17.2. 更改并重置 IdM CA 续订服务器

流程

1. 可选：要找出部署中哪些 IdM 服务器有资格成为新的 CA 续订服务器的必需的 CA 角色：

   ~]$ ipa server-role-find --role 'CA server'
   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   Copy to Clipboard Toggle word wrap

   部署中有两个 CA 服务器。

2. 可选： 要找出哪个 CA 服务器是当前的 CA 续订服务器，请输入：

   ~]$ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   Copy to Clipboard Toggle word wrap

   当前续订服务器为 server.idm.example.com。

3. 要更改续订服务器配置，请使用 ipa config-mod 实用程序和 --ca-renewal-master-server 选项：

   ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
     IPA CA renewal master: replica.idm.example.com

   Copy to Clipboard Toggle word wrap
   重要

   您还可以使用以下命令切换到新的 CA 续订服务器：

   • ipa-cacert-manage --renew 命令。此命令会续订 CA 证书 ，并使 您在其上执行新 CA 续订服务器的 CA 服务器。
   • ipa-cert-fix 命令。当证书过期时，该命令会恢复部署。它还使您在其上执行该命令的 CA 服务器成为新的 CA 续订服务器。