管理 IdM 中的证书

流程

1. 为您的用户、主机或服务生成证书签名请求(CSR)。例如，要使用 openssl 工具为运行在 client.idm.example.com 上的 HTTP 服务生成一个 CSR，请输入：

   # openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout new.key \
   -out new.csr -subj '/CN=client.idm.example.com,O=IDM.EXAMPLE.COM'

   因此，CSR 存储在 new.csr 中。

2. 使用以下内容创建 Ansible playbook 文件 request-certificate.yml ：

   ---
   - name: Playbook to request a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Request a certificate for a web server
       freeipa.ansible_freeipa.ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         state: requested
         csr: |
           -----BEGIN CERTIFICATE REQUEST-----
           MIGYMEwCAQAwGTEXMBUGA1UEAwwOZnJlZWlwYSBydWxlcyEwKjAFBgMrZXADIQBs
           HlqIr4b/XNK+K8QLJKIzfvuNK0buBhLz3LAzY7QDEqAAMAUGAytlcANBAF4oSCbA
           5aIPukCidnZJdr491G4LBE+URecYXsPknwYb+V+ONnf5ycZHyaFv+jkUBFGFeDgU
           SYaXm/gF8cDYjQI=
           -----END CERTIFICATE REQUEST-----
         principal: HTTP/client.idm.example.com
       register: cert

   将证书请求替换为 new.csr 中的 CSR。

3. 请求证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/request-certificate.yml

流程

1. 使用以下内容创建 Ansible playbook 文件 revoke-certificate.yml ：

   ---
   - name: Playbook to revoke a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Revoke a certificate for a web server
       freeipa.ansible_freeipa.ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         revocation_reason: "keyCompromise"
         state: revoked

2. 撤销证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/revoke-certificate.yml

流程

1. 使用以下内容创建 Ansible playbook 文件 restore-certificate.yml ：

   ---
   - name: Playbook to restore a certificate
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Restore a certificate for a web service
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         state: released

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/restore-certificate.yml

流程

1. 使用以下内容创建 Ansible playbook 文件 retrieve-certificate.yml ：

   ---
   - name: Playbook to retrieve a certificate and store it locally on the managed node
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Retrieve a certificate and save it to file 'cert.pem'
       freeipa.ansible_freeipa.ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         certificate_out: cert.pem
         state: retrieved

2. 检索证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/retrieve-certificate.yml

流程

1. 在 Identity 选项卡下，选择 Users、Hosts 或 Services 子选项卡。

2. 单击用户、主机或服务的名称，以打开其配置页面。

   主机列表

   
3. 单击 Actions → New Certificate。
4. 可选：选择发布 CA 和配置文件 ID。
5. 按照说明使用屏幕上的 certutil 命令行(CLI)工具。
6. 点 Issue。

流程

1. 为证书数据库创建一个临时目录：

   # mkdir ~/certdb/

2. 例如，创建一个新的临时证书数据库：

   # certutil -N -d ~/certdb/

3. 创建 CSR，并将输出重定向到文件。例如，要为 4096 位证书创建一个 CSR，并将主题设为 CN=server.example.com,O=EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

4. 将证书请求文件提交到 IdM 服务器上运行的 CA。指定要与新发布的证书关联的 Kerberos 主体：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM root CA ipa

     要选择子 CA，请使用 --ca 选项。

流程

1. 为您的 Kerberos 主体 test/server.example.com 创建一个或多个别名。例如，test1/server.example.com 和 test2/server.example.com。

2. 在 CSR 中，为 dnsName(server.example.com)和 otherName(test2/server.example.com)添加 subjectAltName。要做到这一点，将 openssl.cnf 文件配置为包含以下指定 UPN otherName 和 subjectAltName 的行：

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

3. 使用 openssl 创建证书请求：

   # openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.cnf

4. 将证书请求文件提交到 IdM 服务器上运行的 CA。指定要与新发布的证书关联的 Kerberos 主体：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM root CA ipa

     要选择子 CA，请使用 --ca 选项。

流程

1. 要为 IdM 用户添加证书，请输入：

   $ ipa user-add-cert user --certificate=MIQTPrajQAwg...

2. 指定以下信息：

   • 用户名

   • Base64 编码的 DER 证书

     注意

     不是将证书内容复制并粘贴到命令行，您可以将证书转换为 DER 格式，然后将其重新编码为 Base64。例如，要将 user_cert.pem 证书添加给 user，请输入：

     $ ipa user-add-cert user --certificate="$(openssl x509 -outform der -in user_cert.pem | base64 -w 0)"

   您可以在不添加任何选项的情况下，以交互方式运行 ipa user-add-cert 命令。

   • 要将证书添加到 IdM 主机，请输入：ipa host-add-cert
   • 要将证书添加到 IdM 服务，请输入：ipa service-add-cert

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 单击用户、主机或服务的名称，以打开其配置页面。

3. 单击 Certificates 条目旁边的 Add。

   将证书添加给用户帐户

   
4. 将 Base64 或 PEM 编码格式的证书粘贴到文本字段中，然后单击 Add。
5. 单击 Save 以保存更改。

流程

1. 要从 IdM 用户中删除证书，请输入：

   $ ipa user-remove-cert user --certificate=MIQTPrajQAwg...

   或者，您可以在不添加任何选项的情况下以交互方式运行 ipa user-remove-cert 命令。

2. 指定以下信息：

   • 用户名
   • Base64 编码的 DER 证书
   注意

   不是将证书内容复制并粘贴到命令行，您可以将证书转换为 DER 格式，然后将其重新编码为 Base64。例如，要从user 中删除 user_cert.pem 证书，请输入：

   $ ipa user-remove-cert user --certificate="$(openssl x509 -outform der -in user_cert.pem | base64 -w 0)"

3. 要从 IdM 主机中删除证书，请输入：

   • ipa host-remove-cert

4. 要从 IdM 服务中删除证书，请输入：

   • ipa service-remove-cert

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 单击用户、主机或服务的名称，以打开其配置页面。
3. 单击要删除的证书旁边的 Actions ，然后选择 Delete。
4. 单击 Save 以保存更改。

流程

1. 将证书转换为 PEM 格式：

   • 如果您的证书为 DER 格式：

     $ openssl x509 -in cert.crt -inform der -outform pem -out cert.pem

   • 如果您的文件是 PKCS #12 格式，其通用文件扩展名为 .pfx 和.p12，并且包含证书、私钥和其他数据，请使用 openssl pkcs12 工具提取证书。提示时，输入保护存储在文件中私钥的密码：

     $ openssl pkcs12 -in cert_and_key.p12 -clcerts -nokeys -out cert.pem

     Enter Import Password:

2. 获得管理员凭证：

   $ kinit admin

3. 根据以下方法之一，使用 IdM CLI 将证书添加到用户帐户：

   • 在将字符串添加到 ipa user-add-cert 命令前，使用 sed 工具删除 PEM 文件的第一行和最后一行（-----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----）：

     $ ipa user-add-cert some_user --certificate="$(sed -e '/BEGIN CERTIFICATE/d;/END CERTIFICATE/d' cert.pem)"

   • 将不包含 第一行和最后一行（-----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----）的证书文件的内容复制并粘贴到 ipa user-add-cert 命令中：

     $ ipa user-add-cert some_user --certificate=MIIDlzCCAn+gAwIBAgIBATANBgkqhki...

