在 IdM 中管理证书

步骤

1. 在 Identity 选项卡下，选择 Users、Hosts 或 Services 子选项卡。

2. 单击用户、主机或服务的名称，来打开其配置页面。

   图 2.1. 主机列表

   
3. 单击 Actions → New Certificate。
4. 可选：选择发布 CA 和配置文件 ID。
5. 按照屏幕上使用 certutil 命令行(CLI)工具的说明进行操作。
6. 单击 Issue。

步骤

1. 为证书数据库创建一个临时目录：

   # mkdir ~/certdb/

2. 创建一个新的临时证书数据库，例如：

   # certutil -N -d ~/certdb/

3. 创建 CSR，并将输出重定向到文件。例如，要为 4096 位证书创建 CSR，并将主题设为 CN=server.example.com,O=EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

4. 将证书请求文件提交到在 IdM 服务器上运行的 CA。指定 Kerberos 主体来与新发布的证书关联：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM 根 CA ipa

     要选择子 CA，请使用 --ca 选项。

步骤

1. 为您的 Kerberos 主体 test/server.example.com 创建一个或多个别名。例如，test1/server.example.com 和 test2/server.example.com。

2. 在 CSR 中，为 dnsName(server.example.com)和otherName(test2/server.example.com)添加 subjectAltName。要做到这一点，将 openssl.conf 文件配置为包含以下指定 UPN otherName 和 subjectAltName 的行:

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

3. 使用 openssl 创建证书请求：

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

4. 将证书请求文件提交到在 IdM 服务器上运行的 CA。指定 Kerberos 主体来与新发布的证书关联：

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM 中的 ipa cert-request 命令使用以下默认值：

   • caIPAserviceCert 证书配置文件

     要选择自定义配置文件，请使用 --profile-id 选项。

   • 集成的 IdM 根 CA ipa

     要选择子 CA，请使用 --ca 选项。

流程

1. 为您的用户、主机或服务生成一个证书签名请求(CSR)。例如，要使用 openssl 工具为运行 client.idm.example.com 上的 HTTP 服务生成一个 CSR，请输入：

   # openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout new.key -out new.csr -subj '/CN=client.idm.example.com,O=IDM.EXAMPLE.COM'

   因此，CSR 存储在 new.csr 中。

2. 使用以下内容创建 Ansible playbook 文件 request-certificate.yml ：

   ---
   - name: Playbook to request a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Request a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         state: requested
         csr: |
           -----BEGIN CERTIFICATE REQUEST-----
           MIGYMEwCAQAwGTEXMBUGA1UEAwwOZnJlZWlwYSBydWxlcyEwKjAFBgMrZXADIQBs
           HlqIr4b/XNK+K8QLJKIzfvuNK0buBhLz3LAzY7QDEqAAMAUGAytlcANBAF4oSCbA
           5aIPukCidnZJdr491G4LBE+URecYXsPknwYb+V+ONnf5ycZHyaFv+jkUBFGFeDgU
           SYaXm/gF8cDYjQI=
           -----END CERTIFICATE REQUEST-----
         principal: HTTP/client.idm.example.com
       register: cert

   将证书请求替换为 new.csr 中的 CSR。

3. 请求证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/request-certificate.yml

流程

1. 使用以下内容创建 Ansible playbook 文件 revoke-certificate.yml ：

   ---
   - name: Playbook to revoke a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Revoke a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         revocation_reason: "keyCompromise"
         state: revoked

2. 吊销证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/revoke-certificate.yml

流程

1. 使用以下内容创建 Ansible playbook 文件 restore-certificate.yml ：

   ---
   - name: Playbook to restore a certificate
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Restore a certificate for a web service
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         state: released

2. 运行 playbook:

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/restore-certificate.yml

流程

1. 使用以下内容创建 Ansible playbook 文件 retrieve-certificate.yml ：

   ---
   - name: Playbook to retrieve a certificate and store it locally on the managed node
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Retrieve a certificate and save it to file 'cert.pem'
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         certificate_out: cert.pem
         state: retrieved

2. 检索证书：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/retrieve-certificate.yml

