第 1 章 保护红帽目录服务器

流程

1. 创建私钥和证书签名请求(CSR)。如果要使用外部实用程序创建它们，请跳过这一步。

   • 如果您的主机只能通过一个名称访问，请输入：

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization"

     Copy to Clipboard Toggle word wrap

   • 如果您的主机可以通过多个名称访问：

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization" server.example.com server.example.net

     Copy to Clipboard Toggle word wrap

     如果您将主机名指定为最后一个参数，命令将使用 DNS:server.example. com、DNS:server.example.net 条目将 Subject Alternative Name (SAN)扩展添加到 CSR。

   在 -s subject 参数中指定的字符串必须是根据 RFC 1485 的有效主题名称。主题中的 CN 字段是必需的，您必须将其设置为服务器的完全限定域名(FQDN)。命令会将 CSR 存储在 /etc/dirsrv/slapd- <instance_name>/Server-Cert.csr 文件中。

2. 将 CSR 提交到证书颁发机构(CA)以获取签发的证书。详情请查看您的 CA 文档。

3. 将 CA 发布的服务器证书导入到 NSS 数据库：

   • 如果您使用 dsctl tls generate-server-cert-csr 命令创建私钥，请输入：

     # dsconf <instance_name> security certificate add --file /root/instance_name.crt --name "server-cert" --primary-cert

     Copy to Clipboard Toggle word wrap

     记住您在 -name _certificate_nickname 参数中设置的证书的名称。在后续步骤中，您需要它。

   • 如果您使用外部实用程序创建私钥，请导入服务器证书和私钥：

     # dsctl <instance_name> tls import-server-key-cert /root/server.crt /root/server.key

     Copy to Clipboard Toggle word wrap

     请注意，命令要求您首先指定服务器证书的路径，然后指定私钥的路径。这个方法始终将证书的 nickname 设置为 Server-Cert。

4. 将 CA 证书导入到 NSS 数据库：

   # dsconf <instance_name> security ca-certificate add --file /root/ca.crt --name "Example CA"

   Copy to Clipboard Toggle word wrap

5. 设置 CA 证书的信任标记：

   # dsconf <instance_name> security ca-certificate set-trust-flags "Example CA" --flags "CT,,"

   Copy to Clipboard Toggle word wrap

   这会将目录服务器配置为信任用于 TLS 加密和基于证书的身份验证的 CA。

6. 启用 TLS 并设置 LDAPS 端口：

   # dsconf <instance_name> config replace nsslapd-securePort=636 nsslapd-security=on

   Copy to Clipboard Toggle word wrap

7. 在 firewalld 服务中打开 LDAPS 端口：

   # firewall-cmd --permanent --add-port=636/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

8. 启用 RSA 密码系列，设置 NSS 数据库安全设备和服务器证书名称：

   # dsconf <instance_name> security rsa set --tls-allow-rsa-certificates on --nss-token "internal (software)" --nss-cert-name Server-Cert

   Copy to Clipboard Toggle word wrap

   默认情况下，NSS 数据库中的安全设备名称是 内部的（软件）。

9. 可选：禁用纯文本 LDAP 端口：

   # dsconf <instance_name> security disable_plain_port

   Copy to Clipboard Toggle word wrap

10. 重启实例

    # dsctl <instance_name> restart

    Copy to Clipboard Toggle word wrap

流程

1. 导航到 Server Security Certificate Management Certificate Signing Request，然后单击 Create Certificate Signing Request。

2. 为证书签名请求(CSR)、通用名称(CN)和机构(O)设置名称：

   

   View larger image

   

   如果您的主机可由多个名称访问，请在 Subject Alternative Names filed 中设置替代名称。

3. 单击 Create Certificate Signing Request。

4. 查看 CSR 文本并复制它：

   1. 单击您要查看的 CSR 的 Node options 图标，然后选择 View CSR。
   2. 复制 CSR 内容。
5. 将 CSR 文件提交到证书颁发机构(CA)以获取签发的证书。详情请查看您的 CA 文档。
6. 从 CA 获取证书时，导航到 Server Security Certificate Management TLS Certificates，然后单击 Add Server Certificate。

