管理 IdM 中的证书

流程

1. 在 Identity 选项卡下，选择 Users、Hosts 或 Services 子选项卡。

2. 单击用户、主机或服务的名称，以打开其配置页面。

   图 2.1. 主机列表

   
3. 单击 Actions → New Certificate。
4. 可选：选择发布 CA 和配置文件 ID。
5. 按照说明使用屏幕上的 certutil 命令行(CLI)工具。
6. 点 Issue。

流程

1. 为证书数据库创建一个临时目录：

   # mkdir ~/certdb/

2. 例如，创建一个新的临时证书数据库：

   # certutil -N -d ~/certdb/

3. 创建 CSR，并将输出重定向到文件。例如，要为 4096 位证书创建一个 CSR，并将主题设为 CN=server.example.com,O=EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

4. 将证书请求文件提交到 IdM 服务器上运行的 CA。指定要与新发布的证书关联的 Kerberos 主体：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择一个自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM root CA ipa

     要选择子 CA，请使用 --ca 选项。

流程

1. 为您的 Kerberos 主体 test/server.example.com 创建一个或多个别名。例如，test1/server.example.com 和 test2/server.example.com。

2. 在 CSR 中，为 dnsName(server.example.com)和 otherName(test2/server.example.com)添加 subjectAltName。要做到这一点，请将 openssl.conf 文件配置为包含以下指定 UPN otherName 和 subjectAltName 的行:

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

3. 使用 openssl 创建一个证书请求：

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

4. 将证书请求文件提交到 IdM 服务器上运行的 CA。指定要与新发布的证书关联的 Kerberos 主体：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择一个自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM root CA ipa

     要选择子 CA，请使用 --ca 选项。

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 单击用户、主机或服务的名称，以打开其配置页面。

3. 单击 Certificates 条目旁边的 Add。

   图 3.1. 将证书添加给用户帐户

   
4. 将 Base64 或 PEM 编码格式的证书粘贴到文本字段中，然后单击 Add。
5. 单击 Save 以保存更改。

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 单击用户、主机或服务的名称，以打开其配置页面。
3. 单击要删除的证书旁边的 Actions ，然后选择 Delete。
4. 单击 Save 以保存更改。

流程

1. 通过复制现有默认配置集来创建自定义配置集：

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert
   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

2. 在文本编辑器中打开新创建的配置集配置文件。

   $ vi  smime.cfg

3. 将 Profile ID 更改为反映配置集用法的名称，如 smime。

   注意

   当您导入新创建的配置集时，profileId 字段必须与命令行中指定的 ID 匹配。

4. 更新扩展密钥使用情况配置。默认的扩展密钥使用扩展配置用于 TLS 服务器和客户端身份验证。例如，对于 S/MIME，必须配置扩展密钥用法来保护电子邮件：

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

5. 导入新配置集：

   $ ipa certprofile-import smime --file smime.cfg \
     --desc "S/MIME certificates" --store TRUE
   
   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

流程

1. 为证书配置集的用户创建一个新组：

   $ ipa group-add smime_users_group
   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

2. 创建一个新用户来添加到 smime_user_group 组：

   $ ipa user-add smime_user
   First name: smime
   Last name: user
   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

3. 将 smime_user 添加到 smime_users_group 组：

   $ ipa group-add-member smime_users_group --users=smime_user
     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user
   -------------------------
   Number of members added 1
   -------------------------

4. 创建 CA ACL 以允许组中的用户访问证书配置集：

   $ ipa caacl-add smime_acl
   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

5. 在 CA ACL 中添加用户组：

   $ ipa caacl-add-user smime_acl --group smime_users_group
     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

6. 向 CA ACL 中添加证书配置文件：

   $ ipa caacl-add-profile smime_acl --certprofile smime
     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

流程

1. 为用户生成证书请求。例如，使用 OpenSSL:

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

2. 从 IdM CA 请求用户的新证书：

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   （可选）将 --ca 子 CA_name 选项传递给 命令，以从子 CA 而非 root CA 请求证书。

流程

1. 确定您要修改的证书配置集的证书配置集 ID。显示 IdM 中当前存储的所有证书配置集：

   # ipa certprofile-find
   
   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

2. 修改证书配置文件描述。例如，如果您使用现有配置集为 S/MIME 证书创建自定义证书配置集，请使用新用法更改描述：

   # ipa certprofile-mod smime --desc "New certificate profile description"
   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

3. 在文本编辑器中打开您的客户证书配置文件并根据您的要求进行修改：

   # vi smime.cfg

   有关可以在证书配置文件配置文件中配置的选项的详情，请查看 证书配置文件配置参数。

4. 更新现有证书配置集配置文件：

   # ipa certprofile-mod _profile_ID_ --file=smime.cfg

流程

1. 在 Authentication 菜单中点击 Certificates > Certificates。

2. 单击证书的序列号，以打开证书信息页面。

   图 6.1. 证书列表

   
3. 在证书信息页面中，找到 Expires On 信息。

1. 以 PEM 格式获取 CA 证书的文件。
2. 运行内置的 ipa-advise 脚本。
3. 重新加载系统配置。

流程

1. 创建要进行配置的目录：

   [root@server]# mkdir ~/SmartCard/

2. 进入该目录：

   [root@server]# cd ~/SmartCard/

3. 获取存储在 PEM 格式文件中的相关 CA 证书。如果您的 CA 证书以不同格式的文件存储，如 DER，将其转换为 PEM 格式。IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

   将 DER 文件转换为 PEM 文件：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

4. 为方便起见，将证书复制到您要进行配置的目录中：

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

5. 可选：如果您使用外部证书颁发机构的证书，请使用 openssl x509 实用程序查看 PEM 格式的文件的内容，以检查 Issuer 和 Subject 值是否正确：

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

6. 使用管理员的权限生成带有内置 ipa-advise 工具的配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   config-server-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