     注意

     您不能直接将包含证书的 PEM 文件作为输入传给 ipa user-add-cert 命令，无需先删除第一行和最后一行（-----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----）：

     $ ipa user-add-cert some_user --cert=some_user_cert.pem

     此命令会导致 "ipa: ERROR: Base64 decoding failed: Incorrect padding"错误消息。

4. 要检查证书是否被系统接受：

   $ ipa user-show some_user

流程

1. 使用 CLI，将证书转换为 PEM 格式：

   • 如果您的证书为 DER 格式：

   $ openssl x509 -in cert.crt -inform der -outform pem -out cert.pem

   • 如果您的文件是 PKCS #12 格式，其通用文件扩展名为 .pfx 和.p12，并且包含证书、私钥和其他数据，请使用 openssl pkcs12 工具提取证书。提示时，输入保护存储在文件中私钥的密码：

     $ openssl pkcs12 -in cert_and_key.p12 -clcerts -nokeys -out cert.pem

     Enter Import Password:

2. 在编辑器中打开证书，并复制内容。您可以包含 "-----BEGIN CERTIFICATE-----" and "-----END CERTIFICATE-----" 页眉和页脚行，但不必这样做，因为 PEM 和 base64 格式已被 IdM Web UI 接受了。
3. 在 IdM Web UI 中，以安全官员身份登录。
4. 前往 Identity → Users → <user_name>。
5. 单击 Certificates 旁边的 Add。
6. 将证书的 PEM 格式内容粘贴到打开的窗口中。

7. 点击 Add。

   如果证书被系统接受，您可以在用户配置文件中看到它列在 Certificates 中。

流程

1. 通过复制现有的默认配置文件来创建自定义配置文件：

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert

   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

2. 在文本编辑器中打开新创建的配置文件。

   $ vi smime.cfg

3. 将 Profile ID 更改为反映配置文件用法的名称，如 smime。

   注意

   当您导入新创建的配置文件时，如果有profileId 字段，则其必须与命令行中指定的 ID 匹配。

4. 更新扩展的密钥用法配置。默认的扩展的密钥用法扩展配置用于 TLS 服务器和客户端身份验证。例如，对于 S/MIME，必须为电子邮件保护配置扩展的密钥用法：

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

5. 导入新配置文件：

   $ ipa certprofile-import smime --file smime.cfg \ --desc "S/MIME certificates" --store TRUE

   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

流程

1. 为证书配置文件的用户创建一个新组：

   $ ipa group-add smime_users_group

   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

2. 创建一个新用户来添加到 smime_user_group 组中：

   $ ipa user-add smime_user

   First name: smime
   Last name: user

   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

3. 将 smime_user 添加到 smime_users_group 组中：

   $ ipa group-add-member smime_users_group --users=smime_user

     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user

   -------------------------
   Number of members added 1
   -------------------------

4. 创建 CA ACL 以允许组中的用户访问证书配置文件：

   $ ipa caacl-add smime_acl

   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

5. 将用户组添加到 CA ACL 中：

   $ ipa caacl-add-user smime_acl --group smime_users_group

     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group

   -------------------------
   Number of members added 1
   -------------------------

6. 向 CA ACL 中添加证书配置文件：

   $ ipa caacl-add-profile smime_acl --certprofile smime

     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group

   -------------------------
   Number of members added 1
   -------------------------

流程

1. 为用户生成证书请求。例如，使用 OpenSSL:

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

2. 为用户从 IdM CA 请求新证书：

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   可选：将 --ca sub-CA_name 选项传给命令，来从子 CA 而不是根 CA 中请求证书。

流程

1. 确定您要修改的证书配置文件的证书配置文件 ID。显示当前存储在 IdM 中的所有证书配置文件：

   # ipa certprofile-find

   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

2. 修改证书配置文件描述。例如，如果您使用现有的配置文件为 S/MIME 证书创建了自定义证书配置文件，请按照新用法更改描述：

   # ipa certprofile-mod smime --desc "New certificate profile description"

   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

3. 在文本编辑器中打开您的客户证书配置文件，并进行修改以满足您的要求：

   # vi smime.cfg

   有关可以在证书配置文件中配置哪些选项的详情，请查看 证书配置文件配置参数。

4. 更新现有证书配置文件：

   # ipa certprofile-mod profile_ID --file=smime.cfg

流程

1. 在 Authentication 菜单中，点击 Certificates > Certificates。

2. 单击证书的序列号，来打开证书信息页面。

   证书列表

   
3. 在证书信息页面中，找到 Expires On 信息。

流程

1. 创建要进行配置的目录：

   [root@server]# mkdir ~/SmartCard/

2. 进入该目录：

   [root@server]# cd ~/SmartCard/

3. 获取存储在 PEM 格式文件中的相关 CA 证书。如果您的 CA 证书存储再不同格式的文件中，如 DER，请将其转换为 PEM 格式。IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

   将 DER 文件转换为 PEM 文件：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

4. 为方便起见，将证书复制到您要进行配置的目录中：

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/

   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/

   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

5. 可选：如果您使用外部证书颁发机构的证书，请使用 openssl x509 工具查看 PEM 格式的文件的内容，以检查 Issuer 和 Subject 值是否正确：

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

6. 使用管理员特权，通过内置的 ipa-advise 工具生成配置脚本：

   [root@server SmartCard]# kinit admin

   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   config-server-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

7. 执行脚本，将包含根 CA 和子 CA 证书的 PEM 文件添加为参数：

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh

   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem

   Ticket cache:KEYRING:persistent:0:0
   Default principal: \admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

8. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

   1. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

      SSLOCSPEnable off

   2. 重启 Apache 守护进程(httpd)使更改立即生效：

      [root@server SmartCard]# systemctl restart httpd

   警告

   如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

   有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

   该服务器现在被配置为智能卡验证。

   注意

   要在整个拓扑中启用智能卡验证，请在每个 IdM 服务器中运行操作过程。

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/

   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/

   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 服务器。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • 根 CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建一个 install-smartcard-server.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

8. 保存该文件。

   有关 FreeIPA Ansible 集合中的示例 playbook，请参阅控制节点上的 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/ 目录。

9. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   ipasmartcard_server Ansible 角色执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

10. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

    1. 以 root 用户身份连接到 IdM 服务器：

       ssh root@ipaserver.idm.example.com

    2. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

       SSLOCSPEnable off

    3. 重启 Apache 守护进程(httpd)使更改立即生效：

       # systemctl restart httpd

    警告

    如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

    有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

    清单文件中列出的服务器现在已被配置为进行智能卡验证。

    注意

    要在整个拓扑中启用智能卡验证，请将 Ansible playbook 中的 hosts 变量设为 ipacluster ：

    ---
    - name: Playbook to set up smartcard for IPA server and replicas
      hosts: ipacluster
    [...]

流程

1. 在 IdM 服务器上，使用管理员权限通过 ipa-advise 生成配置脚本：

   [root@server SmartCard]# kinit admin

   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   config-client-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程 (SSSD)，允许用户使用其用户名和密码或其智能卡进行验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

2. 从 IdM 服务器中，将脚本复制到 IdM 客户端机器中选择的目录中：

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/

   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

3. 为了方便起见，将 IdM 服务器上的 PEM 格式的 CA 证书文件复制到 IdM 客户端机器上与在上一步中所使用的相同的目录中：

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/

   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

4. 在客户端机器上执行脚本，将包含 CA 证书的 PEM 文件添加为参数：

   [root@client SmartCard]# kinit admin

   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh

   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem

   Ticket cache:KEYRING:persistent:0:0
   Default principal: \admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

   现在为智能卡验证配置了客户端。

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中，例如：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/

   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/

   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 客户端。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • 根 CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-clients.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. 保存该文件。

   有关 FreeIPA Ansible 集合中的示例 playbook，请参阅控制节点上的 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/ 目录。

9. 运行 Ansible playbook。指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible 角色执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。

   • 它将系统安全服务守护进程(SSSD)配置为允许用户使用其用户名和密码或者智能卡进行身份验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

     清单文件的 ipaclients 部分中列出的客户端现在配置为进行智能卡验证。

   注意

   如果您使用 --mkhomedir 选项安装了 IdM 客户端，则远程用户将能够登录到其主目录。否则，默认登录位置是目录结构的根目录，/ 。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM Web UI。要在您自己的配置文件中添加证书，您不需要管理员的凭证。
2. 导航到 Users → Active users → sc_user。
3. 找到 Certificate 选项，并单击 Add。

