing_token=HSM_token_name
   pki_subsystem_token=HSM_token_name
   pki_sslserver_token=HSM_token_name

   Copy to Clipboard Toggle word wrap

   详情请查看 第 6.6.3 节 “准备使用 HSM 安装证书系统”。

5. 如果构建 RSA 证书系统实例，请使用以下配置：

   pki_admin_key_algorithm=SHA256withRSA
   pki_admin_key_size=4096
   pki_admin_key_type=rsa
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_key_size=4096
   pki_sslserver_key_type=rsa
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_key_size=4096
   pki_subsystem_key_type=rsa
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=4096
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA

   Copy to Clipboard Toggle word wrap

   key_algorithm 参数允许的选择有：

   SHA256withRSA
   SHA384withRSA
   SHA512withRSA

   Copy to Clipboard Toggle word wrap
   注意

   您可以将这些算法参数设置为 CA 的 CS.cfg 文件中的 ca.profiles.defaultSigningAlgsAllowed 参数中指定的值。详情请查看管理指南中的 B.2.10 Signing Algorithm Constraint annex （通用标准版）。签名算法必须与 key_type 匹配。

6. 要在创建证书时使用 Elliptic Curve Cryptography (ECC)而不是 RSA，请设置：

   pki_admin_key_algorithm=SHA256withEC
   pki_admin_key_size=nistp256
   pki_admin_key_type=ecc
   pki_sslserver_key_algorithm=SHA256withEC
   pki_sslserver_key_size=nistp256
   pki_sslserver_key_type=ecc
   pki_subsystem_key_algorithm=SHA256withEC
   pki_subsystem_key_size=nistp256
   pki_subsystem_key_type=ecc
   pki_audit_signing_key_algorithm=SHA256withEC
   pki_audit_signing_key_size=nistp256
   pki_audit_signing_key_type=ecc
   pki_audit_signing_signing_algorithm=SHA256withEC

   Copy to Clipboard Toggle word wrap

   key_algorithm 参数允许的选择有：

   SHA256withEC
   SHA384withEC
   SHA512withEC

   Copy to Clipboard Toggle word wrap
   注意

   您可以将这些算法参数设置为 CA 的 CS.cfg 文件中的 ca.profiles.defaultSigningAlgsAllowed 参数中指定的值。详情请查看 管理指南中的 B.2.10 Signing Algorithm Constraint anex。签名算法必须与 key_type 匹配。

   对于 ECC，key_size 允许选择：

   nistp256
   nistp384
   nistp521

   Copy to Clipboard Toggle word wrap

   对于 ECC，允许选择 key_type 是 ecc。

7. 设置 bootstrap admin 用户的客户端目录：

   pki_client_dir=bootstrap_admin_directory

   Copy to Clipboard Toggle word wrap

   默认情况下，路径设置为 ~/.dogtag/instance_name/

   重要

   pki_admin JavaDoc 和 pki_client 27:2.7 参数属于安装过程自动创建的 bootstrap 用户。有关默认角色（特权）和 bootstrap 用户的更多信息，请参阅 第 2.6.6 节 “用户、授权和访问控制”。有关本节中涵盖的参数的描述，请参阅 pki_default.cfg (5) 手册页。

8. 为 bootstrap admin 用户设置各种密码：

   pki_admin_password=password
   pki_client_database_password=password
   pki_client_pkcs12_password=password

   Copy to Clipboard Toggle word wrap

9. 设置与在同一主机上运行的 Directory 服务器的 LDAPS 连接的参数：

   pki_ds_database=back-end database name
   pki_ds_hostname=hostname
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=path_to_CA_or_self-signed_certificate
   pki_ds_password=password

   Copy to Clipboard Toggle word wrap

10. 如果您在目录服务器中使用自签名证书，请使用以下命令将其从目录服务器的网络安全服务(NSS)数据库中导出：

    # certutil -L -d /etc/dirsrv/slapd-instance_name/ \ -n "server-cert" -a -o /root/ds.crt

    Copy to Clipboard Toggle word wrap

11. 对于充当安全域的 CA，请设置正确的参数：

    # for a CA that acts as a security domain
    pki_security_domain_hostname=
    pki_security_domain_name=example.com Security Domain
    pki_security_domain_user=caadmin
    pki_security_domain_password=SD password

    Copy to Clipboard Toggle word wrap

[Tomcat] 部分：

1. 设置 Tomcat JServ 协议(AJP)端口：

   pki_ajp_port=Tomcat_AJP_port

   Copy to Clipboard Toggle word wrap

2. 设置 Tomcat 服务器端口：

   pki_tomcat_server_port=Tomcat_server_port

   Copy to Clipboard Toggle word wrap