17.2. 将 FIPS 模式下的 RHEL 9 副本添加到用 RHEL 8.6 或更早版本初始化的 FIPS 模式下的 IdM 部署会失败

略旨在遵守 FIPS 140-3 的默认 RHEL 9 FIPS 加密策不允许使用 AES HMAC-SHA1 加密类型的密钥派生功能，如 5.1 章节 RFC3961 所定义的。

这个约束不允许在 FIPS 模式下将 RHEL 9 IdM 副本添加到 FIPS 模式下的 RHEL 8 IdM 环境，其中第一个服务器安装在 RHEL 8.6 或更早版本的系统上。这是因为在 RHEL 9 和之前的 RHEL 版本之间没有通用的加密类型，它们通常使用 AES HMAC-SHA1 加密类型，但不使用 AES HMAC-SHA2 加密类型。

kadmin.local getprinc K/M | grep -E '^Key:'

# kadmin.local getprinc K/M | grep -E '^Key:'

我们正努力在 RHEL 7 和 RHEL 8 服务器上生成缺少的 AES HMAC-SHA2 加密的 Kerberos 密钥。这将在 RHEL 9 副本上取得 FIPS 140-3 合规性。但是，这个过程无法完全自动化，因为 Kerberos 密钥加密的设计不可能将现有密钥转换为不同的加密类型。唯一的方法是要求用户更新其密码。