28.3.2. 使用 webserver-ca 发布的证书，为认证 Web 客户端的 Web 服务器创建 CA ACL

流程

1. 使用 ipa caacl 命令创建 CA ACL，并指定其名称：

   $ ipa caacl-add TLS_web_server_authentication

   --------------------------------------------
   Added CA ACL "TLS_web_server_authentication"
   --------------------------------------------
     ACL name: TLS_web_server_authentication
     Enabled: TRUE

2. 使用 ipa caacl-mod 命令修改 CA ACL 以指定 CA ACL 的说明：

   $ ipa caacl-mod TLS_web_server_authentication --desc="CAACL for web servers authenticating to web clients using certificates issued by webserver-ca"

   -----------------------------------------------
   Modified CA ACL "TLS_web_server_authentication"
   -----------------------------------------------
     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE

3. 将 webserver-ca 子 CA 添加到 CA ACL 中：

   $ ipa caacl-add-ca TLS_web_server_authentication --ca=webserver-ca

     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
   -------------------------
   Number of members added 1
   -------------------------

4. 使用 ipa caacl-add-service 指定主体可以请求证书的服务：

   $ ipa caacl-add-service TLS_web_server_authentication --service=HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM

     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
     Services: HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM
   -------------------------
   Number of members added 1
   -------------------------

5. 使用 ipa caacl-add-profile 命令为请求的证书指定证书配置集：

   $ ipa caacl-add-profile TLS_web_server_authentication --certprofiles=caIPAserviceCert

     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
     Profiles: caIPAserviceCert
     Services: HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM
   -------------------------
   Number of members added 1
   -------------------------

   您可以直接使用新创建的 CA ACL。它在创建后默认启用。

   注意

   CA ACL 的重点是指定允许哪些 CA 和配置文件组合用于来自特定主体或组的请求。CA ACL 不会影响证书验证或信任。它们不会影响签发的证书的使用方式。