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 点用户、主机或服务的名称，来打开其配置页面。

3. 点 Certificates 条目旁边的 Add。

   图 4.1. 在用户帐户中添加证书

   
4. 将 Base64 或 PEM 编码格式的证书粘贴到文本字段中，然后点 Add。
5. 点 Save 以保存更改。

流程

1. 打开 Identity 选项卡，然后选择 Users、Hosts 或 Services 子选项卡。
2. 点用户、主机或服务的名称，来打开其配置页面。
3. 单击要删除的证书旁边的 Actions ，然后选择 Delete。
4. 点 Save 以保存更改。

步骤

1. 通过复制现有的默认配置文件来创建自定义配置文件：

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert
   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

2. 在文本编辑器中打开新创建的配置文件。

   $ vi  smime.cfg

3. 将 Profile ID 更改为反映配置文件用法的名称，如 smime。

   注意

   当您导入新创建的配置文件时，如果有profileId 字段，则其必须与命令行中指定的 ID 匹配。

4. 更新扩展的密钥用法配置。默认的扩展的密钥用法扩展配置用于 TLS 服务器和客户端身份验证。例如，对于 S/MIME，必须为电子邮件保护配置扩展的密钥用法：

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

5. 导入新配置文件：

   $ ipa certprofile-import smime --file smime.cfg \
     --desc "S/MIME certificates" --store TRUE
   
   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

步骤

1. 为证书配置文件的用户创建一个新组：

   $ ipa group-add smime_users_group
   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

2. 创建一个新用户来添加到 smime_user_group 组中：

   $ ipa user-add smime_user
   First name: smime
   Last name: user
   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

3. 将 smime_user 添加到 smime_users_group 组中：

   $ ipa group-add-member smime_users_group --users=smime_user
     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user
   -------------------------
   Number of members added 1
   -------------------------

4. 创建 CA ACL 以允许组中的用户访问证书配置文件：

   $ ipa caacl-add smime_acl
   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

5. 将用户组添加到 CA ACL 中：

   $ ipa caacl-add-user smime_acl --group smime_users_group
     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

6. 将证书配置文件添加到 CA ACL 中：

   $ ipa caacl-add-profile smime_acl --certprofile smime
     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

步骤

1. 为用户生成证书请求。例如，使用 OpenSSL:

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

2. 为用户从 IdM CA 请求新证书：

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   （可选）将 --ca sub-CA_name 选项传给命令，以从子 CA ，而不是根 CA 请求证书。

步骤

1. 确定您要修改的证书配置文件的证书配置文件 ID。显示当前存储在 IdM 中的所有证书配置文件：

   # ipa certprofile-find
   
   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

2. 修改证书配置文件描述。例如，如果您使用现有的配置文件为 S/MIME 证书创建了自定义证书配置文件，请按照新用法更改描述：

   # ipa certprofile-mod smime --desc "New certificate profile description"
   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

3. 在文本编辑器中打开您的客户证书配置文件，并进行修改以满足您的要求：

   # vi smime.cfg

   有关可以在证书配置文件中配置哪些选项的详情，请查看 证书配置文件配置参数。

4. 更新现有证书配置文件：

   # ipa certprofile-mod _profile_ID_ --file=smime.cfg

步骤

1. 在 Authentication 菜单中，点击 Certificates > Certificates。

2. 单击证书的序列号，来打开证书信息页面。

   图 7.1. 证书列表

   
3. 在证书信息页面中，找到 Expires On 信息。

1. 获取 PEM 格式的 CA 证书文件。
2. 运行内置的 ipa-advise 脚本。
3. 重新加载系统配置。

流程

1. 创建要进行配置的目录：

   [root@server]# mkdir ~/SmartCard/

2. 进入该目录：

   [root@server]# cd ~/SmartCard/

3. 获取存储在 PEM 格式文件中的相关 CA 证书。如果您的 CA 证书存储再不同格式的文件中，如 DER，请将其转换为 PEM 格式。IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

   将 DER 文件转换为 PEM 文件：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

4. 为方便起见，将证书复制到您要进行配置的目录中：

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

5. 可选：如果您使用外部证书颁发机构的证书，请使用 openssl x509 工具查看 PEM 格式的文件的内容，以检查 Issuer 和 Subject 值是否正确：

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

6. 使用管理员特权，通过内置的 ipa-advise 工具生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   config-server-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

