18.8. 将 SCEP 与 certmonger 搭配使用

流程

1. 将 CA 配置添加到 certmonger ：

   [root@client.idm.example.com ~]# getcert add-scep-ca -c SCEP_example -u SCEP_URL

   Copy to Clipboard Toggle word wrap
   • -c: 为 CA 配置强制别名。之后，相同的值可以与其他 getcert 命令一起使用。

   • - U :服务器的 SCEP 接口的 URL。

     重要

     在使用 HTTPS URL 时，还必须使用 -R 选项指定 SCEP 服务器 CA 证书的 PEM 格式副本的位置。

2. 验证 CA 配置是否已成功添加：

   [root@client.idm.example.com ~]# getcert list-cas -c SCEP_example
   CA 'SCEP_example':
          is-default: no
          ca-type: EXTERNAL
          helper-location: /usr/libexec/certmonger/scep-submit -u http://SCEP_server_enrollment_interface_URL
          SCEP CA certificate thumbprint (MD5): A67C2D4B 771AC186 FCCA654A 5E55AAF7
          SCEP CA certificate thumbprint (SHA1): FBFF096C 6455E8E9 BD55F4A5 5787C43F 1F512279

   Copy to Clipboard Toggle word wrap

   如果成功添加了配置，certmonger 会从远程 CA 检索 CA 链。然后，CA 链在命令输出中显示为 thumbprints。通过未加密的 HTTP 访问服务器时，请手动将 thumbprints 与 SCEP 服务器中显示的内容进行比较，以防止中间人攻击。

3. 从 CA 请求证书：

   • 如果您使用 NSS：

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -d /etc/pki/nssdb -n ExampleCert -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     Copy to Clipboard Toggle word wrap

     您可以使用选项来指定证书请求的以下参数：

     • - i : 可选：任务的名称：请求的跟踪 ID。稍后可以将相同的值用于 getcert list 命令。
     • -c: 将请求提交到的 CA 配置。
     • -d ：使用 NSS 数据库存储证书和密钥的目录。
     • -n: NSS 数据库中使用的证书的 Nickname。
     • -n: CSR 中的 Subject 名称。
     • -L: CA 发布的时间限制的一次性 质询Password PIN。
     • - d ：证书的主题备用名称，通常与主机名相同。

   • 如果使用 OpenSSL：

     [root@client.idm.example.com ~]# getcert request -I Example_Task -c SCEP_example -f /etc/pki/tls/certs/server.crt -k /etc/pki/tls/private/private.key -N cn="client.idm.example.com" -L one-time_PIN -D client.idm.example.com

     Copy to Clipboard Toggle word wrap

     您可以使用选项来指定证书请求的以下参数：

     • - i : 可选：任务的名称：请求的跟踪 ID。稍后可以将相同的值用于 getcert list 命令。
     • -c: 将请求提交到的 CA 配置。
     • -f ：证书的存储路径。
     • -k ：密钥的存储路径。
     • -n: CSR 中的 Subject 名称。
     • -L: CA 发布的时间限制的一次性 质询Password PIN。
     • - d ：证书的主题备用名称，通常与主机名相同。

验证

1. 验证证书是否已发布并正确存储在本地数据库中：

   • 如果您使用的 NSS，请输入：

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     	Request ID 'Example_Task':
             status: MONITORING
             stuck: no
             key pair storage: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             certificate: type=NSSDB,location='/etc/pki/nssdb',nickname='ExampleCert',token='NSS Certificate DB'
             signing request thumbprint (MD5): 503A8EDD DE2BE17E 5BAA3A57 D68C9C1B
             signing request thumbprint (SHA1): B411ECE4 D45B883A 75A6F14D 7E3037F1 D53625F4
             CA: IPA
             issuer: CN=Certificate Authority,O=EXAMPLE.COM
             subject: CN=client.idm.example.com,O=EXAMPLE.COM
             expires: 2018-05-06 10:28:06 UTC
             key usage: digitalSignature,keyEncipherment
             eku: iso.org.dod.internet.security.mechanisms.8.2.2
             certificate template/profile: IPSECIntermediateOffline
             pre-save command:
             post-save command:
             track: true
     	auto-renew: true

     Copy to Clipboard Toggle word wrap

   • 如果使用 OpenSSL，请输入：

     [root@client.idm.example.com ~]# getcert list -I Example_Task
     Request ID 'Example_Task':
            status: MONITORING
            stuck: no
            key pair storage: type=FILE,location='/etc/pki/tls/private/private.key'
            certificate: type=FILE,location='/etc/pki/tls/certs/server.crt'
            CA: IPA
            issuer: CN=Certificate Authority,O=EXAMPLE.COM
            subject: CN=client.idm.example.com,O=EXAMPLE.COM
            expires: 2018-05-06 10:28:06 UTC
            eku: id-kp-serverAuth,id-kp-clientAuth
            pre-save command:
            post-save command:
            track: true
            auto-renew: true

     Copy to Clipboard Toggle word wrap

     状态 MONITORING 表示成功检索发布的证书。getcert-list (1) 手册页列出了其他可能的状态及其含义。

流程

1. 在 AD 服务器上打开 regedit。
2. 在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP 子键中，添加一个新的 32 位 REG_DWORD 条目 DisableRenewalSubjectNameMatch，并将其值设为 1。

3. 在运行 certmonger 的服务器上，打开 /etc/certmonger/certmonger.conf 文件，并添加以下部分：

   [scep]
   challenge_password_otp = yes

   Copy to Clipboard Toggle word wrap

4. 重启 certmonger：

   # systemctl restart certmonger

   Copy to Clipboard Toggle word wrap