7. 执行脚本，将包含 root CA 和子 CA 证书的 PEM 文件添加为参数：

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注意

   在任何子 CA 证书前，确保将 root CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

8. 可选： 如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，您可能需要禁用对 IdM Web UI 进行身份验证的 OCSP 检查：

   1. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设置为 off ：

      SSLOCSPEnable off

   2. 重启 Apache 守护进程(httpd)使更改立即生效：

      [root@server SmartCard]# systemctl restart httpd

   警告

   如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

   有关如何启用 OCSP 检查的说明，以及如果 IdM 服务器不包含发布用户证书侦听 OCSP 服务请求的位置信息，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

流程

1. 如果您的 CA 证书存储在不同格式的文件中，如 DER，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中，指定以下内容：

   • 要为智能卡验证配置的 IdM 服务器。
   • IdM 管理员密码。

   • CA 的证书路径按以下顺序排列：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   该文件可如下所示：

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-server.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   ipasmartcard_server Ansible 角色执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

10. 可选： 如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，您可能需要禁用对 IdM Web UI 进行身份验证的 OCSP 检查：

    1. 以 root 身份连接到 IdM 服务器：

       ssh root@ipaserver.idm.example.com

    2. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设置为 off ：

       SSLOCSPEnable off

    3. 重启 Apache 守护进程(httpd)使更改立即生效：

       # systemctl restart httpd

    警告

    如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

    有关如何启用 OCSP 检查的说明，以及如果 IdM 服务器不包含发布用户证书侦听 OCSP 服务请求的位置信息，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

流程

1. 在 IdM 服务器上，使用管理员的权限生成带有 ipa-advise 的配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   config-client-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程 (SSSD)，允许用户使用其用户名和密码或其智能卡进行验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

2. 从 IdM 服务器中，将脚本复制到 IdM 客户端机器中选择的目录中：

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

3. 为了方便起见，将 IdM 服务器上的 PEM 格式的 CA 证书文件复制到 IdM 客户端机器上与在上一步中所使用的相同的目录中：

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

4. 在客户端机器上执行 脚本，将包含 CA 证书的 PEM 文件添加为参数：

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注意

   在任何子 CA 证书前，确保将 root CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

流程

1. 如果您的 CA 证书存储在不同格式的文件中，如 DER，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中，例如：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中，指定以下内容：

   • 要为智能卡验证配置的 IdM 客户端。
   • IdM 管理员密码。

   • CA 的证书路径按以下顺序排列：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   该文件可如下所示：

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-clients.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible 角色执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程(SSSD)，以允许用户使用其用户名和密码或其智能卡进行验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

流程

1. 如果要向另一个用户添加证书，请以管理员身份登录到 IdM Web UI。要在您自己的配置集中添加证书，您不需要管理员的凭证。
2. 导航到 Users → Active users → sc_user。
3. 找到 Certificate 选项，并单击 Add。

4. 在命令行中，使用 cat 实用程序或文本编辑器以 PEM 格式显示证书：

   [user@client SmartCard]$ cat testuser.crt

5. 将 CLI 中的证书复制并粘贴到 Web UI 中打开的窗口中。

6. 单击 Add。

   图 7.1. 在 IdM Web UI 中添加新证书

   

流程

1. 如果要为另一个用户添加证书，请以管理员身份登录到 IdM CLI：

   [user@client SmartCard]$ kinit admin

   要在您自己的配置集中添加证书，您不需要管理员的凭证：

   [user@client SmartCard]$ kinit sc_user

2. 创建一个包含证书的环境变量，该变量移除了标头和页脚并将其串联到一行中，这是 ipa user-add-cert 命令预期的格式：

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   请注意，testuser.crt 文件中的证书必须是 PEM 格式。

3. 使用 ipa user-add-cert 命令将证书添加到 sc_user 的配置集：

   [user@client SmartCard]$ ipa user-add-cert sc_user --certificate=$CERT

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # yum -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   标签设置为人类可读值，本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   此时您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 在浏览器中打开 IdM Web UI。

2. 点使用证书登陆。

   

3. 如果 "密码必需" 对话框打开，请添加 PIN 来解锁智能卡，然后单击 确定 按钮。

   此时会打开 User Identification Request 对话框。

   如果智能卡包含多个证书，请在下方 Choose a certificate 作为标识的下拉列表中选择您要用于验证的证书。

4. 点确定按钮。

流程

1. 在读取器中插入智能卡。
2. 输入智能卡 PIN。
3. 点 Sign In。

流程

1. 从 IdM 服务器 连接，并将 adcs-winserver-ca.cer root 证书复制到 IdM 服务器：

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <Path to certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <Path to certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <Path to certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

2. 从 IdM 客户端 连接，并将 aduser1.pfx 用户证书复制到客户端：

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<Path to certificates>
   sftp> get aduser1.pfx
   Fetching <Path to certificates>/aduser1.pfx to aduser1.pfx
   <Path to certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

流程

1. 在 IdM 服务器上，使用 ipa-advise 脚本来配置客户端：

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

2. 在 IdM 服务器上，使用 ipa-advise 脚本来配置服务器：

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

3. 在 IdM 服务器中执行脚本：

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

4. 将 sc_client.sh 脚本复制到客户端系统中：

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

5. 将 Windows 证书复制到客户端系统中：

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

6. 在客户端系统中运行客户端脚本：

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

流程

1. 在 IdM 客户端中，采用 PEM 格式：

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

2. 将密钥提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

3. 将公共证书提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

流程

1. 安装 opensc 和 gnutls-utils 软件包：

   # yum -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   标签设置为人类可读值，本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   此时您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 打开 sssd.conf 文件：

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

2. 更改 p11_child_timeout 的值：

   [pam]
   p11_child_timeout = 60

3. 更改 krb5_auth_timeout 的值：

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

4. 保存设置。

1. 管理员必须将证书映射数据或完整证书加载到用户帐户中。
2. 管理员必须创建证书映射规则，以允许其帐户包含与证书上信息匹配的证书映射数据条目的用户成功登录到 IdM。