7. 执行脚本，将包含根 CA 和子 CA 证书的 PEM 文件添加为参数：

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

8. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

   1. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

      SSLOCSPEnable off

   2. 重启 Apache 守护进程(httpd)使更改立即生效：

      [root@server SmartCard]# systemctl restart httpd

   警告

   如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

   有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

步骤

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM 证书颁发机构证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建一个专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证进行配置的 IdM 服务器。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-server.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   ipasmartcard_server Ansible 角色执行以下操作：

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

10. 可选：如果发布用户证书的证书颁发机构不提供任何在线证书状态协议(OCSP)响应程序，则您可能需要禁用 OCSP 检查,以对 IdM Web UI 进行身份验证：

    1. 以 root 用户身份连接到 IdM 服务器：

       ssh root@ipaserver.idm.example.com

    2. 在 /etc/httpd/conf.d/ssl.conf 文件中将 SSLOCSPEnable 参数设为 off ：

       SSLOCSPEnable off

    3. 重启 Apache 守护进程(httpd)使更改立即生效：

       # systemctl restart httpd

    警告

    如果您只使用 IdM CA 发出的用户证书，不要禁用 OCSP 检查。OCSP 响应器是 IdM 的一部分。

    有关如何保持 OCSP 检查处于启用状态，同时防止 IdM 服务器拒绝用户证书（如果 IdM 服务器不包含有关颁发用户证书的 CA 侦听 OCSP 服务请求的位置的信息）的说明，请参阅 Apache mod_ssl 配置选项 中的 SSLOCSPDefaultResponder 指令。

步骤

1. 在 IdM 服务器上，使用管理员权限通过 ipa-advise 生成配置脚本：

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   config-client-for-smart-card-auth.sh 脚本执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程 (SSSD)，允许用户使用其用户名和密码或其智能卡进行验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

2. 从 IdM 服务器中，将脚本复制到 IdM 客户端机器中选择的目录中：

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

3. 为了方便起见，将 IdM 服务器上的 PEM 格式的 CA 证书文件复制到 IdM 客户端机器上与在上一步中所使用的相同的目录中：

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

4. 在客户端机器上执行脚本，将包含 CA 证书的 PEM 文件添加为参数：

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注意

   在任何子 CA 证书前，确保将根 CA 的证书添加为参数，并且 CA 或子 CA 证书还没有过期。

流程

1. 如果您的 CA 证书存储在不同格式（如 DER ）的文件中，请将其转换为 PEM 格式：

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 证书采用 PEM 格式，位于 /etc/ipa/ca.crt 文件中。

2. 可选：使用 openssl x509 工具查看 PEM 格式的文件内容，以检查 Issuer 和 Subject 值是否正确：

   # openssl x509 -noout -text -in root-ca.pem | more

3. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

4. 创建一个专用于 CA 证书的子目录：

   $ mkdir SmartCard/

5. 为方便起见，将所有必需的证书复制到 ~/MyPlaybooks/SmartCard/ 目录中，例如：

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. 在 Ansible 清单文件中指定以下内容：

   • 要为智能卡验证配置的 IdM 客户端。
   • IdM 管理员密码。

   • CA 证书的路径按以下顺序：

     • root CA 证书文件
     • 中间 CA 证书文件
     • IdM CA 证书文件

   文件类似如下：

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 使用以下内容创建 install-smartcard-clients.yml playbook：

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. 保存该文件。

9. 运行 Ansible playbook。指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible 角色执行以下操作：

   • 它配置智能卡守护进程。
   • 它设置系统范围的信任存储。
   • 它配置系统安全服务守护进程(SSSD)，以允许用户使用其用户名和密码或者智能卡进行身份验证。有关智能卡验证的 SSSD 配置集选项的详情，请参考 RHEL 中的智能卡验证选项。

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM Web UI。要在您自己的配置文件中添加证书，您不需要管理员的凭证。
2. 导航到 Users → Active users → sc_user。
3. 找到 Certificate 选项，并单击 Add 。

4. 在命令行中，使用 cat 实用程序或文本编辑器以 PEM 格式显示证书：

   [user@client SmartCard]$ cat testuser.crt

5. 将证书从 CLI 复制并粘贴到 Web UI 中打开的窗口中。

6. 点击 Add。

   图 8.1. 在 IdM Web UI 中添加新证书

   