4. 在命令行上，使用 cat 工具或文本编辑器以 PEM 格式显示证书：

   [user@client SmartCard]$ cat testuser.crt

5. 将证书从 CLI 复制并粘贴到 Web UI 中打开的窗口中。

6. 点击 Add。

   sc_user 条目现在包含一个外部证书。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM CLI：

   [user@client SmartCard]$ kinit admin

   要在您自己的配置文件中添加证书，您不需要管理员的凭证。

   [user@client SmartCard]$ kinit <smartcard_user>

2. 创建一个包含证书的环境变量，该变量移除了标头和页脚，并串联成一行，这是 ipa user-add-cert 命令期望的格式：

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   请注意，testuser.crt 文件中的证书必须是 PEM 格式。

3. 使用 ipa user-add-cert 命令将证书添加到 <smartcard_user> 的配置文件中：

   [user@client SmartCard]$ ipa user-add-cert <smartcard_user> --certificate=$CERT

   <smartcard_user> 条目现在包含一个外部证书。

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys

   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123

   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478

   Using reader with a card: Reader name

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214

   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214

   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214

   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 在浏览器中打开 IdM Web UI。
2. 点使用证书登陆。

3. 如果 Password Required 对话框打开，请添加 PIN 来解锁智能卡，然后单击 OK 按钮。

   此时会打开 User Identification Request 对话框。

   如果智能卡包含多个证书，请在 选择用于验证的证书 下方的下拉列表中选择您要用于身份验证的证书。

4. 点确定按钮。

   现在，您已成功登录到 IdM Web UI。

流程

1. 在读取器中插入智能卡。
2. 输入智能卡 PIN。

3. 点 Sign In。

   您成功登录到 RHEL 系统，并且您有一张由 IdM 服务器提供的 TGT。

流程

1. 从 IdM 服务器 连接，并将 adcs-winserver-ca.cer 根证书复制到 IdM 服务器：

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com

   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <path_to_certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <path_to_certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <path_to_certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

2. 从 IdM 客户端 连接，并将 aduser1.pfx 用户证书复制到客户端：

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com

   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<path_to_certificates>
   sftp> get aduser1.pfx
   Fetching <path_to_certificates>/aduser1.pfx to aduser1.pfx
   <path_to_certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

   现在，CA 证书保存在 IdM 服务器上，用户证书存储在客户端机器上。

流程

1. 在 IdM 服务器上，使用 ipa-advise 脚本来配置客户端：

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

2. 在 IdM 服务器上，使用 ipa-advise 脚本来配置服务器：

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

3. 在 IdM 服务器中执行脚本：

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

4. 将 sc_client.sh 脚本复制到客户端系统中：

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root

   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

5. 将 Windows 证书复制到客户端系统中：

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root

   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

6. 在客户端系统中运行客户端脚本：

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

   CA 证书现在以正确的格式安装在 IdM 服务器和客户端系统上。下一步是将用户证书复制到智能卡上。

流程

1. 在 IdM 客户端上，将文件转换为 PEM 格式：

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes

   Enter Import Password:

2. 将密钥提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

3. 将公共证书提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

   此时，您可以将 aduser1.key 和 aduser1.crt 存储在智能卡中。

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys

   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123

   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478

   Using reader with a card: Reader name

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214

   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214

   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214

   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   在这个阶段，您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 打开 sssd.conf 文件：

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

2. 更改 p11_child_timeout 的值：

   [pam]
   p11_child_timeout = 60

3. 更改 krb5_auth_timeout 的值：

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

4. 保存设置。

   现在，在验证超时失败前，允许与智能卡的交互运行 1 分钟(60 秒)。

1. 管理员必须将证书映射数据或完整的证书加载到用户帐户中。
2. 管理员必须创建证书映射规则，以允许其帐户包含与证书上信息匹配的证书映射数据条目的用户成功登录到 IdM。

流程

1. 创建指向证书的变量，该变量还可确保正确编码，以便您可以检索所需的数据。

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

2. 使用 sssctl cert-eval-rule 来确定匹配的数据。在以下示例中，使用了证书序列号。

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   在这种情况下，将 altSecurityIdentities= 后的所有内容添加到 AD 中用户的 altSecurityIdentities 属性中。如果使用 SKI 映射，请使用 --map='LDAPU1: (altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})'。

3. 可选：要在 CLI 中基于匹配规则创建一个新的映射规则，该规则必须与 ad.example.com 域的 adcs19-WIN1-CA 匹配，证书的序列号必须与用户帐户中的 altSecurityIdentities 条目匹配：

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

流程

1. 以管理员身份登录 IdM Web UI。
2. 导航到 Authentication → Certificate Identity Mapping Rules → Certificate Identity Mapping Rules。

3. 点击 Add。

   在 IdM Web UI image::new-certmaprule-add.png[Screenshot 的 IdM Web UI 中添加一个新的证书映射规则，从 Authentication 选项卡中显示 "Certificate Identity Mapping Rules" 子选项卡。突出显示页面右侧的"添加"按钮。]

4. 输入规则名称。

5. 输入映射规则。例如，要让 IdM 搜索提供给它们的任何证书中的 Issuer 和 Subject 条目，并根据所显示证书的两个条目中提供的信息做出验证决定：

   (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})

6. 输入匹配的规则。例如，只允许 EXAMPLE.ORG 机构 智能卡 CA 发布的证书来验证用户到 IdM：

   <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG

   在 IdM Web UI image::certmaprule-add-details1.png[Screenshot of the "Add Certificate Identity Mapping Rule" 弹出窗口中输入证书映射规则 的详情： Rule name （需要）- 匹配规则。Priority 字段为空，域名标签旁边还有一个 Add 按钮。]

7. 单击对话框底部的 Add，以添加该规则并关闭该框。

8. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，重启 SSSD：

   # systemctl restart sssd

   现在，您设置了证书映射规则，可将在智能卡证书中找到的映射规则中指定的数据类型与 IdM 用户条目中的证书映射数据进行比较。找到匹配项后，它将对匹配的用户进行身份验证。

流程

1. 获得管理员凭证：

   # kinit admin

2. 输入映射规则以及映射规则所基于的匹配规则。例如，要让 IdM 搜索所呈现的任何证书中的 发行者和 Subject 条目，并基于所显示证书的两个条目中找到的信息进行身份验证，仅识别由 EXAMPLE.ORG 机构的 智能卡 CA 发布的证书：

   # ipa certmaprule-add rule_name --matchrule '<ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG' --maprule '(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})'

   -------------------------------------------------------
   Added Certificate Identity Mapping Rule "rule_name"
   -------------------------------------------------------
     Rule name: rule_name
     Mapping rule: (ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})
     Matching rule: <ISSUER>CN=Smart Card CA,O=EXAMPLE.ORG
     Enabled: TRUE

3. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，重启 SSSD：

   # systemctl restart sssd

   现在，您设置了证书映射规则，可将在智能卡证书中找到的映射规则中指定的数据类型与 IdM 用户条目中的证书映射数据进行比较。找到匹配项后，它将对匹配的用户进行身份验证。

流程

1. 以管理员身份登录 IdM Web UI。
2. 导航到 Users → Active users → idm_user。
3. 查找 证书映射数据 选项并单击 Add。

4. 选择以下选项之一：

   • 如果您有 idm_user 的证书：

     1. 在命令行上，使用 cat 工具或文本编辑器显示证书：

        [root@server ~]# cat idm_user_certificate.pem

        -----BEGIN CERTIFICATE-----
        MIIFFTCCA/2gAwIBAgIBEjANBgkqhkiG9w0BAQsFADA6MRgwFgYDVQQKDA9JRE0u
        RVhBTVBMRS5DT00xHjAcBgNVBAMMFUNlcnRpZmljYXRlIEF1dGhvcml0eTAeFw0x
        ODA5MDIxODE1MzlaFw0yMDA5MDIxODE1MzlaMCwxGDAWBgNVBAoMD0lETS5FWEFN
        [...output truncated...]

