7.3. 设置根证书颁发机构（示例）

1. 在所选位置（如 /root/pki_rsa ）在托管 RHCS 实例的计算机上创建一个 CA 安装文件 pki.example.com。

   cd /root/pki_rsa
   
   vi rootca_inst.cfg

   Copy to Clipboard Toggle word wrap

   [DEFAULT]
   pki_instance_name=rhcs10-RSA-RootCA
   pki_https_port=8443
   pki_http_port=8080
   
   # Crypto Token
   pki_hsm_enable=True
   pki_hsm_libfile=/opt/nfast/toolkits/pkcs11/libcknfast.so
   pki_hsm_modulename=nfast
   pki_token_name=NHSM-CONN-XC
   pki_token_password=<YourHSMpassword>
   
   pki_audit_signing_token=NHSM-CONN-XC
   pki_audit_signing_key_algorithm=SHA256withRSA
   pki_audit_signing_key_size=2048
   pki_audit_signing_key_type=rsa
   pki_audit_signing_signing_algorithm=SHA256withRSA
   
   pki_subsystem_token=NHSM-CONN-XC
   pki_subsystem_key_algorithm=SHA256withRSA
   pki_subsystem_signing_algorithm=SHA256withRSA
   pki_subsystem_key_size=2048
   pki_subsystem_key_type=rsa
   
   pki_sslserver_token=NHSM-CONN-XC
   pki_sslserver_key_algorithm=SHA256withRSA
   pki_sslserver_signing_algorithm=SHA256withRSA
   pki_sslserver_key_size=2048
   pki_sslserver_key_type=rsa
   
   # Bootstrap Admin
   pki_admin_password=SECret.123
   pki_admin_key_type=rsa
   pki_admin_key_size=2048
   pki_admin_key_algorithm=SHA256withRSA
   
   # Bootstrap Admin client dir
   # by default, if pki_client_dir, pki_client_database_dir,
   # and pki_client_admin_cert_p12 are not specified, items will be placed
   # under some default directories in /root/.dogtag
   pki_client_dir=/opt/pki_rsa/rhcs10-RSA-RootCA
   pki_client_admin_cert_p12=/opt/pki_rsa/rhcs10-RSA-RootCA/ca_admin_cert.p12
   pki_client_database_dir=/opt/pki_rsa/rhcs10-RSA-RootCA/certs_db
   pki_client_database_password=SECret.123
   pki_client_pkcs12_password=SECret.123
   
   # Internal LDAP
   pki_ds_bind_dn=cn=Directory Manager
   pki_ds_ldap_port=389
   pki_ds_ldaps_port=636
   pki_ds_password=SECret.123
   pki_ds_remove_data=True
   pki_ds_secure_connection=True
   pki_ds_secure_connection_ca_pem_file=/opt/pki_rsa/temp-dirsrv-rootca-cert.pem
   pki_ds_secure_connection_ca_nickname=DS temp CA certificate
   
   # Security Domain
   pki_security_domain_hostname=rhcs10.example.com
   pki_security_domain_name=Example-rhcs10-RSA-RootCA
   pki_security_domain_password=SECret.123
   
   
   [Tomcat]
   pki_ajp_port=8009
   pki_tomcat_server_port=8005
   
   
   [CA]
   pki_import_admin_cert=False
   pki_admin_nickname=PKI Bootstrap Administrator for RSA-RootCA
   pki_admin_name=caadmin
   pki_admin_uid=caadmin
   pki_admin_email=caadmin@example.com
   
   pki_ca_signing_token=NHSM-CONN-XC
   pki_ca_signing_key_algorithm=SHA256withRSA
   pki_ca_signing_key_size=3072
   pki_ca_signing_key_type=rsa
   pki_ca_signing_nickname=CA Signing Cert - %(pki_instance_name)s
   pki_ca_signing_signing_algorithm=SHA256withRSA
   
   pki_ocsp_signing_token=NHSM-CONN-XC
   pki_ocsp_signing_key_algorithm=SHA256withRSA
   pki_ocsp_signing_key_size=3072
   pki_ocsp_signing_key_type=rsa
   pki_ocsp_signing_signing_algorithm=SHA256withRSA
   
   pki_ds_hostname=dir.example.com
   pki_ds_base_dn=dc=RSA-RootCA
   pki_ds_database=CC-RSA-RootCA-LDAP
   pki_share_db=False

   Copy to Clipboard Toggle word wrap
   注意

   除非明确指定，否则系统证书别名将自动命名为 pki_instance_name 的值。为了避免共享 HSM 上的证书别名冲突，请为每个实例创建使用不同的实例名称。但是，在两步安装中，两个文件的 pki_instance_name 值应该匹配。以下值只是示例。

2. 第一次运行 pkispawn 工具来安装 RHCS CA 实例：

   pkispawn -s CA -f rootca_inst.cfg --skip-configuration --debug

   Copy to Clipboard Toggle word wrap

验证步骤

1. 显示已安装 CA 的状态：

   # pki-server status rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

   请注意 Unsecure EE、Secure EE、Agent、Admin 和 pkiconsole URL。

2. 运行以下命令，验证 CA 的健全性。它应该显示证书：

   # pki -p 8443 -h pki.example.com ca-cert-find

   Copy to Clipboard Toggle word wrap
   注意

   当第一次使用 pki 命令连接到 RootCA 时，将显示 CA 签名证书的不受信任的签发者警告，如下所示：

   WARNING: UNTRUSTED ISSUER encountered on 'CN=pki.example.com,OU=rhcs10-RSA-RootCA,O=Example-rhcs10-RSA-RootCA' indicates a non-trusted CA cert 'CN=CA Signing Certificate,OU=rhcs10-RSA-RootCA,O=Example-rhcs10-RSA-RootCA'
   Trust this certificate (y/N)?

   Copy to Clipboard Toggle word wrap

   如果主题 DN 与主机名匹配，请选择 y 以信任 CA 签名证书。警告不会再次显示。