流程

1. 创建指向证书的变量，该变量还可确保正确编码，以便您可以检索所需的数据。

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

2. 使用 sssctl cert-eval-rule 来确定匹配的数据。在以下示例中，使用了证书序列号。

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   在这种情况下，将 altSecurityIdentities= 后的所有内容添加到 AD 中用户的 altSecurityIdentities 属性中。如果使用 SKI 映射，请使用 --map='LDAPU1: (altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})'。

3. 可选： 要在 CLI 中基于匹配规则创建一个新的映射规则，该规则指定证书签发者必须与 ad.example.com 域的 adcs19-WIN1-CA 匹配，证书的序列号必须与用户帐户中的 altSecurityIdentities 条目匹配：

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

1. 在身份管理服务器上，获取管理员特权并创建 shell 脚本来配置服务器。

   1. 运行 ipa-advise config-server-for-smart-card-auth 命令，并将其输出保存到文件中，如 server_certificate_script.sh ：

      # kinit admin
      # ipa-advise config-server-for-smart-card-auth > server_certificate_script.sh

   2. 使用 chmod 实用程序为文件添加执行权限：

      # chmod +x server_certificate_script.sh

2. 在 Identity Management 域中的所有服务器上，运行 server_certificate_script.sh 脚本

   1. 使用 IdM 证书颁发机构证书的路径 /etc/ipa/ca.crt，因为如果 IdM CA 是唯一签发了您要为其启用证书验证的用户证书的证书颁发机构：

      # ./server_certificate_script.sh /etc/ipa/ca.crt

   2. 如果不同的外部 CA 签署您想要为其启用证书验证的用户证书，则使用路径作为输入：

      # ./server_certificate_script.sh /tmp/ca1.pem /tmp/ca2.pem

流程

1. 可选：创建一个新目录，如 ~/certdb/，并使其成为临时证书数据库。当系统提示时，创建一个 NSS 证书数据库密码来加密后续步骤中生成的证书的密钥：

   # mkdir ~/certdb/
   # certutil -N -d ~/certdb/
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:

2. 创建证书签名请求(CSR)，并将输出重定向到文件。例如，要为 IDM.EXAMPLE.COM 领域中的 idm_user 用户创建一个 4096 位、名称为 certificate_request.csr 的 CSR，请将证书私钥的昵称设为 idm_user 以便于查找，并将主题设为 CN=idm_user,O=IDM.EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -n idm_user -s "CN=idm_user,O=IDM.EXAMPLE.COM" > certificate_request.csr

3. 出现提示时，输入您在使用 certutil 创建临时数据库时输入的相同密码。然后继续键入 rundlomly 直到通知停止：

   Enter Password or Pin for "NSS Certificate DB":
   
   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:

4. 将证书请求文件提交到服务器。指定要与新发布的证书关联的 Kerberos 主体、存储证书的输出文件，以及可选的证书配置集。例如，要获取 IECUserRoles 配置集的证书，带有添加的用户角色扩展的配置文件，idm_user@IDM.EXAMPLE.COM 主体，并将它保存在 ~/idm_user.pem 文件中：

   # ipa cert-request certificate_request.csr --principal=idm_user@IDM.EXAMPLE.COM --profile-id=IECUserRoles --certificate-out=~/idm_user.pem

5. 将证书添加到 NSS 数据库。使用 -n 选项设置之前创建 CSR 时所用的相同 nickname，以便该证书与 NSS 数据库中的私钥相匹配。t 选项设置信任级别。详情请查看 certutil(1)man page。i 选项指定 输入证书文件。例如，要将存储在 ~/certdb/ 数据库中 ~/idm_user.pem 文件中的带有 idm_user 昵称的证书添加到 NSS 数据库中：

   # certutil -A -d ~/certdb/ -n idm_user -t "P,," -i ~/idm_user.pem

6. 验证 NSS 数据库中的密钥是否未显示 （或称为） 作为其 nickname。例如，验证存储在 ~/certdb/ 数据库中 的证书没有被孤立：

   # certutil -K -d ~/certdb/
   < 0> rsa      5ad14d41463b87a095b1896cf0068ccc467df395   NSS Certificate DB:idm_user

7. 使用 pk12util 命令将证书从 NSS 数据库导出到 PKCS12 格式。例如，将 /root/certdb NSS 数据库中的 idm_user nickname 的证书导出到 ~/idm_user.p12 文件：

   # pk12util -d ~/certdb -o ~/idm_user.p12 -n idm_user
   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL

8. 将证书传输到您要启用 idm_user 的证书身份验证的主机：

   # scp ~/idm_user.p12 idm_user@client.idm.example.com:/home/idm_user/

9. 在传输了证书的主机上，出于安全原因使 'pkcs12 文件被 'other' 组无法访问的目录：

   # chmod o-rwx /home/idm_user/

10. 出于安全考虑，请从服务器中删除临时 NSS 数据库和 .pkcs12 文件：

    # rm ~/certdb/
    # rm ~/idm_user.p12

流程

1. 打开 Firefox，然后导航到 Preferences → Privacy & Security。

   图 10.1. Preferences 中的隐私和安全部分

   

2. 单击 View Certificates。

   图 10.2. 查看隐私和安全性中的证书

   
3. 在您的 证书 选项卡中，单击 Import。以 PKCS12 格式查找并打开用户证书，然后点 OK 和 OK。

4. 确保 Identity Management 证书授权机构被 Firefox 认可为可信颁发机构：

   1. 在本地保存 IdM CA 证书：

      • 通过在 Firefox 地址栏中写入 IdM 服务器的名称，导航到 IdM Web UI。在 Insecure Connection 警告页面上单击 Advanced。

        图 10.3. 不安全的连接

        

      • 添加例外.单击 View。

        图 10.4. 查看证书的详情

        

      • 在 详细信息 选项卡中，突出显示 证书颁发机构 字段。

        图 10.5. 导出 CA 证书

        
      • 单击 Export。保存 CA 证书，如 CertificateAuthority.crt 文件，然后单击 Close 和 Cancel。

   2. 将 IdM CA 证书导入 Firefox 作为可信证书颁发机构证书：

      • 打开 Firefox，导航到 Preferences 并点击 Privacy & Security。

        图 10.6. Preferences 中的隐私和安全部分

        