     2. 复制证书。

     3. 在 IdM Web UI 中，单击 Certificate 旁边的 Add，并将证书粘贴到打开的窗口中。

        添加一个用户的证书映射数据： certificate image::user-add-cert.png[Screenshot of a pages of the user "demouser" with a Identity Settings column on the left with an Identity Settings column with a entries, as Job Title - First name - Last name - Full name - Display name."帐户设置"列位于右侧，包含条目（如用户登录 - 密码 - UID - GID）。突出显示"证书"条目的"添加"按钮。]

        • 如果您没有 idm_user 证书，但知道证书的 Issuer 和 Subject，请检查 Issuer and subject 单选按钮，并在两个框中分别输入值。

        添加用户证书映射数据：签发者和主题镜像：:user-add-certdata.png[选择"Add Certificate Mapping Data"弹出窗口的 Screenshot of the and two radial 按钮选项： "Certificate mapping data" 和 "Issuer and subject." "Issuer and subject" is selected，其两个字段(Issuer and Subject)已填写。]

5. 点击 Add。

1. 使用 sss_cache 程序在 SSSD 缓存中使 idm_user 记录无效，并强制重新载入 idm_user 信息：

   # sss_cache -u idm_user

2. 使用包含 IdM 用户证书的文件名称运行 ipa certmap-match 命令：

   # ipa certmap-match idm_user_cert.pem

   --------------
   1 user matched
   --------------
    Domain: IDM.EXAMPLE.COM
    User logins: idm_user
   ----------------------------
   Number of entries returned 1
   ----------------------------

   输出确认您现在已将证书映射数据添加到 idm_user，并且存在对应的映射规则。这意味着，您可以使用与定义的证书映射数据匹配的任何证书，以 idm_user 进行身份验证。

流程

1. 获得管理员凭证：

   # kinit admin

2. 选择以下选项之一：

   • 如果您有 idm_user 的证书，请使用 ipa user-add-cert 命令将证书添加到用户帐户中：

     # CERT=$(openssl x509 -in idm_user_cert.pem -outform der|base64 -w0)

     # ipa user-add-certmapdata idm_user --certificate $CERT

   • 如果您没有 idm_user 的证书，但知道用户证书的 Issuer 和 Subject ：

     # ipa user-add-certmapdata idm_user --subject "O=EXAMPLE.ORG,CN=test" --issuer "CN=Smart Card CA,O=EXAMPLE.ORG"

     --------------------------------------------
     Added certificate mappings to user "idm_user"
     --------------------------------------------
       User login: idm_user
       Certificate mapping data: X509:<I>O=EXAMPLE.ORG,CN=Smart Card CA<S>CN=test,O=EXAMPLE.ORG

1. 使用 sss_cache 程序在 SSSD 缓存中使 idm_user 记录无效，并强制重新载入 idm_user 信息：

   # sss_cache -u idm_user

2. 使用包含 IdM 用户证书的文件名称运行 ipa certmap-match 命令：

   # ipa certmap-match idm_user_cert.pem

   --------------
   1 user matched
   --------------
    Domain: IDM.EXAMPLE.COM
    User logins: idm_user
   ----------------------------
   Number of entries returned 1
   ----------------------------

   输出确认您现在已将证书映射数据添加到 idm_user，并且存在对应的映射规则。这意味着，您可以使用与定义的证书映射数据匹配的任何证书，以 idm_user 进行身份验证。

流程

1. 以管理员身份登录 IdM Web UI。
2. 导航到 Authentication → Certificate Identity Mapping Rules → Certificate Identity Mapping Rules。

3. 点击 Add。

   在 IdM Web UI image::new-certmaprule-add.png[Screenshot 的 IdM Web UI 中添加一个新的证书映射规则，从 Authentication 选项卡中显示 "Certificate Identity Mapping Rules" 子页。突出显示右侧的"添加"按钮。]

4. 输入规则名称。

5. 输入映射规则。与 AD 中的可用内容相比，要向 IdM 提供整个证书以进行身份验证：

   (userCertificate;binary={cert!bin})

   注意

   如果使用完整证书进行映射，如果续订了证书，您必须确保将新证书添加到 AD 用户对象中。

6. 输入匹配的规则。例如，只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 发布的证书进行身份验证：

   <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com

   存储在 AD image::certmaprule-add-details-ad-cert.png[Screenshot of the "Add Certificate Identity Mapping Rule" pop-up 窗口中的证书映射规则，填写以下字段： Rule name （需要）- 映射规则 - 匹配规则。Priority 字段为空，"Domain name"标签旁边还有一个"添加"按钮。]

7. 点击 Add。

8. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即加载新创建的规则，请在 CLI 中重启 SSSD：

   # systemctl restart sssd

流程

1. 获得管理员凭证：

   # kinit admin

2. 输入映射规则以及映射规则所基于的匹配规则。要获得与 AD 中可用证书相比的用于身份验证的完整证书，只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 发布的证书来进行验证：

   # ipa certmaprule-add simpleADrule --matchrule '<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' --maprule '(userCertificate;binary={cert!bin})' --domain ad.example.com

   -------------------------------------------------------
   Added Certificate Identity Mapping Rule "simpleADrule"
   -------------------------------------------------------
     Rule name: simpleADrule
     Mapping rule: (userCertificate;binary={cert!bin})
     Matching rule: <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
     Domain name: ad.example.com
     Enabled: TRUE

   注意

   如果使用完整证书进行映射，如果续订了证书，您必须确保将新证书添加到 AD 用户对象中。

3. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，重启 SSSD：

   # systemctl restart sssd

流程

1. 以管理员身份登录 IdM Web UI。
2. 导航到 Authentication → Certificate Identity Mapping Rules → Certificate Identity Mapping Rules。

3. 点击 Add。

   在 IdM Web UI image::new-certmaprule-add.png[Screenshot 的 IdM Web UI 中添加一个新的证书映射规则，从 Authentication 选项卡中显示 "Certificate Identity Mapping Rules" 子选项卡。突出显示页面右侧的"添加"按钮。]

4. 输入规则名称。

5. 输入映射规则。例如，要使 AD DC 搜索所呈现的任何证书中的 Issuer 和 Subject 条目，并决定根据所出示证书的两个条目中提供的信息进行验证：

   (altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})

6. 输入匹配的规则。例如，要只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 发布的证书来向 IdM 验证用户：

   <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com

7. 输入域：

   ad.example.com

   如果 AD 被配置为映射 image::certmaprule-add-details-ad-map.png[Screenshot of the "Add Certificate Identity Mapping Rule" pop-up window with the fields filled in: Rule name （需要）- Mapping rule - Matching rule."Priority"字段为空，"Domain name"标签旁边还有一个"添加"按钮。]

8. 点击 Add。

9. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即加载新创建的规则，请在 CLI 中重启 SSSD：

   # systemctl restart sssd

流程

1. 获得管理员凭证：

   # kinit admin

2. 输入映射规则以及映射规则所基于的匹配规则。例如，要让 AD 搜索所提供的任何证书中的 Issuer 和 Subject 条目，并且只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 发布的证书：

   # ipa certmaprule-add ad_configured_for_mapping_rule --matchrule '<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' --maprule '(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})' --domain=ad.example.com

   -------------------------------------------------------
   Added Certificate Identity Mapping Rule "ad_configured_for_mapping_rule"
   -------------------------------------------------------
     Rule name: ad_configured_for_mapping_rule
     Mapping rule: (altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})
     Matching rule: <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
     Domain name: ad.example.com
     Enabled: TRUE

3. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，重启 SSSD：

   # systemctl restart sssd

流程

1. 以管理员身份登录 IdM Web UI。
2. 导航到 Authentication → Certificate Identity Mapping Rules → Certificate Identity Mapping Rules。

3. 点击 Add。

   在 IdM Web UI image::new-certmaprule-add.png[Screenshot 的 IdM Web UI 中添加一个新的证书映射规则，从 Authentication 选项卡中显示 "Certificate Identity Mapping Rules" 子页。突出显示右侧的"添加"按钮]

4. 输入规则名称。

5. 输入映射规则。与存储在 IdM 中的 AD 用户条目的用户 ID 覆盖条目中的证书相比，为 IdM 提供整个证书进行身份验证：

   (userCertificate;binary={cert!bin})

   注意

   因为证书还包含作为 SAN 的用户主体名称或最新更新、证书 SID 扩展中的用户的 SID ，所以您也可以使用这些字段将证书映射到用户。例如，如果使用用户的 SID，请将此映射规则替换为 LDAPU1:(objectsid={sid})。有关证书映射的更多信息，请参阅您系统上的 sss-certmap 手册页。

