第 20 章 如果 web 服务器和 LDAP 服务器证书还没有在 IdM 副本上过期，请替换它们

流程

1. 如果新的 httpd/LDAP 证书将由与旧 CA 不同的 CA 签名，请安装新的外部 CA 证书，以及外部 CA 的整个 CA 证书链作为 IdM 的额外 CA 证书。存储证书的文件在 PEM 和 DER 证书、PKCS""7 证书链、PKCS""8 和原始私钥和 PKCSThycotic 格式中接受。

   1. 安装 CA 证书：

      # ipa-cacert-manage install /path/to/ca.crt

      Copy to Clipboard Toggle word wrap
      重要

      如果新的外部 CA 证书的主题与旧 CA 证书相同，但有所不同，因为它使用不同的密钥，则只能在满足以下条件时使用它：

      • 这两个证书具有相同的信任标记。
      • CA 共享相同的 nickname。
      • 证书中列出的 X509 扩展包括授权密钥 标识符 (AKI)扩展。

   2. 将其余证书链作为额外的 CA 证书安装到 IdM 中。因为 ipa-cacert-manage install 命令只读取文件中的第一个证书，所以您必须一次安装一个证书的完整 CA 链。例如，如果链包含两个证书，请将每个证书保存在单独的文件中，并为每个文件单独运行 ipa-cacert-manage install ：

      # ipa-cacert-manage install /path/to/intermediate-ca.crt

      Copy to Clipboard Toggle word wrap

      # ipa-cacert-manage install /path/to/root-ca.crt

      Copy to Clipboard Toggle word wrap

   3. 使用证书链中的证书更新本地 IdM 证书数据库：

      # ipa-certupdate

      Copy to Clipboard Toggle word wrap

2. 使用 OpenSSL 工具生成私钥和证书签名请求(CSR)：

   $ openssl req -new -newkey rsa:4096 -days 365 -nodes -keyout new.key -out new.csr -addext "subjectAltName = DNS:server.idm.example.com" -subj '/CN=server.idm.example.com,O=IDM.EXAMPLE.COM'

   Copy to Clipboard Toggle word wrap

   将 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。在 CA 为证书签名后，将证书导入到 IdM 服务器。

3. 在 IdM 服务器上，将 Apache Web 服务器的旧私钥和证书替换为新密钥和新签名的证书：

   # ipa-server-certinstall -w --pin=password new.key new.crt

   Copy to Clipboard Toggle word wrap

   在以上命令中：

   • -w 选项指定您要将证书安装到 Web 服务器中。
   • pin 选项指定保护私钥的密码。
4. 出现提示时，输入 目录管理器 密码。

5. 将 LDAP 服务器的旧私钥和证书替换为新密钥和新签名的证书：

   # ipa-server-certinstall -d --pin=password new.key new.cert

   Copy to Clipboard Toggle word wrap

   在以上命令中：

   • -d 选项指定您要将证书安装到 LDAP 服务器中。
   • pin 选项指定保护私钥的密码。
6. 出现提示时，输入 目录管理器 密码。

7. 重启 httpd 服务：

   # systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap

8. 重启 Directory 服务：

   # systemctl restart dirsrv@IDM.EXAMPLE.COM.service

   Copy to Clipboard Toggle word wrap

9. 如果在服务器上删除或替换了子 CA，请更新客户端：

   # ipa-certupdate

   Copy to Clipboard Toggle word wrap