      • 单击 View Certificates。

        图 10.7. 查看隐私和安全性中的证书

        
      • 在" 颁发机构 "选项卡中，单击 Import。查找并打开您在上一步中保存在 CertificateAuthority.crt 文件中的 CA 证书。信任证书来识别网站，然后点OK 和 OK。
5. 继续 验证身份管理 Web UI，并使用作为身份管理用户的证书。

流程

1. 在浏览器中，导航到位于 的 Identity Management Web UI，例如 https://server.idm.example.com/ipa/ui。

2. 单击 "登录使用证书 "

   图 10.8. 在身份管理 Web UI 中 使用证书登录

   
3. 应该已经选择了用户的证书。取消选中 Remember this Decision，然后单击 OK。

流程

1. 获取 IdM 管理员凭证：

   ~]$ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

2. 可选： 要找出部署中的哪些 IdM 服务器具有必要的 CA 角色，有资格成为新的 CA 续订服务器：

   ~]$ ipa server-role-find --role 'CA server'
   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   部署中有两个 CA 服务器。

3. 可选： 要找出哪个 CA 服务器是当前的 CA 续订服务器，请输入：

   ~]$ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   当前续订服务器为 server.idm.example.com。

4. 要更改续订服务器配置，请使用 ipa config-mod 实用程序和 --ca-renewal-master-server 选项：

   ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
     IPA CA renewal master: replica.idm.example.com

   重要

   您还可以使用以下命令切换到新的 CA 续订服务器：

   • ipa-cacert-manage --renew 命令。此命令会续订 CA 证书 ，并使 您在其上执行新 CA 续订服务器的 CA 服务器。

   • ipa-cert-fix 命令。当证书过期时，该命令会恢复部署。它还使您在其上执行该命令的 CA 服务器成为新的 CA 续订服务器。

     详情请查看 IdM 离线时重新更新过期的系统证书。

流程

1. 在 IdM CA 续订服务器上，将 CA 证书更新为自签名：

   # ipa-cacert-manage renew --self-signed
   Renewing CA certificate, please wait
   CA certificate successfully renewed
   The ipa-cacert-manage command was successful

2. 以 root 用户身份通过 SSH 连接到所有剩余的 IdM 服务器和客户端。例如：

   # ssh root@idmclient01.idm.example.com

3. 在 IdM 客户端中，使用服务器的证书更新本地 IdM 证书数据库：

   [idmclient01 ~]# ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

验证

1. 要检查您的更新是否成功，并将新的 CA 证书添加到 /etc/ipa/ca.crt 文件中：

   [idmclient01 ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   输出显示更新已成功，因为新 CA 证书使用旧的 CA 证书列出。

1. 创建要提交到外部 CA 的 CSR：

   • 如果外部 CA 是 AD CS，请使用 --external-ca-type=ms-cs 选项。如果要使用与默认 subCA 模板不同的模板，请使用 --external-ca-profile 选项指定它：

     ~]# ipa-cacert-manage renew --external-ca --external-ca-type=ms-cs [--external-ca-profile=PROFILE]
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

   • 如果外部 CA 不是 AD CS：

     ~]# ipa-cacert-manage renew --external-ca
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

     输出显示已创建了 CSR，并存储在 /var/lib/ipa/ca.csr 文件中。

2. 将位于 /var/lib/ipa/ca.csr 中的 CSR 提交到外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

3. 检索发布的证书和 CA 证书链，用于在基本的 64 编码 Blob 中发布 CA，即：

   • 如果外部 CA 不是 AD CS，则为 PEM 文件。

   • 如果外部 CA 是 AD CS，则为 Base_64 证书。

     每个证书服务的进程都有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有必要的证书。

     如果外部 CA 是 AD CS，且您已通过 Microsoft Windows 认证授权机构管理窗口使用已知模板提交 CSR，AD CS 会立即发出证书，且 Save Certificate 对话框会出现在 AD CS Web 界面中，询问如何保存颁发的证书。

4. 再次运行 ipa-cacert-manage renewal 命令，添加提供完整证书链所需的所有 CA 证书文件。多次使用 --external-cert-file 选项，根据需要指定任意文件：

   ~]# ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate_1 --external-cert-file=/path/to/external_ca_certificate_2

5. 在所有 IdM 服务器和客户端中，使用来自服务器的证书更新本地 IdM 证书数据库：

   [client ~]$ ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

验证

1. 要检查您的更新是否成功，并将新的 CA 证书添加到 /etc/ipa/ca.crt 文件中：

   [client ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   输出显示更新已成功，因为新 CA 证书使用旧的 CA 证书列出。

流程

1. 可选：备份系统。这强烈推荐，因为 ipa-cert-fix 对 nssdb 进行了不可逆更改。因为 ipa-cert-fix 也对 LDAP 进行了更改，因此也建议备份整个集群。

2. 启动 ipa-cert-fix 工具，以分析系统并列出需要续订的过期证书：

   # ipa-cert-fix
   ...
   The following certificates will be renewed:
   
   Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  13
     Expires: 2019-05-12 05:55:47
   ...
   Enter "yes" to proceed:

3. 输入 yes 以开始续订过程：

   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  268369925
     Expires: 2021-08-14 02:19:33
   ...
   
