第 5 章 转换证书格式以便和 IdM 一起工作

IdM 身份验证通过将显示的证书与存储的配置集数据进行比较来验证用户身份。虽然配置文件仅存储公共证书，但用户必须在身份验证过程中证明其具有对应的私钥。

因此，将证书加载到用户配置文件的进程只接受不包含私钥的证书文件。

同样，当系统管理员为您提供了外部 CA 证书时，他将仅提供公共数据：不带私钥的证书。为智能卡验证配置 IdM 服务器或 IdM 客户端的 ipa-advise 工具期望输入文件包含外部 CA 的证书，而不是私钥。

已使用 DER 编码的证书是一个二进制 X509 数字证书文件。作为二进制文件，证书不可读。DER 文件有时使用 .der 文件扩展名，但带有 .crt 和 .cer 文件扩展名的文件有时也会包含 DER 证书。包含密钥的 DER 文件可以命名为 .key。

使用 PEM Base64 编码的证书是一个人类可读的文件。文件包含前缀为"-----BEGIN …"行的 ASCII (Base64)装ored 数据。PEM 文件有时使用 .pem 文件扩展名，但具有 .crt 和 .cer 文件扩展名的文件有时也包含 PEM 证书。包含密钥的 PEM 文件可以命名为 .key。

不同的 ipa 命令对其接受的证书类型有不同的限制。例如，ipa user-add-cert 命令只接受以 base64 格式编码的证书，但 ipa-server-certinstall 可接受 PEM, DER, PKCS #7, PKCS #8 和 PKCS #12 证书。

IdM 中与证书相关的命令和格式 列出了将来的 ipa 命令和命令接受的证书格式。

当使用 CLI 访问 IdM 时，用户通过以下方法之一证明自己拥有与证书对应的私钥：