流程

1. 如果要给另一个用户添加证书，请以管理员身份登录到 IdM CLI：

   [user@client SmartCard]$ kinit admin

   要在您自己的配置文件中添加证书，您不需要管理员的凭证：

   [user@client SmartCard]$ kinit sc_user

2. 创建一个包含证书的环境变量，该变量移除了标头和页脚，并串联成一行，这是 ipa user-add-cert 命令期望的格式：

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   请注意，testuser.crt 文件中的证书必须是 PEM 格式。

3. 使用 ipa user-add-cert 命令将证书添加到 sc_user 的配置文件：

   [user@client SmartCard]$ ipa user-add-cert sc_user --certificate=$CERT

步骤

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   此时您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

流程

1. 在浏览器中打开 IdM Web UI。

2. 点使用证书登陆。

   

3. 如果 Password Required 对话框打开，请添加 PIN 来解锁智能卡，然后单击 OK 按钮。

   此时会打开 User Identification Request 对话框。

   如果智能卡包含多个证书，请在 选择用于验证的证书 下方的下拉列表中选择您要用于身份验证的证书。

4. 单击 OK 按钮。

流程

1. 在读取器中插入智能卡。
2. 输入智能卡 PIN。
3. 点 Sign In。

步骤

1. 从 IdM 服务器 连接，并将 adcs-winserver-ca.cer 根证书复制到 IdM 服务器：

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <Path to certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <Path to certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <Path to certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

2. 从 IdM 客户端 连接，并将 aduser1.pfx 用户证书复制到客户端：

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<Path to certificates>
   sftp> get aduser1.pfx
   Fetching <Path to certificates>/aduser1.pfx to aduser1.pfx
   <Path to certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

步骤

1. 在 IdM 服务器中，使用 ipa-advise 脚本来配置客户端：

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

2. 在 IdM 服务器中，使用 ipa-advise 脚本来配置服务器：

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

3. 在 IdM 服务器中执行脚本：

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   • 它配置 IdM Apache HTTP 服务器。
   • 它在 KDC（Key Distribution Center）中启用 PKINIT（Public Key Cryptography for Initial Authentication in Kerberos）。
   • 它将 IdM Web UI 配置为接受智能卡授权请求。

4. 将 sc_client.sh 脚本复制到客户端系统中：

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

5. 将 Windows 证书复制到客户端系统中：

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

6. 在客户端系统中运行客户端脚本：

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

流程

1. 在 IdM 客户端中，采用 PEM 格式：

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

2. 将密钥提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

3. 将公共证书提取到单独的文件中：

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

步骤

1. 安装 opensc 和 gnutls-utils 软件包：

   # dnf -y install opensc gnutls-utils

2. 启动 pcscd 服务。

   # systemctl start pcscd

流程

1. 擦除智能卡并使用您的 PIN 验证自己：

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   这个卡已经被清除。

2. 初始化智能卡，设置您的用户 PIN 和 PUK，以及您的安全响应 PIN 和 PUK：

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init 工具在智能卡上创建一个新插槽。

3. 为插槽设置标签和验证 ID：

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   标签设置为人类可读的值，在本例中为 testuser。auth-id 必须是两个十六进制值，在本例中设为 01。

4. 在智能卡的新插槽中存储并标记私钥：

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   在存储您的私钥并将证书存储在下一步中时，您为 --id 指定的值必须相同。建议为 --id 指定自己的值，否则它们将更复杂的值由工具计算。

5. 在智能卡上的新插槽中存储并标记该证书：

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. 可选：在智能卡的新插槽中保存并标记公钥：

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注意

   如果公钥与私钥或证书对应，请指定与私钥或证书的 ID 相同的 ID。

7. 可选：某些智能卡要求您通过锁定设置来完成卡：

   $ pkcs15-init -F

   此时您的智能卡在新创建的插槽中包含证书、私钥和公钥。您还创建了您的用户 PIN 和 PUK，以及安全响应 PIN 和 PUK。

步骤

1. 打开 sssd.conf 文件：

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

2. 更改 p11_child_timeout 的值：

   [pam]
   p11_child_timeout = 60

3. 更改 krb5_auth_timeout 的值：

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

4. 保存设置。

1. 管理员必须将证书映射数据或完整证书加载到用户帐户中。
2. 管理员必须创建证书映射规则，以允许为其帐户包含与证书信息匹配的证书映射数据条目的用户成功登录到 IdM。