   Becoming renewal master.
   The ipa-cert-fix command was successful

   ipa-cert-fix 更新所有过期证书前最多可能需要一分钟的时间。

验证

1. 验证所有服务现在都在运行：

   # ipactl status
   Directory Service: RUNNING
   krb5kdc Service: RUNNING
   kadmin Service: RUNNING
   httpd Service: RUNNING
   ipa-custodia Service: RUNNING
   pki-tomcatd Service: RUNNING
   ipa-otpd Service: RUNNING
   ipa: INFO: The ipactl command was successful

流程

1. 使用 --force 参数重启 IdM：

   # ipactl restart --force

   使用 --force 参数时，ip actl 实用程序会忽略单个服务启动失败。例如，如果服务器也是证书过期的 CA，pki-tomcat 服务将无法启动。这是预期并忽略的，因为使用了 --force 参数。

2. 重启后，验证 certmonger 服务 是否已更新证书（certificate 状态显示 MONITORING）：

   # getcert list | egrep '^Request|status:|subject:'
   Request ID '20190522120745':
           status: MONITORING
           subject: CN=IPA RA,O=EXAMPLE.COM 201905222205
   Request ID '20190522120834':
           status: MONITORING
           subject: CN=Certificate Authority,O=EXAMPLE.COM 201905222205
   ...

   在 certmonger 续订副本上的共享证书之前，可能需要一些时间，。

3. 如果服务器也是 CA，以上命令会报告 pki-tomcat 服务使用的证书的 CA_UNREACHABLE ：

   Request ID '20190522120835':
           status: CA_UNREACHABLE
           subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
   ...

4. 要续订此证书，请使用 ipa-cert-fix 工具：

   # ipa-cert-fix
   Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM
     Serial:  3
     Expires: 2019-05-11 12:07:11
   
   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
     Serial:  15
     Expires: 2019-08-14 04:25:05
   
   The ipa-cert-fix command was successful

流程

1. 检查您的服务器是否正在生成 CRL:

   [root@server ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. 停止在服务器上生成 CRL：

   [root@server ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. 检查服务器是否停止生成 CRL:

   [root@server ~]# ipa-crlgen-manage status

流程

1. 开始生成 CRL：

   [root@replica1 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

2. 检查是否生成 CRL：

   [root@replica1 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:10:00
   Last CRL Number: 7
   The ipa-crlgen-manage command was successful

流程

1. 停止 CRL 生成服务器：

   # systemctl stop pki-tomcatd@pki-tomcat.service

2. 打开 /var/lib/pki/pki-tomcat/conf/ca/CS.cfg 文件，并将 ca.crl.MasterCRL.autoUpdateInterval 值改为新的间隔设置。例如，每隔 60 分钟生成 CRL：

   ca.crl.MasterCRL.autoUpdateInterval=60

   注意

   如果您更新了 ca.crl.MasterCRL.autoUpdateInterval 参数，则更改将在下一次计划的 CRL 更新后生效。

3. 启动 CRL 生成服务器：

   # systemctl start pki-tomcatd@pki-tomcat.service

流程

1. 在运行 HTTP 服务的 my_company.idm.example.com IdM 客户端中，请求与 HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM 主体对应的服务的证书，并指定：

   • 证书将存储在本地 /etc/pki/tls/certs/httpd.pem 文件中
   • 私钥存储在本地 /etc/pki/tls/private/httpd.key 文件中

   • 将 SubjectAltName 的 extensionRequest 添加到签名请求中，其 DNS 名称为 my_company.idm.example.com ：

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     在以上命令中：

     • ipa-getcert request 命令指定要从 IdM CA 获取证书。ipa-getcert request 命令是 getcert request -c IPA 的快捷方式。
     • g 选项指定要生成的密钥的大小（如果尚未到位）。
     • D 选项指定 要添加到请求的 SubjectAltName DNS 值。
     • C 选项 指示 certmonger 在获取证书后重新启动 httpd 服务。
     • 要指定证书与特定的配置集一起发布，请使用 -T 选项。
     • 要使用指定的 CA 中的指定签发者请求证书，请使用 -X ISSUER 选项。
     注意

     RHEL 8 在 Apache 中使用与 RHEL 7 中使用的不同的 SSL 模块。SSL 模块依赖于 OpenSSL 而不是 NSS。因此，在 RHEL 8 中，您无法使用 NSS 数据库存储 HTTPS 证书和私钥。

2. 可选：检查请求的状态：

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
   [...]

   输出显示请求处于 MONITOR ING 状态，这表示已获取了证书。密钥对和证书的位置是请求的位置。

1. 在 IdM 服务器上，您可以为尚不存在的系统创建一个证书。
2. 您可以创建新系统。
3. 将新系统注册为 IdM 客户端。
4. 您可以将证书和密钥从 上的 IdM 服务器导入到 IdM 客户端。
5. 您开始使用 certmonger 来跟踪 证书，以确保其在过期时得到续订。

流程

1. 获取子系统 CA 证书的 PIN：

   # grep 'internal=' /var/lib/pki/pki-tomcat/conf/password.conf

2. 添加跟踪到子系统 CA 证书，将以下命令中的 [internal PIN] 替换为上一步中获取的 PIN：

   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "caSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "caSigningCert cert-pki-ca"' -T caCACert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "auditSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "auditSigningCert cert-pki-ca"' -T caSignedLogCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "ocspSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "ocspSigningCert cert-pki-ca"' -T caOCSPCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "subsystemCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "subsystemCert cert-pki-ca"' -T caSubsystemCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "Server-Cert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "Server-Cert cert-pki-ca"' -T caServerCert

3. 添加对剩余的 IdM 证书、HTTP、LDAP 、 IPA 续订代理 和 PKINIT 证书的 跟踪：

   # getcert start-tracking -f /var/lib/ipa/certs/httpd.crt -k /var/lib/ipa/private/httpd.key -p /var/lib/ipa/passwds/idm.example.com-443-RSA -c IPA -C /usr/libexec/ipa/certmonger/restart_httpd -T caIPAserviceCert
   
   # getcert start-tracking -d /etc/dirsrv/slapd-IDM-EXAMPLE-COM -n "Server-Cert" -c IPA -p /etc/dirsrv/slapd-IDM-EXAMPLE-COM/pwdfile.txt -C '/usr/libexec/ipa/certmonger/restart_dirsrv "IDM-EXAMPLE-COM"' -T caIPAserviceCert
   
   # getcert start-tracking -f /var/lib/ipa/ra-agent.pem -k /var/lib/ipa/ra-agent.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_ra_cert -T caSubsystemCert
   