6. 输入匹配的规则。例如，只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 发布的证书进行身份验证：

   <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com

7. 输入域名。例如，要在 ad.example.com 域中搜索用户：

   没有存储在 AD image::certmaprule-add-details-ad-cert.png[Screenshot of the "Add Certificate Identity Mapping Rule" 弹出窗口中的用户的证书映射规则，填写以下字段： Rule name （需要）- 映射规则 - 匹配规则。"Priority"字段为空，"Domain name"标签旁边还有一个 Add 按钮。]

8. 点击 Add。

9. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，在 CLI 中重启 SSSD：

   # systemctl restart sssd

流程

1. 获得管理员凭证：

   # kinit admin

2. 输入映射规则以及映射规则所基于的匹配规则。要获得与存储在 IdM 中的 AD 用户条目的用户 ID 覆盖条目中的证书相比的用于认证的整个证书，只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 发布的证书进行验证：

   # ipa certmaprule-add simpleADrule --matchrule '<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' --maprule '(userCertificate;binary={cert!bin})' --domain ad.example.com

   -------------------------------------------------------
   Added Certificate Identity Mapping Rule "simpleADrule"
   -------------------------------------------------------
     Rule name: simpleADrule
     Mapping rule: (userCertificate;binary={cert!bin})
     Matching rule: <ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
     Domain name: ad.example.com
     Enabled: TRUE

   注意

   因为证书还包含作为 SAN 的用户主体名称或最新更新、证书 SID 扩展中的用户的 SID ，所以您也可以使用这些字段将证书映射到用户。例如，如果使用用户的 SID，请将此映射规则替换为 LDAPU1:(objectsid={sid})。有关证书映射的更多信息，请参阅您系统上的 sss-certmap 手册页。

3. 系统安全服务守护进程(SSSD)定期重新读取证书映射规则。要强制立即载入新创建的规则，重启 SSSD：

   # systemctl restart sssd

流程

1. 导航到 Identity → ID Views → Default Trust View。

2. 点击 Add。

   在 IdM Web UI image::new-useridoverride-add.png[Screenshot 的 IdM Web UI 中添加新用户 ID 覆盖，显示 Identity 选项卡中的 "ID Views" 页面。右侧的 Add 按钮会被突出显示。]

3. 在 User to override 字段中，输入 ad_user@ad.example.com。

4. 将 ad_user 的证书复制并粘贴到 Certificate 字段中。

   为 AD 用户镜像配置用户 ID 覆盖 ：useridoverride-add-details.png[Screenshot 显示带有以下字段的"添加用户 ID override"弹出窗口： User to override （需要）- User login - user login - UID - GID - 证书（已填写了证书的明文版本）。]

5. 点击 Add。

验证

1. 使用 sss_cache 程序在 SSSD 缓存中使 ad_user@ad.example.com 记录无效，并强制重新载入 ad_user@ad.example.com 信息：

   # sss_cache -u ad_user@ad.example.com

2. 使用包含 AD 用户证书的文件名称运行 ipa certmap-match 命令：

   # ipa certmap-match ad_user_cert.pem

   --------------
   1 user matched
   --------------
    Domain: AD.EXAMPLE.COM
    User logins: ad_user@ad.example.com
   ----------------------------
   Number of entries returned 1
   ----------------------------

   输出确认，您具有的证书验证数据被添加到 ad_user@ad.example.com，并存在在 Adding a certificate mapping rule if the AD user entry contains no certificate or mapping data 中定义的相应的映射规则。这意味着，您可以使用与定义的证书映射数据匹配的证书作为 ad_user@ad.example.com 进行身份验证。

流程

1. 获得管理员凭证：

   # kinit admin

2. 将证书 blob 保存在名为 CERT 的新变量中：

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

3. 使用 ipa idoverrideuser-add-cert 命令将 ad_user@ad.example.com 的证书添加到用户帐户中：

   # ipa idoverrideuser-add-cert ad_user@ad.example.com --certificate $CERT

验证

1. 使用 sss_cache 程序在 SSSD 缓存中使 ad_user@ad.example.com 记录无效，并强制重新载入 ad_user@ad.example.com 信息：

   # sss_cache -u ad_user@ad.example.com

2. 使用包含 AD 用户证书的文件名称运行 ipa certmap-match 命令：

   # ipa certmap-match ad_user_cert.pem

   --------------
   1 user matched
   --------------
    Domain: AD.EXAMPLE.COM
    User logins: ad_user@ad.example.com
   ----------------------------
   Number of entries returned 1
   ----------------------------

   输出确认，您具有的证书验证数据被添加到 ad_user@ad.example.com，并存在在 Adding a certificate mapping rule if the AD user entry contains no certificate or mapping data 中定义的相应的映射规则。这意味着，您可以使用与定义的证书映射数据匹配的证书作为 ad_user@ad.example.com 进行身份验证。

流程

1. 在 IdM 服务器上，获取管理员特权并创建 shell 脚本来配置服务器。

   1. 运行 ipa-advise config-server-for-smart-card-auth 命令，并将其输出保存到一个文件中，例如 server_certificate_script.sh ：

      # kinit admin

      # ipa-advise config-server-for-smart-card-auth > server_certificate_script.sh

   2. 使用 chmod 实用程序为文件添加执行权限：

      # chmod +x server_certificate_script.sh

2. 在 IdM 域中的所有服务器上，运行 server_certificate_script.sh 脚本

   1. 如果 IdM CA 是唯一一个您允许向用户签发证书用于验证的 CA，使用 IdM Certificate Authority 证书 /etc/ipa/ca.crt 的路径：

      # ./server_certificate_script.sh /etc/ipa/ca.crt

   2. 如果不同的外部 CA 签署您想要为其启用证书验证的用户证书，则使用路径作为输入：

      # ./server_certificate_script.sh /tmp/ca1.pem /tmp/ca2.pem

   注意

   如果要为整个拓扑中启用用户的证书身份验证，请不要忘记在将来添加到系统的每个新副本上运行 脚本。

流程

1. 可选：创建一个新目录，如 ~/certdb/，并使其成为一个临时证书数据库。当系统提示时，创建一个 NSS 证书数据库密码来加密后续步骤中生成的证书的密钥：

   # mkdir ~/certdb/

   # certutil -N -d ~/certdb/

   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:

2. 创建证书签名请求(CSR)，并将输出重定向到文件。例如，要为 IDM.EXAMPLE.COM 域中的 idm_user 用户创建一个名称为 certificate_request.csr 的 4096 位 CSR，请将证书私钥的昵称设为 idm_user 以便于查找，并将主题设为 CN=idm_user,O=IDM.EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -n idm_user -s "CN=idm_user,O=IDM.EXAMPLE.COM" > certificate_request.csr

3. 提示时，输入与您在使用 certutil 创建临时数据库时输入的相同的密码。然后继续随机输入，直到被告知停止：

   Enter Password or Pin for "NSS Certificate DB":
   
   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:

4. 将证书请求文件提交到服务器。指定要与新发布的证书关联的 Kerberos 主体、存储证书的输出文件，以及可选的证书配置集。例如，为 idm_user@IDM.EXAMPLE.COM 获取 IECUserRoles 配置集（添加了用户角色扩展的配置集）的证书，把它保存在 ~/idm_user.pem 文件中：

   # ipa cert-request certificate_request.csr --principal=idm_user@IDM.EXAMPLE.COM --profile-id=IECUserRoles --certificate-out=~/idm_user.pem

5. 将证书添加到 NSS 数据库。使用 -n 选项设置与之前创建 CSR 时使用的相同的昵称，以便证书与 NSS 数据库中的私钥匹配。-t 选项设置信任级别。详情请查看 certutil(1)man page。-i 选项指定输入证书文件。例如，要将带有在 ~/idm_user.pem 文件中定义的 idm_user 别名的证书添加到 ~/certdb/ 数据库的 NSS数据库：