步骤

1. 创建一个指向证书的变量，该变量还确保其被正确编码，以便您可以检索所需的数据。

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

2. 使用 sssctl cert-eval-rule 来确定匹配的数据。在以下示例中，使用了证书序列号。

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   在这种情况下，将 altSecurityIdentities= 后的所有内容添加到 AD 中用户的 altSecurityIdentities 属性中。如果使用 SKI 映射，请使用 --map='LDAPU1: (altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})'。

3. 可选：要在 CLI 中基于匹配规则创建一个新的映射规则，该规则必须与 ad.example.com 域的 adcs19-WIN1-CA 匹配，证书的序列号必须与用户帐户中的 altSecurityIdentities 条目匹配：

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

1. 在身份管理服务器上，获取管理员特权并创建 shell 脚本来配置服务器。

   1. 运行 ipa-advise config-server-for-smart-card-auth 命令，并将其输出保存到一个文件中，例如 server_certificate_script.sh ：

      # kinit admin
      # ipa-advise config-server-for-smart-card-auth > server_certificate_script.sh

   2. 使用 chmod 实用程序向该文件添加执行权限：

      # chmod +x server_certificate_script.sh

2. 在 Identity Management 域中的所有服务器上，运行 server_certificate_script.sh 脚本

   1. 如果 IdM CA 是唯一一个您允许向用户签发证书用于验证的 CA，使用 IdM Certificate Authority 证书 /etc/ipa/ca.crt 的路径：

      # ./server_certificate_script.sh /etc/ipa/ca.crt

   2. 如果不同的外部 CA 签署了您要启用证书身份验证的用户的证书，则导致相关 CA 证书的路径作为输入：

      # ./server_certificate_script.sh /tmp/ca1.pem /tmp/ca2.pem

步骤

1. 可选：创建一个新目录，如 ~/certdb/，并使其作为临时证书数据库。当被要求时，创建一个 NSS 证书 DB 密码来加密在后续步骤中生成的证书的密钥：

   # mkdir ~/certdb/
   # certutil -N -d ~/certdb/
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:

2. 创建证书签名请求(CSR)并将输出重定向到文件中。例如，要为 IDM.EXAMPLE.COM 域中的 idm_user 用户创建一个名称为 certificate_request.csr 的 4096 位 CSR，请将证书私钥的昵称设为 idm_user 以便于查找，并将主题设为 CN=idm_user,O=IDM.EXAMPLE.COM ：

   # certutil -R -d ~/certdb/ -a -g 4096 -n idm_user -s "CN=idm_user,O=IDM.EXAMPLE.COM" > certificate_request.csr

3. 提示时，输入您在使用 certutil 创建临时数据库时输入相同的密码。然后继续随机键入直到被告知停止：

   Enter Password or Pin for "NSS Certificate DB":
   
   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:

4. 将证书请求文件提交到服务器。指定要与新签发的证书关联的 Kerberos 主体，输出文件来存储证书，以及证书配置集（可选）。例如，为 idm_user@IDM.EXAMPLE.COM 获取 IECUserRoles 配置集（添加了用户角色扩展的配置集）的证书，把它保存在 ~/idm_user.pem 文件中：

   # ipa cert-request certificate_request.csr --principal=idm_user@IDM.EXAMPLE.COM --profile-id=IECUserRoles --certificate-out=~/idm_user.pem

5. 将证书添加到 NSS 数据库。使用 -n 选项设置您在之前创建 CSR 时使用的相同的 nickname，以便证书与 NSS 数据库中的私钥匹配。-t 选项设置信任级别。详情请查看 certutil(1)man page。-i 选项指定输入证书文件。例如，要将带有在 ~/idm_user.pem 文件中定义的 idm_user 别名的证书添加到 ~/certdb/ 数据库的 NSS数据库：