   # getcert start-tracking -f /var/kerberos/krb5kdc/kdc.crt -k /var/kerberos/krb5kdc/kdc.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_kdc_cert -T KDCs_PKINIT_Certs

4. 重启证书 ：

   # systemctl restart certmonger

5. 等待一分钟，直到 certmonger 启动后，然后检查新证书的状态：

   # getcert list

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Create certificates
     hosts: managed-node-01.example.com
     tasks:
       - name: Create a self-signed certificate
         ansible.builtin.include_role:
           name: rhel-system-roles.certificate
         vars:
           certificate_requests:
             - name: web-server
               ca: ipa
               dns: www.example.com
               principal: HTTP/www.example.com@EXAMPLE.COM
               run_before: systemctl stop httpd.service
               run_after: systemctl start httpd.service

   示例 playbook 中指定的设置包括以下内容：

   name: <path_or_file_name>

   定义生成的私钥和证书文件的名称或路径：

   • 如果将变量设置为 web-server，该角色会将私钥存储在 /etc/pki/tls/private/web-server.key 中，并将证书存储在 /etc/pki/tls/certs/web-server.crt 文件中。

   • 如果将变量设置为路径，如 /tmp/web-server，该角色会将私钥存储在 /tmp/web-server.key 中，并将证书存储在 /tmp/web-server.crt 文件中。

     请注意，您使用的目录必须设置 cert_t SELinux 上下文。您可以使用 selinux RHEL 系统角色来管理 SELinux 上下文。

   ca: ipa

   定义该角色从 IdM CA 请求证书。

   dns: <hostname_or_list_of_hostnames>

   设置发布的证书中的 Subject Alternative Names (SAN)字段所包含的主机名。您可以使用通配符(*)或以 YAML 列表格式指定多个名称。

   principal: <kerberos_principal>

   可选：设置证书中包含的 Kerberos 主体。

   run_before: <command>

   可选：定义 certmonger 在从 CA 请求证书前应执行的命令。

   run_after: < command>

   可选：定义 certmonger 应该在从 CA 收到发布的证书后执行的命令。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.certificate/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook:

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Create certificates
     hosts: managed-node-01.example.com
     tasks:
       - name: Create a self-signed certificate
         ansible.builtin.include_role:
           name: rhel-system-roles.certificate
         vars:
           certificate_requests:
             - name: web-server
               ca: self-sign
               dns: test.example.com

   示例 playbook 中指定的设置包括以下内容：

   name: <path_or_file_name>

   定义生成的私钥和证书文件的名称或路径：

   • 如果将变量设置为 web-server，该角色会将私钥存储在 /etc/pki/tls/private/web-server.key 中，并将证书存储在 /etc/pki/tls/certs/web-server.crt 文件中。

   • 如果将变量设置为路径，如 /tmp/web-server，该角色会将私钥存储在 /tmp/web-server.key 中，并将证书存储在 /tmp/web-server.crt 文件中。

     请注意，您使用的目录必须设置 cert_t SELinux 上下文。您可以使用 selinux RHEL 系统角色来管理 SELinux 上下文。

   ca: self-sign

   定义该角色创建了自签名证书。

   dns: <hostname_or_list_of_hostnames>

   设置发布的证书中的 Subject Alternative Names (SAN)字段所包含的主机名。您可以使用通配符(*)或以 YAML 列表格式指定多个名称。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.certificate/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook:

   $ ansible-playbook ~/playbook.yml

流程

1. 在 Authentication 菜单中点击 Certificates > Certificates。

   图 20.2. 证书列表中的子 CA 证书

   
2. 单击子 CA 证书的序列号，以打开证书信息页面。
3. 在证书信息页面中，点击 Actions > Download。

4. 在 CLI 中，将子 CA 证书移到 /etc/pki/tls/private/ 目录中：

   # mv path/to/the/downloaded/certificate /etc/pki/tls/private/sub-ca.crt

流程

1. 在运行 HTTP 服务的 my_company.idm.example.com IdM 客户端中，请求与 HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM 主体对应的服务的证书，并指定：

   • 证书将存储在本地 /etc/pki/tls/certs/httpd.pem 文件中
   • 私钥存储在本地 /etc/pki/tls/private/httpd.key 文件中
   • The webserver-ca 子 CA 将作为发行证书颁发机构

   • 将 SubjectAltName 的 extensionRequest 添加到签名请求中，其 DNS 名称为 my_company.idm.example.com ：

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     在以上命令中：

     • ipa-getcert request 命令指定要从 IdM CA 获取证书。ipa-getcert request 命令是 getcert request -c IPA 的快捷方式。
     • g 选项指定要生成的密钥的大小（如果尚未到位）。
     • D 选项指定 要添加到请求的 SubjectAltName DNS 值。
     • X 选项指定 证书的签发者必须是 webserver-ca， 而不是 ipa。
     • C 选项 指示 certmonger 在获取证书后重新启动 httpd 服务。
     • 要指定证书与特定的配置集一起发布，请使用 -T 选项。
     注意

     RHEL 8 在 Apache 中使用与 RHEL 7 中使用的不同的 SSL 模块。SSL 模块依赖于 OpenSSL 而不是 NSS。因此，在 RHEL 8 中，您无法使用 NSS 数据库存储 HTTPS 证书和私钥。

2. 可选：检查请求的状态：

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   输出显示请求处于 MONITOR ING 状态，这表示已获取了证书。密钥对和证书的位置是请求的位置。

流程

1. 安装 httpd 软件包：

   # yum install httpd

2. 如果使用 firewalld，请在本地防火墙中打开 TCP 端口 80 ：

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

3. 启用并启动 httpd 服务：

   # systemctl enable --now httpd

4. 可选：将 HTML 文件添加到 /var/www/html/ 目录中。

   注意

   在 /var/www/html/ 中添加内容时，httpd 默认运行 httpd 的用户必须可读文件和目录。内容所有者可以是 root 用户和 root 用户组，也可以是管理员选择的其他用户或组。如果内容所有者是 root 用户和 root 用户组，则文件必须可由其他用户读取。所有文件和目录的 SELinux 上下文必须为 httpd_sys_content_t，默认应用于 /var/www 目录中的所有内容。

