7.13. 安装后

1. 为证书打开注册配置文件：

   # vi /var/lib/pki/rhcs10-RSA-SubCA/ca/profiles/ca/caCMCcaCert.cfg

   Copy to Clipboard Toggle word wrap

2. 添加以下参数：

   policyset.caCertSet.8.default.params.messageDigest=SHA-256

   Copy to Clipboard Toggle word wrap
3. 保存文件并重启 CA。

1. 以 root 用户身份登录 rhcs10.example.com。

2. 停止需要使用客户端身份验证进行控制台登录的服务器。

   # pki-server stop rhcs10-<INSTANCE>

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl stop pki-tomcatd-nuxwdog@rhcs10-<INSTANCE>.service

   Copy to Clipboard Toggle word wrap

3. 更改位于 /var/lib/pki/ <instance name> / &lt;subsystem>/conf 的目录。例如，如果改为 RootCA conf 目录：

   # cd /var/lib/pki/rhcs10-RSA-RootCA/ca/conf

   Copy to Clipboard Toggle word wrap

4. 修改 CS.cfg 文件，将 authType 从 pwd 改为 sslclientauth，例如：

   authType=sslclientauth

   Copy to Clipboard Toggle word wrap
   注意

   另外，您可以使用 config-set 命令将 authType=sslclientauth 行添加到 CS.cfg 中。例如，使用 ca-config-set 添加到 RootCA 中：

   # pki-server ca-config-set -i rhcs10-RSA-RootCA authType sslclientauth

   Copy to Clipboard Toggle word wrap

5. 启动服务器：

   # pki-server start rhcs10-<INSTANCE>

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl start pki-tomcatd-nuxwdog@rhcs10-<INSTANCE>.service

   Copy to Clipboard Toggle word wrap

1. 以非 root admin 用户身份登录 rhcs10.example.com （例如： jgenie）。
2. bootstrap admin 用户应该向 jgenie 提供 SubCA 和 RootCA 签名证书。在收到 rhcs10.example.com 上的 /opt/pki_rsa/subCA.pem 和 /opt/pki_rsa/rootCA.pem 的内容后，jgenie 应该分别将它们复制到 /home/jgenie/certs_db/rsa_subCA.pem 和 /home/jgenie/certs_db/rsa_rootCA.pem 中。

3. 如果不存在，请创建一个 nssdb：

   $ pki -d /home/jgenie/.redhat-idm-console -c SECret.123 client-init

   Copy to Clipboard Toggle word wrap

4. 导入角色用户证书（例如 /home/jgenie/certs_db/rsa_SubCA_AdminV.p12）：

   $ pki -d /home/jgenie/.redhat-idm-console -c SECret.123 client-cert-import --pkcs12 /home/jgenie/certs_db/rsa_SubCA_AdminV.p12 --pkcs12-password SECret.123

   Copy to Clipboard Toggle word wrap

5. 导入 CA 证书：

   $ pki -d /home/jgenie/.redhat-idm-console -c SECret.123 client-cert-import "CA Signing Cert - rhcs10-RSA-SubCA" --ca-cert /home/jgenie/certs_db/rsa_subCA.pem
   -------------------------------------
   Imported certificate "CA Signing Cert - rhcs10-RSA-SubCA"
   -------------------------------------

   Copy to Clipboard Toggle word wrap

   $ pki -d /home/jgenie/.redhat-idm-console -c SECret.123 client-cert-import "CA Signing Cert - rhcs10-RSA-RootCA" --ca-cert /home/jgenie/certs_db/rsa_rootCA.pem
   -------------------------------------
   Imported certificate "CA Signing Cert - rhcs10-RSA-RootCA"
   -------------------------------------

   Copy to Clipboard Toggle word wrap

流程

1. 停止该实例。例如，对于 KRA：

   # pki-server stop rhcs10-RSA-KRA

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl stop pki-tomcatd-nuxwdog@rhcs10-KRA.service

   Copy to Clipboard Toggle word wrap

2. 在 CS.cfg 文件中将 log.instance.SignedAudit.logSigning 属性设置为 true （默认为false ）。例如：

   # vi /var/lib/pki/rhcs10-RSA-KRA/kra/conf/CS.cfg

   Copy to Clipboard Toggle word wrap

   log.instance.SignedAudit.logSigning=true

   Copy to Clipboard Toggle word wrap

3. 启动实例。例如：

   # pki-server start rhcs10-RSA-KRA

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl start pki-tomcatd-nuxwdog@rhcs10-KRA.service

   Copy to Clipboard Toggle word wrap

流程

1. 以 审核员 身份（一个非 root 用户）登录到 rhcs10.example.com，例如 - aguru。

   $ certutil -d /home/aguru/certs_db -L
   
   Certificate Nickname                      Trust Attributes
                                             SSL,S/MIME,JAR/XPI
   