   # certutil -A -d ~/certdb/ -n idm_user -t "P,," -i ~/idm_user.pem

6. 验证 NSS 数据库中的密钥没有显示 (orphan) 作为其 nickname。例如，验证存储在 ~/certdb/ 数据库中的证书是否为孤立：

   # certutil -K -d ~/certdb/
   < 0> rsa      5ad14d41463b87a095b1896cf0068ccc467df395   NSS Certificate DB:idm_user

7. 使用 pk12util 命令将证书从 NSS 数据库导出到 PKCS12 格式。例如，要将来自 /root/certdb NSS 数据库的带有 idm_user 别名的证书导出到 ~/idm_user.p12 文件中：

   # pk12util -d ~/certdb -o ~/idm_user.p12 -n idm_user
   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL

8. 将证书传递给您要启用 idm_user 的证书身份验证的主机：

   # scp ~/idm_user.p12 idm_user@client.idm.example.com:/home/idm_user/

9. 因为安全原因，在证书传输到的主机上，将存储 .pkcs12 文件的目录的访问权限设置为 'other' 组不能访问它：

   # chmod o-rwx /home/idm_user/

10. 为安全起见，请从服务器中删除临时 NSS 数据库和 .pkcs12 文件：

    # rm ~/certdb/
    # rm ~/idm_user.p12

步骤

1. 打开 Firefox，进入 Preferences → Privacy & Security。

   图 11.1. 首选项中的隐私和安全部分

   

2. 点查看证书。

   图 11.2. 查看隐私和安全中的证书

   
3. 在 Your Certificates 选项卡中，点 Import。查找并打开用户证书（PKCS12 格式），然后点 OK 和 OK。

4. 确保 Firefox 将身份管理证书颁发机构识别为可信机构：

   1. 本地保存 IdM CA 证书：

      • 通过在 Firefox 地址栏中写入 IdM 服务器的名称，以进入到 IdM web UI。在 Insecure Connection warning 页面上，点 Advanced。

        图 11.3. 不安全连接

        

      • 添加例外.点查看。

        图 11.4. 查看证书详情

        

      • 在 Details 选项卡中，突出显示 Certificate Authority 字段。

        图 11.5. 导出 CA 证书

        
      • 单击 Export。保存 CA 证书，例如 CertificateAuthority.crt 文件，然后点 Close，和 Cancel。

   2. 将 IdM CA 证书导入到 Firefox 作为可信证书颁发机构证书：

      • 打开 Firefox，导航到首选项并单击 隐私和安全。

        图 11.6. 首选项中的隐私和安全部分

        

      • 点查看证书。

        图 11.7. 查看隐私和安全中的证书

        
      • 在 Authorities 选项卡中，点 Import。在 CertificateAuthority.crt 文件中找到并打开在上一步中保存的 CA 证书。信任证书来识别网站，然后点OK 和 OK。
5. 继续以身份管理用户的身份使用证书向身份管理 Web UI 进行身份验证。

步骤

1. 在浏览器中，访问I dentity Management web UI（例如 https://server.idm.example.com/ipa/ui）。

2. 点使用证书登录。

   图 11.8. 在身份管理 Web UI 中 使用证书登录

   
3. 应该已经选择该用户的证书。取消选择 Remember this decision，然后点 OK。

步骤

1. 获取 IdM 管理员凭证：

   ~]$ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

2. 可选：要找出部署中哪些 IdM 服务器有资格成为新的 CA 续订服务器的必需的 CA 角色：

   ~]$ ipa server-role-find --role 'CA server'
   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   部署中有两个 CA 服务器。

3. 可选：要找出哪个 CA 服务器是当前的 CA 续订服务器，请输入：

   ~]$ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   当前的续订服务器是 server.idm.example.com。

4. 要更改续订服务器配置，请使用 ipa config-mod 程序和 --ca-renewal-master-server 选项：

   ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
     IPA CA renewal master: replica.idm.example.com

   重要

   您还可以使用以下内容切换到新的 CA 续订服务器：

   • ipa-cacert-manage --renew 命令。这个命令同时更新 CA 证书，并使您在其上执行新 CA 续订服务器的 CA 服务器。

   • ipa-cert-fix 命令。当过期的证书会导致失败时，这个命令会恢复部署。它还使您在其上执行新 CA 续订服务器的 CA 服务器。

     详情请查看当 IdM 离线时续订过期的系统证书。

步骤

1. 在 IdM CA 续订服务器中，将 CA 证书更新为自签名：

   # ipa-cacert-manage renew --self-signed
   Renewing CA certificate, please wait
   CA certificate successfully renewed
   The ipa-cacert-manage command was successful

