22.3. 为 OpenPegasus 配置 SSL 证书

将 /etc/Pegasus/server.pem 证书从受管系统复制到客户端系统上的 /etc/pki/ca-trust/source/anchors/ 目录。要做到这一点，以 root 根用户身份在 shell 提示符后输入以下内容：

scp root@hostname:/etc/Pegasus/server.pem /etc/pki/ca-trust/source/anchors/pegasus-hostname.pem

使用受管系统的主机名替换 hostname。请注意，只有在 sshd 服务在受管系统上运行并且配置为允许 root 用户通过 SSH 协议登录系统时，此命令才起作用。有关如何安装和配置 sshd 服务并使用 scp 命令通过 SSH 协议传输文件的更多信息，请参阅 第 12 章 OpenSSH。

通过将校验和与原始文件的检查总和进行比较，验证客户端系统上证书的完整性。要在受管系统中计算 /etc/Pegasus/server.pem 文件的检查总和，请在该系统上以 root 用户身份运行以下命令：

sha1sum /etc/Pegasus/server.pem

要在客户端系统中计算 /etc/pki/ca-trust/source/anchors/pegasus-hostname.pem 文件的检查总和，请在此系统中运行以下命令：

sha1sum /etc/pki/ca-trust/source/anchors/pegasus-hostname.pem

使用受管系统的主机名替换 hostname。

以 root 用户身份运行以下命令来更新客户端系统中的信任存储：

update-ca-trust extract

以 root 用户身份输入以下命令，将身份管理签名证书复制到可信存储中：

cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt

以 root 用户身份运行以下命令来更新信任存储：

update-ca-trust extract

以特权域用户身份运行以下命令，将 Pegasus 注册到 Identity Management 域中的服务：

ipa service-add CIMOM/hostname

使用受管系统的主机名替换 hostname。

此命令可以从安装了 ipa-admintools 软件包的 Identity Management 域中的任何系统运行。它在身份管理中创建服务条目，可用于生成签名 SSL 证书。

以 root 用户身份运行以下命令来检索签名的证书：

ipa-getcert request -f /etc/Pegasus/server.pem -k /etc/Pegasus/file.pem -N CN=hostname -K CIMOM/hostname

使用受管系统的主机名替换 hostname。

证书和密钥文件现在保存在正确的位置。ipa-client-install 脚本在受管系统中安装的 certmonger 守护进程 可确保证书保持最新，并根据需要续订。

如需更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南。

以 root 用户身份输入以下命令，将身份管理签名证书复制到可信存储中：

cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt

以 root 用户身份运行以下命令来更新信任存储：

update-ca-trust extract

以 root 用户身份运行以下命令来更新信任存储：

update-ca-trust extract

创建新的 SSL 配置文件 /etc/Pegasus/ssl.cnf，以存储有关证书的信息。这个文件的内容必须与以下示例类似：

[ req ]
distinguished_name   = req_distinguished_name
prompt         = no
[ req_distinguished_name ]
C           = US
ST           = Massachusetts
L           = Westford
O           = Fedora
OU           = Fedora OpenLMI
CN           = hostname

使用受管系统的完全限定域名替换 hostname。

使用以下命令，以 root 用户身份在管理系统中生成私钥：

openssl genrsa -out /etc/Pegasus/file.pem 1024

以 root 用户身份运行这个命令来生成证书签名请求(CSR)：

openssl req -config /etc/Pegasus/ssl.cnf -new -key /etc/Pegasus/file.pem -out /etc/Pegasus/server.csr

将可信颁发机构的证书复制到 Pegasus 信任存储中，以确保 Pegasus 能够通过以 root 用户身份运行来信任其自身证书：

cp /path/to/ca.crt /etc/Pegasus/client.pem