第 2 章 为智能卡验证配置身份管理

流程

1. 创建要进行配置的目录：

   [root@server]# mkdir ~/SmartCard/

   Copy to Clipboard Toggle word wrap

2. 进入该目录：

   [root@server]# cd ~/SmartCard/

   Copy to Clipboard Toggle word wrap

3. 获取存储在 PEM 格式文件中的相关 CA 证书。如果您的 CA 证书存储再不同格式的文件中，如 DER，请将其转换为 PEM 格式。IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

   将 DER 文件转换为 PEM 文件：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   Copy to Clipboard Toggle word wrap

4. 为方便起见，将证书复制到您要进行配置的目录中：

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

   Copy to Clipboard Toggle word wrap

5. 可选：如果您使用外部证书颁发机构的证书，请使用 openssl x509 实用程序以 PEM 格式查看文件的内容，以检查 Issuer 和 Subject 值是否正确：

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

   Copy to Clipboard Toggle word wrap

6. 使用管理员特权，通过内置的 ipa-advise 工具生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   Copy to Clipboard Toggle word wrap

   config-server-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

7. 执行脚本，将包含根 CA 和子 CA 证书的 PEM 文件添加为参数：

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   Copy to Clipboard Toggle word wrap
   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

8. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，您可能需要禁用 OCSP 检查 IdM Web UI 进行身份验证：

   1. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

      SSLOCSPEnable off

      Copy to Clipboard Toggle word wrap

   2. 重启 Apache 守护进程(httpd)使更改立即生效：

      [root@server SmartCard]# systemctl restart httpd

      Copy to Clipboard Toggle word wrap
   警告

   如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

   有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。