62.3. 使用 openssl 从 IdM CA 中为用户、主机或服务请求新证书

流程

1. 为您的 Kerberos 主体 test/server.example.com 创建一个或多个别名。例如，test1/server.example.com 和 test2/server.example.com。

2. 在 CSR 中，为 dnsName(server.example.com)和 otherName(test2/server.example.com)添加 subjectAltName。要做到这一点，请将 openssl.conf 文件配置为包含以下指定 UPN otherName 和 subjectAltName 的行:

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

   Copy to Clipboard Toggle word wrap

3. 使用 openssl 创建一个证书请求：

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

   Copy to Clipboard Toggle word wrap

4. 将证书请求文件提交到 IdM 服务器上运行的 CA。指定要与新发布的证书关联的 Kerberos 主体：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   Copy to Clipboard Toggle word wrap

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择一个自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM root CA ipa

     要选择子 CA，请使用 --ca 选项。