28.3.3. 为用户 Web 浏览器创建 CA ACL，使用 webclient-ca 发布的证书向 Web 服务器进行身份验证

流程

1. 使用 ipa caacl 命令创建 CA ACL 并指定其名称：

   $ ipa caacl-add TLS_web_client_authentication

   --------------------------------------------
   Added CA ACL "TLS_web_client_authentication"
   --------------------------------------------
     ACL name: TLS_web_client_authentication
     Enabled: TRUE

2. 使用 ipa caacl-mod 命令修改 CA ACL 以指定 CA ACL 的说明：

   $ ipa caacl-mod TLS_web_client_authentication --desc="CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca"

   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE

3. 将 webclient-ca 子 CA 添加到 CA ACL 中：

   $ ipa caacl-add-ca TLS_web_client_authentication --ca=webclient-ca

     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
   -------------------------
   Number of members added 1
   -------------------------

4. 使用 ipa caacl-add-profile 命令为请求的证书指定证书配置集：

   $ ipa caacl-add-profile TLS_web_client_authentication --certprofiles=IECUserRoles

     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     CAs: webclient-ca
     Profiles: IECUserRoles
   -------------------------
   Number of members added 1
   -------------------------

5. 使用 ipa caacl-mod 命令修改 CA ACL，以指定 CA ACL 适用于所有 IdM 用户：

   $ ipa caacl-mod TLS_web_client_authentication --usercat=all

   -----------------------------------------------
   Modified CA ACL "TLS_web_client_authentication"
   -----------------------------------------------
     ACL name: TLS_web_client_authentication
     Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
     Enabled: TRUE
     User category: all
     CAs: webclient-ca
     Profiles: IECUserRoles

   您可以直接使用新创建的 CA ACL。它在创建后默认启用。

   注意

   CA ACL 的重点是指定允许哪些 CA 和配置文件组合用于来自特定主体或组的请求。CA ACL 不会影响证书验证或信任。它们不会影响签发的证书的使用方式。