流程

1. 安装 mod_ssl 软件包：

   # yum install mod_ssl

2. 编辑 /etc/httpd/conf.d/ssl.conf 文件，并将以下设置添加到 <VirtualHost _default_:443> 指令中：

   1. 设置服务器名称：

      ServerName my_company.idm.example.com

   重要

   服务器名称必须与证书的 Common Name 字段中 设置的条目匹配。

   1. 可选： 如果证书在 Subject Alt Names (SAN)字段中包含额外主机名，您可以将 mod_ssl 配置为为这些主机名提供 TLS 加密。要配置此功能，使用对应的名称添加 ServerAliases 参数：

      ServerAlias www.my_company.idm.example.com server.my_company.idm.example.com

   2. 设置到私钥、服务器证书和 CA 证书的路径：

      SSLCertificateKeyFile "/etc/pki/tls/private/httpd.key"
      SSLCertificateFile "/etc/pki/tls/certs/httpd.pem"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. 出于安全考虑，配置只有 root 用户可以访问私钥文件：

   # chown root:root /etc/pki/tls/private/httpd.key
   # chmod 600 //etc/pki/tls/private/httpd.key

   警告

   如果私钥被设置为可以被未授权的用户访问，则需要撤销证书，然后再创建一个新私钥并请求一个新证书。否则，TLS 连接就不再安全。

4. 如果您使用 firewalld，在本地防火墙中打开端口 443 ：

   # firewall-cmd --permanent --add-port=443/tcp
   # firewall-cmd --reload

5. 重启 httpd 服务：

   # systemctl restart httpd

   注意

   如果您使用密码保护私钥文件，则必须在每次 httpd 服务启动时输入此密码。

   • 使用浏览器并连接到 https://my_company.idm.example.com

流程

1. 编辑 /etc/httpd/conf/httpd.conf 文件，并将以下设置添加到您要为其设置 TLS 协议版本的 <VirtualHost> 指令中。例如，只启用 TLSv1.3 协议：

   SSLProtocol -All TLSv1.3

2. 重启 httpd 服务：

   # systemctl restart httpd

验证

1. 使用以下命令来验证服务器是否支持 TLSv1.3:

   # openssl s_client -connect example.com:443 -tls1_3

2. 使用以下命令验证服务器不支持 TLSv1.2 ：

   # openssl s_client -connect example.com:443 -tls1_2

   如果服务器不支持该协议，命令会返回一个错误：

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 可选：重复用于其他 TLS 协议版本的命令。

流程

1. 编辑 /etc/httpd/conf/httpd.conf 文件，并将 SSLCipherSuite 参数添加到您要为其设置 TLS 密码的 <VirtualHost> 指令中 ：

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   这个示例只启用 EECDH+AESGCM、EDH+AESGCM、AES256+EECDH 和 AES256+EDH 密码，并禁用使用 SHA1 和 SHA 256 消息身份验证代码(MAC)的所有密码。

2. 重启 httpd 服务：

   # systemctl restart httpd

验证

1. 显示 Apache HTTP 服务器支持的密码列表：

   1. 安装 nmap 软件包：

      # yum install nmap

   2. 使用 nmap 工具显示支持的加密：

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

流程

1. 编辑 /etc/httpd/conf/httpd.conf 文件，并将以下设置添加到要为其配置客户端验证的 <VirtualHost> 指令中 ：

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   SSLVerifyClient require 设置定义服务器必须成功验证客户端证书，然后客户端才能访问 /var/www/html/Example/ 目录中的内容。

2. 重启 httpd 服务：

   # systemctl restart httpd

验证

1. 使用 curl 工具在没有客户端身份验证的情况下访问 https://my_company.idm.example.com/Example/ URL：

   $ curl https://my_company.idm.example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 alert certificate required, errno 0

   此错误表示 my_company.idm.example.com Web 服务器需要客户端证书身份验证。

2. 将客户端私钥和证书以及 CA 证书传递给 curl 以访问与客户端身份验证相同的 URL：

   $ curl --cacert ca.crt --key client.key --cert client.crt https://my_company.idm.example.com/Example/

   如果请求成功，c url 会显示存储在 /var/www/html/Example/ 目录中的 index.html 文件。

流程

1. 可选：创建一个新目录，如 ~/certdb/，并使其成为临时证书数据库。当系统提示时，创建一个 NSS 证书数据库密码来加密后续步骤中生成的证书的密钥：

   # mkdir ~/certdb/
   # certutil -N -d ~/certdb/
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:

2. 创建证书签名请求(CSR)，并将输出重定向到文件。例如，要为 IDM.EXAMPLE.COM 领域中的 idm_user 用户创建一个 4096 位、名称为 certificate_request.csr 的 CSR，请将证书私钥的昵称设为 idm_user 以便于查找，并将主题设为 CN=idm_user,O=IDM.EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -n idm_user -s "CN=idm_user,O=IDM.EXAMPLE.COM" > certificate_request.csr

3. 出现提示时，输入您在使用 certutil 创建临时数据库时输入的相同密码。然后继续键入 rundlomly 直到通知停止：

   Enter Password or Pin for "NSS Certificate DB":
   
   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:

4. 将证书请求文件提交到服务器。指定要与新发布的证书关联的 Kerberos 主体、存储证书的输出文件，以及可选的证书配置集。指定您要签发证书的 IdM 子 CA。例如，要获取 IECUserRoles 配置集的证书，带有添加的用户角色扩展的配置文件，idm_user@IDM.EXAMPLE.COM 主体来自 webclient-ca，并将证书保存到 ~/idm_user.pem 文件中：

   # ipa cert-request certificate_request.csr --principal=idm_user@IDM.EXAMPLE.COM --profile-id=IECUserRoles --ca=webclient-ca --certificate-out=~/idm_user.pem

