第 24 章 管理用户、主机和服务的证书

为证书数据库创建一个临时目录：

# mkdir ~/certdb/

创建新的临时证书数据库，例如：

# certutil -N -d ~/certdb/

创建证书签名请求(CSR)，并将输出重定向到文件。例如，要为 4096 位证书创建 CSR，并将主题设为 CN=server.example.com,O=EXAMPLE.COM ：

# certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

将证书请求提交到 CA。详情请查看 第 24.1.1.4 节 “将证书请求提交到 IdM CA”。

为 Kerberos 主体 test /server.example.com 创建一个或多个别名，如test1/ server.example.com、test2/ server.example.com。详情请查看 第 20.2.1 节 “Kerberos 主要别名”。

在 CSR 中，为 dnsName(server.example.com)和otherName(test2/server.example.com)添加 subjectAltName。要做到这一点，请配置 openssl.conf 文件，使其包含以下指定 UPN otherName 和 subjectAltName 的行：

otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
DNS.1 = server.example.com

使用 openssl 创建证书请求：

openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

将证书请求提交到 CA。详情请查看 第 24.1.1.4 节 “将证书请求提交到 IdM CA”。