   . . . Output omitted . . .
   
   rsa_SubCA_AuditV                          u,u,u
   CA Signing Cert - rhcs10-RSA-RootCA       CT,C,C

   Copy to Clipboard Toggle word wrap

2. 列出可用的审计日志文件：

   $ pki -d /home/aguru/certs_db -n "rsa_SubCA_AuditV" -c SECret.123 -p 31443 -h `hostname` ca-audit-file-find
   -----------------
   1 entries matched
   -----------------
     File name: ca_audit
     Size: 1184345
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Copy to Clipboard Toggle word wrap

   在本例中，只有一个文件 ca_audit，但您可以有多个审计日志文件。

3. 作为审核员，检索审计日志文件并将其存储在本地：

   $ pki -d /home/aguru/certs_db -n "rsa_SubCA_AuditV" -c SECret.123 -p 31443 -h `hostname` ca-audit-file-retrieve ca_audit --output /home/aguru/certs_db/ca_audit

   Copy to Clipboard Toggle word wrap

   如果您有多个日志文件，请逐一检索这些文件。

4. 使用 AuditVerify 工具验证签名的审计日志：

   1. 将 SubCA 审计签名证书导入到 nssdb：

      $ pki -p 31443 -h `hostname` ca-cert-find --name "CA Audit Signing Certificate"
      ---------------
      1 entries found
      ---------------
        Serial Number: 0xe8e47bf
      
      . . . Output omitted . . .

      Copy to Clipboard Toggle word wrap

      $ pki -d /home/aguru/certs_db -c SECret.123 -p 31443 -h hostname client-cert-import "SubCA Audit Signing Certificate" --serial 0xe8e47bf --trust ",,P"
      ---------------------------------------------------
      Imported certificate "SubCA Audit Signing Certificate"
      ---------------------------------------------------

      Copy to Clipboard Toggle word wrap

   2. 以 chronological 顺序创建一个包含审计日志文件列表的文件：

      $ cat > /home/aguru/certs_db/audit.txt << EOF
      ca_audit
      EOF

      Copy to Clipboard Toggle word wrap

   3. 运行 auditVerify 工具：

      $ cd /home/aguru/certs_db/

      Copy to Clipboard Toggle word wrap

      $ AuditVerify -d /home/aguru/certs_db -n "SubCA Audit Signing Certificate" -a audit.txt

      Copy to Clipboard Toggle word wrap

1. 使用以下内容创建文件 /etc/audit/rules.d/rhcs-audit-log-deletion.rules ：

   -a always,exit -F arch=b32 -S unlink -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b32 -S rename -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b32 -S rmdir -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b32 -S unlinkat -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b32 -S renameat -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b64 -S unlink -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b64 -S rename -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b64 -S rmdir -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b64 -S unlinkat -F dir=/var/log/pki -F key=rhcs_audit_deletion
   -a always,exit -F arch=b64 -S renameat -F dir=/var/log/pki -F key=rhcs_audit_deletion

   Copy to Clipboard Toggle word wrap

2. 然后重启 auditd 服务：

   # service auditd restart

   Copy to Clipboard Toggle word wrap

1. 使用以下内容创建 /etc/audit/rules.d/rhcs-audit-nssdb-access.rules 文件，将 < instance name&gt; 替换为当前实例：

   -w /etc/pki/<instance name>/alias -p warx -k rhcs_audit_nssdb

   Copy to Clipboard Toggle word wrap

2. 对于 /etc/pki/ <instance name> /alias 中的每个文件(<file >)，将以下行添加到 /etc/audit/rules.d/rhcs-audit-nssdb-access.rules ：

   -w /etc/pki/<instance name>/alias/<file> -p warx -k rhcs_audit_nssdb

   Copy to Clipboard Toggle word wrap

   例如，如果 rhcs10-RSA-SubCA 实例上的文件为 cert8.db,key3.db,NHSM-CONN-XCcert8.db,NHSM-CONN-XCkey3.db, 和 secmod.db，则配置文件将包含：

   -w /etc/pki/rhcs10-RSA-SubCA/alias/ -p warx -k rhcs_audit_nssdb
   -w /etc/pki/rhcs10-RSA-SubCA/alias/ca.crt -p warx -k rhcs_audit_nssdb
   -w /etc/pki/rhcs10-RSA-SubCA/alias/cert9.db -p warx -k rhcs_audit_nssdb
   -w /etc/pki/rhcs10-RSA-SubCA/alias/key4.db -p warx -k rhcs_audit_nssdb
   -w /etc/pki/rhcs10-RSA-SubCA/alias/NHSM-CONN-XCcert9.db -p warx -k rhcs_audit_nssdb
   -w /etc/pki/rhcs10-RSA-SubCA/alias/NHSM-CONN-XCkey4.db -p warx -k rhcs_audit_nssdb
   -w /etc/pki/rhcs10-RSA-SubCA/alias/pkcs11.txt -p warx -k rhcs_audit_nssdb