5. 将证书添加到 NSS 数据库。使用 -n 选项设置之前创建 CSR 时所用的相同 nickname，以便该证书与 NSS 数据库中的私钥相匹配。t 选项设置信任级别。详情请查看 certutil(1)man page。i 选项指定 输入证书文件。例如，要将存储在 ~/certdb/ 数据库中 ~/idm_user.pem 文件中的带有 idm_user 昵称的证书添加到 NSS 数据库中：

   # certutil -A -d ~/certdb/ -n idm_user -t "P,," -i ~/idm_user.pem

6. 验证 NSS 数据库中的密钥是否未显示 （或称为） 作为其 nickname。例如，验证存储在 ~/certdb/ 数据库中 的证书没有被孤立：

   # certutil -K -d ~/certdb/
   < 0> rsa      5ad14d41463b87a095b1896cf0068ccc467df395   NSS Certificate DB:idm_user

7. 使用 pk12util 命令将证书从 NSS 数据库导出到 PKCS12 格式。例如，将 /root/certdb NSS 数据库中的 idm_user nickname 的证书导出到 ~/idm_user.p12 文件：

   # pk12util -d ~/certdb -o ~/idm_user.p12 -n idm_user
   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL

8. 将证书传输到您要启用 idm_user 的证书身份验证的主机：

   # scp ~/idm_user.p12 idm_user@client.idm.example.com:/home/idm_user/

9. 在传输了证书的主机上，出于安全原因使 'pkcs12 文件被 'other' 组无法访问的目录：

   # chmod o-rwx /home/idm_user/

10. 出于安全考虑，请从服务器中删除临时 NSS 数据库和 .pkcs12 文件：

    # rm ~/certdb/
    # rm ~/idm_user.p12

流程

1. 打开 Firefox，然后导航到 Preferences → Privacy & Security。

   图 20.8. Preferences 中的隐私和安全部分

   

2. 单击 View Certificates。

   图 20.9. 查看隐私和安全性中的证书

   
3. 在您的 证书 选项卡中，单击 Import。以 PKCS12 格式查找并打开用户证书，然后点 OK 和 OK。

4. 要确保您的 IdM 子 CA 被 Firefox 识别为可信颁发机构，请导入在从 IdM WebUI 下载子 CA证书部分中保存的 IdM 子 CA 证书作为可信证书颁发机构证书：

   1. 打开 Firefox，导航到 Preferences 并点击 Privacy & Security。

      图 20.10. Preferences 中的隐私和安全部分

      

   2. 单击 View Certificates。

      图 20.11. 查看隐私和安全性中的证书

      
   3. 在" 颁发机构 "选项卡中，单击 Import。查找并打开子 CA 证书。信任证书来识别网站，然后点OK 和 OK。

流程

1. 可选： 要查看 IdM 环境中的所有 CA ACL，请输入 ipa caacl-find 命令：

   $ ipa caacl-find
   -----------------
   3 CA ACLs matched
   -----------------
     ACL name: hosts_services_caIPAserviceCert
     Enabled: TRUE
   
     ACL name: TLS_web_server_authentication
     Enabled: TRUE
   
     ACL name: TLS_web_client_authentication
     Enabled: TRUE

2. 可选： 要查看 CA ACL 的详情，请输入 ipa caacl-show 命令并指定 CA ACL 名称：

   $ ipa caacl-show TLS_web_server_authentication
     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
     Profiles: caIPAserviceCert
     Services: HTTP/rhel8server.idm.example.com@IDM.EXAMPLE.COM

3. 要禁用 CA ACL，输入 ipa caacl-disable 命令并指定 CA ACL 名称。

   • 要禁用 TLS_web_server_authentication CA ACL，请输入：

     $ ipa caacl-disable TLS_web_server_authentication
     -------------------------------------------------
     Disabled CA ACL "TLS_web_server_authentication"
     -------------------------------------------------

   • 要禁用 TLS_web_client_authentication CA ACL，请输入：

     $ ipa caacl-disable TLS_web_client_authentication
     -------------------------------------------------
     Disabled CA ACL "TLS_web_client_authentication"
     -------------------------------------------------

   现在唯一启用的 CA ACL 是 hosts_services_caIPAserviceCert CA ACL。

   重要

   对于禁用 hosts_services_caIPAserviceCert CA ACL，请格外小心。禁用 hosts_services_caIPAserviceCert，没有另一个 CA ACL 允许 IdM 服务器使用带有 caIPAserviceCert 配置集的 ipa CA，这意味着 IdM HTTP 和 LDAP 证书的证书续订会失败。过期的 IdM HTTP 和 LDAP 证书最终将导致 IdM 系统失败。

流程

1. 为您的用户、主机或服务生成一个证书签名请求(CSR)。例如，要使用 openssl 工具为运行在 client.idm.example.com 上的 HTTP 服务生成一个 CSR，请输入：

   # openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout new.key -out new.csr -subj '/CN=client.idm.example.com,O=IDM.EXAMPLE.COM'

   因此，CSR 存储在 new.csr 中。

2. 使用以下内容创建 Ansible playbook 文件 request-certificate.yml ：

   ---
   - name: Playbook to request a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Request a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         state: requested
         csr: |
           -----BEGIN CERTIFICATE REQUEST-----
           MIGYMEwCAQAwGTEXMBUGA1UEAwwOZnJlZWlwYSBydWxlcyEwKjAFBgMrZXADIQBs
           HlqIr4b/XNK+K8QLJKIzfvuNK0buBhLz3LAzY7QDEqAAMAUGAytlcANBAF4oSCbA
           5aIPukCidnZJdr491G4LBE+URecYXsPknwYb+V+ONnf5ycZHyaFv+jkUBFGFeDgU
           SYaXm/gF8cDYjQI=
           -----END CERTIFICATE REQUEST-----
         principal: HTTP/client.idm.example.com
       register: cert

   将证书请求替换为 new.csr 中的 CSR。

3. 请求证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/request-certificate.yml