第 29 章 使用 IdM Healthcheck 验证证书

此测试检查 certmonger 中的过期时间。

如果报告错误，证书已过期。

如果出现警告，证书将很快过期。默认情况下，如果测试在证书过期前运行 28 天或更少，会出现一个警告。

您可以在 /etc/ipahealthcheck/ipahealthcheck.conf 文件中配置天数。打开该文件后，更改 default 部分中的 cert_expiration_days 选项。

此测试会检查证书文件或 NSS 数据库是否配置了正确的访问权限。此测试还会检查过期情况。因此，请仔细阅读错误或警告输出中的 msg 属性。消息指定了问题。

此测试会验证 OpenSSL 证书的证书链。具体来说，健康检查执行以下 OpenSSL 命令：

openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]

openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt [cert file]

此测试验证 证书授权机构 (CA)配置。IdM 无法在没有 CA 的情况下发布证书。

Certmonger 维护一组 CA 帮助程序。名为 IPA 的 CA 通过 IdM 为主机或服务发布证书，以主机或用户主体进行身份验证。

另外，还有 dogtag-ipa-ca-renew-agent 和 dogtag-ipa-ca-renew-agent-reuse 用于续订 CA 子系统证书。