   # certutil -A -d ~/certdb/ -n idm_user -t "P,," -i ~/idm_user.pem

6. 验证 NSS 数据库中的密钥是否没有将 (orphan) 显示为其昵称。例如，要验证存储在 ~/certdb/ 数据库中的证书不是孤立的：

   # certutil -K -d ~/certdb/

   < 0> rsa      5ad14d41463b87a095b1896cf0068ccc467df395   NSS Certificate DB:idm_user

7. 使用 pk12util 命令将证书从 NSS 数据库导出为 PKCS12 格式。例如，要将来自 /root/certdb NSS 数据库的带有 idm_user 别名的证书导出到 ~/idm_user.p12 文件中：

   # pk12util -d ~/certdb -o ~/idm_user.p12 -n idm_user

   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL

8. 将证书传输到您要在其上为 idm_user 启用证书身份验证的主机：

   # scp ~/idm_user.p12 idm_user@client.idm.example.com:/home/idm_user/

9. 在传输了证书的主机上，出于安全原因使 'pkcs12 文件被 'other' 组无法访问的目录：

   # chmod o-rwx /home/idm_user/

10. 出于安全考虑，请从服务器中删除临时 NSS 数据库和 .pkcs12 文件：

    # rm ~/certdb/

    # rm ~/idm_user.p12

流程

1. 打开 Firefox，然后导航到 Preferences → Privacy & Security。

   Preferences 中的隐私和安全部分

   

2. 单击 View Certificates。

   查看隐私和安全性中的证书

   
3. 在 Your Certificates 选项卡中，单击 Import。以 PKCS12 格式查找并打开用户证书，然后点 OK 和 OK。

4. 确保 Identity Management 证书授权机构被 Firefox 认可为可信颁发机构：

   1. 在本地保存 IdM CA 证书：

      • 通过在 Firefox 地址栏中写入 IdM 服务器的名称，导航到 IdM Web UI。在 Insecure Connection 警告页面上单击 Advanced。

        不安全的连接

        

      • 添加例外.单击 View。

        查看证书的详情

        

      • 在 Details 选项卡中，突出显示 Certificate Authority 字段。

        导出 CA 证书

        
      • 单击 Export。保存 CA 证书，例如 CertificateAuthority.crt 文件，然后点 Close，和 Cancel。

   2. 将 IdM CA 证书导入 Firefox 作为可信证书颁发机构证书：

      • 打开 Firefox，导航到 Preferences 并点击 Privacy & Security。

        Preferences 中的隐私和安全部分

        

      • 单击 View Certificates。

        查看隐私和安全性中的证书

        
      • 在 Authorities 选项卡中，单击 Import。查找并打开您在之前步骤中在 CertificateAuthority.crt 文件中保存的 CA 证书。信任证书来识别网站，然后点OK 和 OK。
5. 继续 使用证书，以身份管理用户身份验证到身份管理 Web UI。

流程

1. 在浏览器中，导航到 IdM Web UI，例如 https://server.idm.example.com/ipa/ui。

2. 单击 Login Using Certificate。

   IdM Web UI 中的 Login Using Certificate 按钮

   

3. 应该已经选择了用户的证书。取消选中 Remember this decision，然后单击 OK。

   现在，您被验证为与证书对应的用户。

流程

1. 可选：要找出部署中哪些 IdM 服务器有资格成为新的 CA 续订服务器的必需的 CA 角色：

   $ ipa server-role-find --role 'CA server'

   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   部署中有两个 CA 服务器。

2. 可选：要找出哪个 CA 服务器是当前的 CA 续订服务器，请输入：

   $ ipa config-show | grep 'CA renewal'

     IPA CA renewal master: server.idm.example.com

   当前续订服务器为 server.idm.example.com。

3. 要更改续订服务器配置，请使用 ipa config-mod 实用程序和 --ca-renewal-master-server 选项：

   $ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'

     IPA CA renewal master: replica.idm.example.com

   重要

   您还可以使用以下命令切换到新的 CA 续订服务器：

   • ipa-cacert-manage --renew 命令。此命令会续订 CA 证书 ，并使 您在其上执行新 CA 续订服务器的 CA 服务器。
   • ipa-cert-fix 命令。当证书过期时，该命令会恢复部署。它还使您在其上执行该命令的 CA 服务器成为新的 CA 续订服务器。

流程

1. 在 IdM CA 续订服务器上，将 CA 证书更新为自签名：

   # ipa-cacert-manage renew --self-signed

   Renewing CA certificate, please wait
   CA certificate successfully renewed
   The ipa-cacert-manage command was successful

2. 以 root 身份 SSH 到所有剩余的 IdM 服务器和客户端。例如：

   # ssh root@idmclient01.idm.example.com

3. 在 IdM 客户端上，使用来自服务器的证书更新本地 IdM 证书数据库：

   [idmclient01 ~]# ipa-certupdate

   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

流程

1. 创建要提交到外部 CA 的 CSR：

   • 如果外部 CA 是 AD CS，请使用 --external-ca-type=ms-cs 选项。如果要使用与默认 subCA 模板不同的模板，请使用 --external-ca-profile 选项指定它：

     # ipa-cacert-manage renew --external-ca --external-ca-type=ms-cs [--external-ca-profile=PROFILE]

     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

   • 如果外部 CA 不是 AD CS：

     # ipa-cacert-manage renew --external-ca

     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

     输出显示已创建了 CSR，并存储在 /var/lib/ipa/ca.csr 文件中。

2. 将位于 /var/lib/ipa/ca.csr 中的 CSR 提交到外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

3. 检索发布的证书和 CA 证书链，用于在基本的 64 编码 Blob 中发布 CA，即：

   • 如果外部 CA 不是 AD CS，则为 PEM 文件。

   • 如果外部 CA 是 AD CS，则为 Base_64 证书。

     每个证书服务的进程都有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

     如果外部 CA 是 AD CS，且您已通过 Microsoft Windows 认证授权机构管理窗口使用已知模板提交 CSR，AD CS 会立即发出证书，且 Save Certificate 对话框会出现在 AD CS Web 界面中，询问如何保存颁发的证书。

4. 再次运行 ipa-cacert-manage renewal 命令，添加提供完整证书链所需的所有 CA 证书文件。多次使用 --external-cert-file 选项，根据需要指定任意文件：

   # ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate_1 --external-cert-file=/path/to/external_ca_certificate_2

5. 在所有 IdM 服务器和客户端中，使用来自服务器的证书更新本地 IdM 证书数据库：

   [client ~]$ ipa-certupdate

   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

流程

1. 安装新的外部 CA 证书以及外部 CA 的完整 CA 证书链作为 IdM 的额外 CA 证书。系统接受 PEM、DER、PKCS""7、PKCS""8、原始私钥和 PKCSPOST 格式的证书文件。

   1. 在拓扑中的一个 IdM 服务器上，将更新的外部 CA 证书和证书链从 .crt 文件添加到 IdM：

      # ipa-cacert-manage install /path/to/ca.crt

      CA 证书被安装到 LDAP 存储, cn=certificates,cn=ipa,cn=etc,dc=realm,dc=name 中。

   2. 将其余证书链作为额外的 CA 证书安装到 IdM 中。因为 ipa-cacert-manage install 命令只读取文件中的第一个证书，所以您必须一次安装一个证书的完整 CA 链。例如，如果链包含两个证书，请将每个证书保存在单独的文件中，并为每个文件单独运行 ipa-cacert-manage install ：

      # ipa-cacert-manage install /path/to/intermediate-ca.crt

      # ipa-cacert-manage install /path/to/root-ca.crt

2. 运行 ipa-certupdate 来更新拓扑中的所有其他 IdM 服务器，以使用 LDAP 同步本地 NSS 数据库和 /etc/ipa/ca.crt ：

   # ipa-certupdate

3. 更新 IdM 服务器后，更新所有 IdM 客户端上的外部 CA 证书。

   # ipa-certupdate

   从 IdM LDAP 存储检索所有数据，并将其置于 /etc/ipa/ca.crt 的主证书链中。

验证

1. 要检查您的更新是否成功，并将新的外部 CA 证书添加到 /etc/ipa/ca.crt 文件中：

   [client ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout

   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   输出显示更新已成功，因为新 CA 证书使用旧的 CA 证书列出。