   Copy to Clipboard Toggle word wrap

3. 然后重启 auditd ：

   # service auditd restart

   Copy to Clipboard Toggle word wrap

1. 使用以下内容创建 /etc/audit/rules.d/rhcs-audit-rhcs_audit_time_change.rules 文件：

   -a always,exit -F arch=b32 -S adjtimex,settimeofday,stime -F key=rhcs_audit_time_change
   -a always,exit -F arch=b64 -S adjtimex,settimeofday -F key=rhcs_audit_time_change
   -a always,exit -F arch=b32 -S clock_settime -F a0=0x0 -F key=rhcs_audit_time_change
   -a always,exit -F arch=b64 -S clock_settime -F a0=0x0 -F key=rhcs_audit_time_change
   -a always,exit -F arch=b32 -S clock_adjtime -F key=rhcs_audit_time_change
   -a always,exit -F arch=b64 -S clock_adjtime -F key=rhcs_audit_time_change
   -w /etc/localtime -p wa -k rhcs_audit_time_change

   Copy to Clipboard Toggle word wrap

2. 然后重启 auditd ：

   # service auditd restart

   Copy to Clipboard Toggle word wrap

1. 使用以下内容创建 /etc/audit/rules.d/rhcs-audit-config-access.rules 文件：

   -w /etc/pki/instance_name/server.xml -p wax -k rhcs_audit_config

   Copy to Clipboard Toggle word wrap

2. 另外，在 /etc/pki/instance_name/ 目录中为每个子系统添加以下内容：

   -w /etc/pki/instance name/subsystem/CS.cfg -p wax -k rhcs_audit_config

   Copy to Clipboard Toggle word wrap

   例如，如果在 rhcs10-RSA-SubCA 实例上只安装了 CA，/etc/audit/rules.d/rhcs-audit-config-access.rules 文件将包含：

   -w /etc/pki/rhcs10-RSA-SubCA/server.xml -p wax -k rhcs_audit_config
   -w /etc/pki/rhcs10-RSA-SubCA/ca/CS.cfg -p wax -k rhcs_audit_config

   Copy to Clipboard Toggle word wrap

   请注意，在 rhcs_audit_nssdb 下已对对 RHCS NSS 数据库的访问进行了审核。

验证审计规则

1. 添加每个审计规则并重启 auditd 服务后，您可以验证是否添加了新规则：

   # auditctl -l

   Copy to Clipboard Toggle word wrap

   新规则的内容应该在输出中可见。

1. 访问 SubCA 别名目录：

   # cd /etc/pki/rhcs10-RSA-SubCA/alias/

   Copy to Clipboard Toggle word wrap

2. 检查审计事件：

   # ausearch -k rhcs_audit_nssdb

   Copy to Clipboard Toggle word wrap

1. 编辑 server.xml 文件并搜索 certificateVerification= 参数。

2. 将参数值从 optional 改为 required ：

   certificateVerification=required

   Copy to Clipboard Toggle word wrap
3. 保存并重启每个服务器实例以使修改生效。

1. 停止您要配置的 CS 实例：

   # pki-server stop rhcs10-<INSTANCE>

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl stop pki-tomcatd-nuxwdog@rhcs10-<INSTANCE>.service

   Copy to Clipboard Toggle word wrap

2. 在 CS.cfg 中，请将 RHCS 实例的子系统证书别名添加到 internaldb.ldapauth.clientCertNickname 中，并删除两个未使用的条目：

   internaldb.ldapauth.bindDN
   		internaldb.ldapauth.bindPWPrompt

   Copy to Clipboard Toggle word wrap

   如下所示：

1. 重启 CS 实例：

   # pki-server start rhcs10-<INSTANCE>

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl start pki-tomcatd-nuxwdog@rhcs10-<INSTANCE>.service

   Copy to Clipboard Toggle word wrap

1. 首先，使用必要的修改根据现有策略(/usr/share/crypto-policies/FIPS.pol)构建一组策略。这将相应地更新另一个配置文件(/etc/crypto-policies/back-ends/nss.config)。
2. 然后，有关如何进一步定制生成的更改的配置文件(/etc/crypto-policies/back-ends/nss.config)以获得所需结果的说明。

流程

1. 关闭所有证书系统服务器。例如：

   # pki-server stop rhcs10-<INSTANCE>

   Copy to Clipboard Toggle word wrap

   或者，如果使用 Nuxwdog watchdog:

   # systemctl stop pki-tomcatd-nuxwdog@rhcs10-<INSTANCE>.service

   Copy to Clipboard Toggle word wrap

2. 查找系统作为以下策略的文件系统：

   # update-crypto-policies --show

   Copy to Clipboard Toggle word wrap

   如果遵循安装过程，您应该看到"FIPS"作为命令输出。

3. 将当前的策略复制到我们的新的自定义策略文件中，以进行修改：

   # cp /usr/share/crypto-policies/policies/FIPS.pol /etc/crypto-policies/policies/CC-FIPS.pol

   Copy to Clipboard Toggle word wrap

4. 编辑自定义策略文件，例如：

   # vi /etc/crypto-policies/policies/CC-FIPS.pol

   Copy to Clipboard Toggle word wrap

   进行以下修改，然后保存文件：

   1. 更改 groups 参数的分配：

      group = SECP256R1 SECP384R1 SECP521R1 \ FFDHE-2048 FFDHE-3072 FFDHE-4096 FFDHE-6144 FFDHE-8192

      Copy to Clipboard Toggle word wrap

      至

      group = SECP256R1 SECP384R1 SECP521R1

      Copy to Clipboard Toggle word wrap

   2. 更改 key_exchange 参数的分配：

      key_exchange = ECDHE DHE DHE-RSA PSK DHE-PSK ECDHE-PSK

      Copy to Clipboard Toggle word wrap

      至

      key_exchange = ECDHE DHE PSK DHE-PSK ECDHE-PSK

      Copy to Clipboard Toggle word wrap

   3. 更改 min_dh_size 参数的分配

      min_dh_size = 2048

      Copy to Clipboard Toggle word wrap

      至

      min_dh_size = 176384

      Copy to Clipboard Toggle word wrap

5. 注册自定义站点策略：

   # update-crypto-policies --set CC-FIPS

   Copy to Clipboard Toggle word wrap

   nss.config 文件反映 update_crypto-policies -set 对自定义策略文件的调用后的更改。
   此流程的第二部分包括进一步对 nss.config 文件的更改。

6. 编辑 nss.config 文件，例如：

   # vi /etc/crypto-policies/back-ends/nss.config

   Copy to Clipboard Toggle word wrap

   在 allow= 字符串的分配 config 参数下，直接在 dtls-version-min=dtls1.2 设置后插入以下字符串：

   tls-version-max=tls1.2:dtls-version-max=dtls1.2

   Copy to Clipboard Toggle word wrap

   生成的 config 行应类似如下：

   config="disallow=ALL allow=HMAC-SHA256:HMAC-SHA1:HMAC-SHA384:HMAC-SHA512:SECP256R1:SECP384R1:SECP521R1:aes256-gcm:aes256-cbc:aes128-gcm:aes128-cbc:SHA256:SHA384:SHA512:SHA224:ECDHE-RSA:ECDHE-ECDSA:tls-version-min=tls1.2:dtls-version-min=dtls1.2:tls-version-max=tls1.2:dtls-version-max=dtls1.2:DH-MIN=176384:DSA-MIN=2048:RSA-MIN=2048"

   Copy to Clipboard Toggle word wrap

7. 启动或重启任何基于 nss 的应用程序/服务器/客户端以查看应用更改。例如：

   # pki-server start rhcs10-RSA-RootCA

   Copy to Clipboard Toggle word wrap

   # pki-server restart rhcs10-RSA-SubCA

   Copy to Clipboard Toggle word wrap

   …​

   或者，如果使用 Nuxwdog Watchdog ：

   # systemctl start pki-tomcatd-nuxwdog@rhcs10-RSA-RootCA.service

   Copy to Clipboard Toggle word wrap

   # systemctl restart pki-tomcatd-nuxwdog@rhcs10-RSA-SubCA.service

   Copy to Clipboard Toggle word wrap

   # systemctl restart pki-tomcatd-nuxwdog@rhcs10-RSA-OCSP-rootca.service

   Copy to Clipboard Toggle word wrap

   # systemctl restart pki-tomcatd-nuxwdog@rhcs10-RSA-OCSP-subca.service

   Copy to Clipboard Toggle word wrap

   # systemctl restart pki-tomcatd-nuxwdog@rhcs10-RSA-KRA.service

   Copy to Clipboard Toggle word wrap

   …​

验证：

1. 验证横幅不包含无效的字符：

   # pki-server banner-validate -i instance_name
   ---------------
   Banner is valid
   ---------------

   Copy to Clipboard Toggle word wrap

2. 显示当前配置的横幅：

   # pki-server banner-show -i instance_name

   Copy to Clipboard Toggle word wrap