第 19 章 IdM 离线时续订过期的系统证书

流程

1. 可选：备份系统。这强烈推荐，因为 ipa-cert-fix 对 nssdb 进行了不可逆更改。因为 ipa-cert-fix 也对 LDAP 进行了更改，因此也建议备份整个集群。

2. 启动 ipa-cert-fix 工具，以分析系统并列出需要续订的过期证书：

   # ipa-cert-fix
   ...
   The following certificates will be renewed:
   
   Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  13
     Expires: 2019-05-12 05:55:47
   ...
   Enter "yes" to proceed:

   Copy to Clipboard Toggle word wrap

3. 输入 yes 以开始续订过程：

   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  268369925
     Expires: 2021-08-14 02:19:33
   ...
   
   Becoming renewal master.
   The ipa-cert-fix command was successful

   Copy to Clipboard Toggle word wrap

   ipa-cert-fix 更新所有过期证书前最多可能需要一分钟的时间。

1. 确保 LDAP 复制在拓扑中正常工作后，根据上述流程，首先在一台 CA 服务器上运行 ipa-cert-fix。
2. 在另一台 CA 服务器上运行 ipa-cert-fix 之前，请通过 getcert-resubmit （在另一台 CA 服务器上）触发共享证书的 Certmonger 续订，以避免不必要的共享证书的续订。