1. 确保 LDAP 复制在拓扑中正常工作后，根据上述流程，首先在一台 CA 服务器上运行 ipa-cert-fix。
2. 在另一台 CA 服务器上运行 ipa-cert-fix 之前，请通过 getcert-resubmit （在另一台 CA 服务器上）触发共享证书的 Certmonger 续订，以避免不必要的共享证书的续订。

流程

1. 使用 --force 参数重启 IdM：

   # ipactl restart --force

   使用 --force 参数时，ip actl 实用程序会忽略单个服务启动失败。例如，如果服务器也是证书过期的 CA，pki-tomcat 服务将无法启动。这是预期并忽略的，因为使用了 --force 参数。

2. 重启后，验证 certmonger 服务 是否已更新证书（certificate 状态显示 MONITORING）：

   # getcert list | egrep '^Request|status:|subject:'

   # ipactl restart --force

   Request ID '20190522120745':
           status: MONITORING
           subject: CN=IPA RA,O=EXAMPLE.COM 201905222205
   Request ID '20190522120834':
           status: MONITORING
           subject: CN=Certificate Authority,O=EXAMPLE.COM 201905222205
   ...

   在 certmonger 续订副本上的共享证书之前，可能需要一些时间，。

3. 如果服务器也是 CA，以上命令会报告 pki-tomcat 服务使用的证书的 CA_UNREACHABLE ：

   Request ID '20190522120835':
           status: CA_UNREACHABLE
           subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
   ...

4. 要续订此证书，请使用 ipa-cert-fix 工具：

   # ipa-cert-fix

   # ipactl restart --force

   Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM
     Serial:  3
     Expires: 2019-05-11 12:07:11
   
   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
     Serial:  15
     Expires: 2019-08-14 04:25:05
   
   The ipa-cert-fix command was successful

流程

1. 验证 IdM 服务是否正在运行：

   # ipactl status

2. 可选。如果任何服务都没有运行，请强制它们启动：

   # ipactl start -f

   -f 或 --force 标志绕过一些启动检查，这在服务因为过期的证书而无法进行通信时是必需的。

3. 比较续订服务器和故障副本之间的 RA Agent 和 Subsystem 证书。

   在健康的续订服务器和故障副本上，检索 RA Agent 和 subsystem 证书的序列号，并验证它们是否一样。

   1. RA Agent 证书及其相应的 LDAP 条目。序列号是分号分隔的 description 属性字符串中的第二个值，例如 2;SERIAL;…​:

      # openssl x509 -in /var/lib/ipa/ra-agent.pem -noout -serial

      # ldapsearch -D "cn=directory manager" -W -b "uid=ipara,ou=people,o=ipaca" description

   2. Subsystem 证书及其相应的 LDAP 条目。序列号是分号分隔的 description 属性字符串中的第二个值，例如 2;SERIAL;…​:

      # certutil -L -d /etc/pki/pki-tomcat/alias/ -n 'subsystemCert cert-pki-ca' | grep "Serial Number"

      # ldapsearch -D "cn=directory manager" -W -b "uid=pkidbuser,ou=People,o=ipaca" description

      如果副本上的序列号与 CA 续订服务器上的序列号不匹配，请执行下一步来同步它们。

4. 将健康的证书手动复制到副本。将 ra-agent.pem 和 subsystem 证书从续订服务器复制到故障副本。

   1. 复制 RA agent 证书文件：

      # scp /var/lib/ipa/ra-agent.pem root@failed-replica.idm.example.com:/tmp/

   2. 导出 subsystem 证书：

      # certutil -L -d /etc/pki/pki-tomcat/alias -n 'subsystemCert cert-pki-ca' -a > /tmp/subsystem.pem

   3. 复制 subsystem 证书：

      # scp /tmp/subsystem.pem root@failed-replica.idm.example.com:/tmp/

5. 在故障副本上，替换过期的 RA agent 证书。

   1. 将健康的证书复制到合适的地方：

      # cp /tmp/ra-agent.pem /var/lib/ipa/ra-agent.pem

   2. 更新 LDAP 中相应的条目，以确保它包含正确的证书 blob 和序列号。此步骤需要目录管理器密码。

      1. 通过将新的 RA agent 证书转换为单行 blob ，来为 LDAP 准备新的 RA agent 证书，并将其存储在变量中：

         # RA_CERT_BLOB=$(sed -rn '/^-----BEGIN CERTIFICATE-----$/{:1;n;/^-----END CERTIFICATE-----$/b2;H;b1};:2;${x;s/\s//g;p}' /tmp/ra-agent.pem)

      2. 从新证书中提取序列号，并将其存储在变量中：

         # RA_CERT_SERIAL=$(openssl x509 -in /tmp/ra-agent.pem -noout -serial | cut -d'=' -f2)

      3. 确保 IdM 服务在尝试修改 LDAP 数据库之前正在运行：

         # ipactl start -f

      4. 使用新证书 blob 和序列号更新 RA agent 的 LDAP 条目。系统将提示您输入目录管理器密码：

         # ldapmodify -D "cn=Directory Manager" -W -x <<EOF

         dn: uid=ipara,ou=people,o=ipaca
         changetype: modify
         add: userCertificate
         userCertificate:: ${RA_CERT_BLOB}
         
         replace: description
         description: 2;${RA_CERT_SERIAL};CN=Certificate Authority,O=IDM.EXAMPLE.COM;CN=IPA RA,O=IDM.EXAMPLE.COM
         EOF

         将 IDM.EXAMPLE.COM 替换为您的 IdM 域，或使用您的自定义证书主题库。

6. 在故障副本上，替换过期的 subsystem 证书。

   1. 将健康的证书导入到 NSS 数据库中。这需要 NSS 数据库密码，该密码可在 /etc/pki/pki-tomcat/password.conf 中找到。

      1. 为 NSS 数据库密码文件的位置设置一个变量，以便在以下命令中更轻松地使用：

         # PWDFILE=/etc/pki/pki-tomcat/alias/pwdfile.txt

      2. 从 NSS 数据库中删除旧、过期的 subsystem 证书：

         # certutil -D -d /etc/pki/pki-tomcat/alias -n 'subsystemCert cert-pki-ca' -f $PWDFILE

      3. 将 /tmp/subsystem.pem 文件中的新的、健康的 subsystem 证书添加到 NSS 数据库中：

         # certutil -A -d /etc/pki/pki-tomcat/alias -n 'subsystemCert cert-pki-ca' -t ",," -i /tmp/subsystem.pem -f $PWDFILE

   2. 更新 LDAP 中相应的条目，类似于 RA agent 步骤：

      # SUBSYS_CERT_BLOB=$(cat /tmp/subsystem.pem | sed -rn '/^-----BEGIN CERTIFICATE-----$/{:1;n;/^-----END CERTIFICATE-----$/b2;H;b1};:2;${x;s/\s//g;p}')

      # SUBSYS_CERT_SERIAL=$(openssl x509 -in /tmp/subsystem.pem -noout -serial | cut -d'=' -f2)

      # ldapmodify -D "cn=Directory Manager" -W -x <<EOF

      dn: uid=pkidbuser,ou=people,o=ipaca
      changetype: modify
      add: userCertificate
      userCertificate:: ${SUBSYS_CERT_BLOB}
      
      replace: description
      description: 2;${SUBSYS_CERT_SERIAL};CN=Certificate Authority,O=IDM.EXAMPLE.COM;CN=CA Subsystem,O=IDM.EXAMPLE.COM
      EOF