7. 为服务器证书设置唯一别名，上传发布的证书，然后点 Add Certificate。

   请记住证书 nickname，因为稍后的步骤需要它。

8. 导航到 服务器 安全证书 管理 受信任的证书颁发机构，然后单击添加 CA 证书。
9. 为 CA 证书设置唯一别名，上传 CA 证书文件，然后单击 添加证书。

10. 可选：如果您在 Directory Server 实例安装过程中没有启用 TLS 加密，请启用它：

    1. 导航到 Server Security Settings，并启用安全开关。
    2. 在弹出窗口上，单击 Enable Security。
    3. 在 Security Setting 页面中点 Save Configuration。

11. 在安全配置页面中的配置服务器证书名称：

    1. 进入到 Server Security Security Configuration。
    2. 在 Server Certificate Name 下拉列表中选择服务器证书 nickname，然后单击 Save Configuration。
    3. 可选： 如果您在下拉列表中没有看到证书 nickname，请刷新 Security Settings 页面并再次执行上一步。
12. 可选：如果要使用 636 以外的 LDAPS 端口，请导航到 Server Server Settings，设置 LDAPS 端口，然后点 Save。

13. 在 firewalld 服务中打开 LDAPS 端口：

    # firewall-cmd --permanent --add-port=636/tcp
    # firewall-cmd --reload

    Copy to Clipboard Toggle word wrap

14. 可选：进入到 Server Security Security Configuration，选择 Require Secure Connections，点 Save Configuration。

    目录服务器禁用纯文本 LDAP 端口。

15. 点右上角的 Actions，然后选择 Restart Instance。

流程

1. 使用以下命令更改 NSS 数据库密码：

   # certutil -d /etc/dirsrv/slapd-<instance_name>/ -W
   
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

   Copy to Clipboard Toggle word wrap

2. 如果您使用密码文件在没有提示输入 NSS 数据库密码的情况下自动启动目录服务器，请在 /etc/dirsrv/slapd-<instance_name>/pin.txt 中使用新密码替换旧密码：

   • 如果您使用 NSS 软件加密模块，这是默认设置：

     Internal (Software) Token:password

     Copy to Clipboard Toggle word wrap

   • 如果您使用硬件安全模块(HSM)：

     name_of_the_token:password

     Copy to Clipboard Toggle word wrap

流程

1. 使用以下内容创建 /etc/dirsrv/slapd-<instance_name>/pin.txt 文件：

   • 如果您使用 NSS 软件加密模块，这是默认设置：

     Internal (Software) Token:password

     Copy to Clipboard Toggle word wrap

   • 如果您使用硬件安全模块(HSM)：

     name_of_the_token:password

     Copy to Clipboard Toggle word wrap

2. 设置文件权限：

   # chown dirsrv:root /etc/dirsrv/slapd-<instance_name>/pin.txt
   # chmod 400 /etc/dirsrv/slapd-<instance_name>/pin.txt

   Copy to Clipboard Toggle word wrap

流程

1. 如果您没有 Directory 服务器使用的 CA 证书的本地副本：

   1. 列出服务器网络安全服务(NSS)数据库中的证书：

      # certutil -d /etc/dirsrv/slapd-<instance_name>/ -L
      
      Certificate Nickname                       Trust Attributes
                                                 SSL,S/MIME,JAR/XPI
      
      Example CA                                 C,,
      Server-Cert                                u,u,u

      Copy to Clipboard Toggle word wrap

   2. 使用 NSS 数据库中 CA 证书的别名导出 CA 证书：

      # certutil -d /etc/dirsrv/slapd-<instance_name>/ -L -n "Example CA" -a > /tmp/ds-ca.crt

      Copy to Clipboard Toggle word wrap

2. 将 CA 证书复制到 /etc/pki/ca-trust/source/anchors/ 目录中：

   # cp /tmp/ds-ca.crt /etc/pki/ca-trust/source/anchors/

   Copy to Clipboard Toggle word wrap

3. 重建 CA 信任数据库：

   # update-ca-trust

   Copy to Clipboard Toggle word wrap