      将 IDM.EXAMPLE.COM 替换为您的 IdM 域，或使用您的自定义证书主题库。

7. 为副本的 LDAP 服务手动发布临时证书。

   1. 在故障副本上，从目录服务器的 NSS 数据库中的现有密钥生成一个证书签名请求(CSR)：

      # DS_INSTANCE=$(grep ldap_uri /etc/ipa/default.conf | sed -n 's|.%2Frun%2F\(slapd-\)\.socket.|\1|p')*

      # LDAP_CERT_NICKNAME=$(grep nsSSLPersonalitySSL "/etc/dirsrv/${DS_INSTANCE}/dse.ldif" | awk '{ print $2 }')

      # HOSTNAME=$(hostname -f)

      # PWDFILE="/etc/dirsrv/${DS_INSTANCE}/pwdfile.txt"

      # certutil -R -d "/etc/dirsrv/${DS_INSTANCE}" -k ${LDAP_CERT_NICKNAME} -n ${LDAP_CERT_NICKNAME} -s "CN=${HOSTNAME}" -a -f "${PWDFILE}" -8 "${HOSTNAME}" -o /tmp/ldap.csr

      注意

      以上命令会创建 /tmp/ldap.csr。有些 certutil 版本可能会向文件中添加额外的文本。确保文件仅包含 -----BEGIN NEW CERTIFICATE REQUEST----- 块，而不包含任何其他内容。

   2. 如果证书是由 IdM CA 签名的：

      1. 在故障副本上，将 CSR 复制到续订服务器中：

         # scp /tmp/ldap.csr root@renewal-master.idm.example.com:/tmp/

      2. 在续订服务器上，签署 CSR。使用 ldap/ 主体确保证书对 GSSAPI 绑定是有效的：

         # ipa cert-request /tmp/ldap.csr --principal="ldap/$(hostname -f)" --certificate-out=/tmp/ldap.pem

      3. 在续订服务器上，将新证书复制回副本：

         # scp /tmp/ldap.pem root@failed-replica.idm.example.com:/tmp/

      4. 在故障副本上，将新证书导入到目录服务器的 NSS 数据库中：

         # certutil -D -d "/etc/dirsrv/${DS_INSTANCE}" -n ${LDAP_CERT_NICKNAME} -f "${PWDFILE}"

         # certutil -A -d "/etc/dirsrv/${DS_INSTANCE}" -n ${LDAP_CERT_NICKNAME} -t ",," -i /tmp/ldap.pem -f "${PWDFILE}"

   3. 如果证书是由外部 CA 签名的：

      1. 使用 /tmp/ldap.csr 文件，并将其提交给外部证书颁发机构进行签名。
      2. 收到新的证书文件（例如 new_ldap_cert.pem）后，将其安全地复制到故障副本上的 /tmp/ 目录中，并将它重命名为 ldap.pem。

      3. 在故障副本上，将新证书导入到目录服务器的 NSS 数据库中：

         # certutil -D -d "/etc/dirsrv/${DS_INSTANCE}" -n ${ LDAP_CERT_NICKNAME} -f "${PWDFILE}"

         # certutil -A -d "/etc/dirsrv/${DS_INSTANCE}" -n ${ LDAP_CERT_NICKNAME} -t ",," -i /tmp/ldap.pem -f "${PWDFILE}"

8. 为副本的 PKI Tomcat 服务手动发布一个临时证书。

   1. 在受影响的副本上，使用存储在 PKI Tomcat NSS 数据库中的现有密钥生成一个 CSR：

      # HOSTNAME=$(hostname -f)

      # PWDFILE="/etc/pki/pki-tomcat/alias/pwdfile.txt"

      # certutil -R -d /etc/pki/pki-tomcat/alias -k 'Server-Cert cert-pki-ca' -n 'Server-Cert cert-pki-ca' -s "CN=${HOSTNAME},O=IDM.EXAMPLE.COM" -a -f "${PWDFILE}" -o /tmp/server-cert.csr

      将 IDM.EXAMPLE.COM 替换为您的 IdM 域，或使用您的自定义证书主题库。

   2. 在故障副本上，将 CSR 复制到续订服务器中：

      # scp /tmp/server-cert.csr root@renewal-master.idm.example.com:/tmp/

   3. 在续订服务器上，签署 CSR。为 web 服务器证书使用 host/ 主体：

      # ipa cert-request /tmp/server-cert.csr --principal="host/$(hostname -f)" --certificate-out=/tmp/server-cert.pem

   4. 在续订服务器上，将新证书复制回副本：

      # scp /tmp/server-cert.pem root@failed-replica.idm.example.com:/tmp/

   5. 在故障副本上，将新证书导入到 PKI Tomcat NSS 数据库中：

      # certutil -D -d /etc/pki/pki-tomcat/alias -n 'Server-Cert cert-pki-ca' -f "${PWDFILE}"

      # certutil -A -d /etc/pki/pki-tomcat/alias -n 'Server-Cert cert-pki-ca' -t ",," -i /tmp/server-cert.pem -f "${PWDFILE}"

9. 重启服务并续订剩余的证书。

   1. 重启副本上的 IdM 服务以使用新证书：

      # ipactl restart

   2. 重启 certmonger 服务以应用手动更改。重启后，它应该开始尝试续订任何剩余的证书：

      # systemctl restart certmonger

   3. 您可以通过定期运行 getcert list | grep -E "Request ID|status|expires" 来监视续订过程。所有证书都处于 MONITORING 状态后，过程完成。

   4. certmonger 服务现在应该可以与 CA 进行通信。如果一个或多个证书在几分钟后仍然未续订，请考虑手动续订它们：

      # getcert list

      # getcert resubmit -i <REQUEST_ID>

流程

1. 停止续订服务器上的 IdM 服务：

   # ipactl stop

2. 运行 ipa-cert-fix 来：

   • 检查跟踪的证书。
   • 在 LDAP 中重置证书的到期日期。

   • 允许 certmonger 发布新证书。

     提示时输入 yes 继续：

     # ipa-cert-fix

     警告

     如果您的 CA 已过期，请不要运行 ipa-cert-fix 命令。在这种情况下，请跳过这一步。

3. 运行 ipa-certupdate，将新修复和发布的证书传播到所有系统服务：

   # ipa-certupdate

4. 重启 IdM 并验证：

   # ipactl restart

流程

1. 在续订服务器上，将 CA 证书续订为自签名证书。这个命令使用现有的私钥生成一个带有续订有效期限的新 CA 证书：

   # ipa-cacert-manage renew --self-signed

   如果您的证书接近其到期日期，且续订它并没有将到期日期推后，请参阅 当 IPA 的 CA 证书接近到期日期时，续订不会将到期日期推后 解决方案。

2. 在续订服务器上修复过期的服务证书。

   1. 停止 IdM 服务：

      # ipactl stop

   2. 运行 ipa-cert-fix 命令以重置 IdM 数据库中过期的服务证书的过期日期：

      # ipa-cert-fix

   3. 发布新证书并将其应用到 IdM 服务：

      # ipa-certupdate

   4. 重启 IdM 服务以完成续订：

      # ipactl start

3. 如果您的最初设置使用外部签名的 CA，则您必须获得外部颁发机构重新签名的新 CA 证书。如果您使用自签名 CA，请跳过这一步。

   1. 为新续订的 CA 生成一个证书签名请求(CSR)：

      # ipa-cacert-manage renew --external-ca

      这会在 /var/lib/ipa/ca.csr 中创建一个 CSR 文件。

   2. 将 CSR 文件提交到您的外部 CA，并接收新签名的证书和外部 CA 的信任链。

   3. 将新签名的证书安装回 IdM ：

      # ipa-cacert-manage renew --external-cert-file /path/to/new-ca.pem --external-cert-file /path/to/external-chain.pem

4. 将新 CA 证书传播到所有 IdM 服务器和客户端。首先在续订服务器上运行 ipa-certupdate，然后在所有其他副本上运行，最后在所有客户端上运行：

   # ipa-certupdate

   此步骤对于确保拓扑中的所有系统都信任新的 CA 证书至关重要。

流程

1. 检查您的服务器是否正在生成 CRL:

   [root@server ~]# ipa-crlgen-manage status

   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. 停止在服务器上生成 CRL：

   [root@server ~]# ipa-crlgen-manage disable

   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. 检查服务器是否停止生成 CRL:

   [root@server ~]# ipa-crlgen-manage status

   服务器停止生成 CRL。下一步是在 IdM 副本上启用 CRL 生成。