2. 以 root 身份 SSH 到所有剩余的 IdM 服务器和客户端。例如：

   # ssh root@idmclient01.idm.example.com

3. 在 IdM 客户端上，使用来自服务器的证书更新本地 IdM 证书数据库：

   [idmclient01 ~]# ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

验证

1. 要检查您的更新是否成功，并且新的 CA 证书是否已添加到 /etc/ipa/ca.crt 文件中：

   [idmclient01 ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   输出显示，更新已成功，因为使用较旧的 CA 证书列出新的 CA 证书。

1. 创建要提交到外部 CA 的 CSR：

   • 如果外部 CA 是一个 AD CS，请使用 --external-ca-type=ms-cs 选项。如果您希望使用默认 subCA 模板以外的一个不同的模板，使用 --external-ca-profile 选项指定它：

     ~]# ipa-cacert-manage renew --external-ca --external-ca-type=ms-cs [--external-ca-profile=PROFILE]
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

   • 如果外部 CA 不是 AD CS：

     ~]# ipa-cacert-manage renew --external-ca
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

     输出显示已创建 CSR，并存储在 /var/lib/ipa/ca.csr 文件中。

2. 将位于 /var/lib/ipa/ca.csr 中的 CSR 提交到外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

3. 在 base 64 编码的 blob 中检索签发的证书和 CA 证书链，即：

   • 如果外部 CA 不是一个 AD CS，则为 PEM 文件。

   • 如果外部 CA 是一个 AD CS，则为 Base_64 证书。

     各个证书服务的进程不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

     如果外部 CA 是 AD CS，且您已提通过 Microsoft Windows 认证认证机构管理窗口提交了带有已知模板的 CSR，则 AD CS 会立即发出证书，Save Certificate 对话框会出现在 AD CS Web 界面中，要求保存签发的证书。

4. 再次运行 ipa-cacert-manage renew 命令，添加提供完整证书链所需的所有 CA 证书文件。根据需要指定多个文件，多次使用 --external-cert-file 选项：

   ~]# ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate_1 --external-cert-file=/path/to/external_ca_certificate_2

5. 在所有 IdM 服务器和客户端中，使用来自服务器的证书更新本地 IdM 证书数据库：

   [client ~]$ ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

验证

1. 要检查您的更新是否成功，并且新的 CA 证书是否已添加到 /etc/ipa/ca.crt 文件中：

   [client ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   输出显示，更新已成功，因为使用较旧的 CA 证书列出新的 CA 证书。

步骤

1. 可选：备份系统。这强烈推荐，因为 ipa-cert-fix 对 nssdb 进行了不可逆的更改。因为 ipa-cert-fix 也对 LDAP 进行了更改，因此建议也备份整个集群。

2. 启动 ipa-cert-fix 工具以分析系统，并列出需要续订的过期证书：

   # ipa-cert-fix
   ...
   The following certificates will be renewed:
   
   Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  13
     Expires: 2019-05-12 05:55:47
   ...
   Enter "yes" to proceed:

3. 输入 yes 以开始续订过程：

   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  268369925
     Expires: 2021-08-14 02:19:33
   ...
   
   Becoming renewal master.
   The ipa-cert-fix command was successful

   ipa-cert-fix 续订所有过期的证书前可能需要一分钟。

验证

1. 验证所有服务现在是否都在运行：

   # ipactl status
   Directory Service: RUNNING
   krb5kdc Service: RUNNING
   kadmin Service: RUNNING
   httpd Service: RUNNING
   ipa-custodia Service: RUNNING
   pki-tomcatd Service: RUNNING
   ipa-otpd Service: RUNNING
   ipa: INFO: The ipactl command was successful

步骤

1. 使用 --force 参数重启 IdM：

   # ipactl restart --force

   使用 --force 参数时，ipactl 程序会忽略单个服务启动失败。例如，如果服务器也是过期证书的 CA，pki-tomcat 服务无法启动。这是预期的行为，并会被忽略，因为使用了 --force 参数。

2. 重启后，验证 certmonger 服务是否已更新证书（证书状态为 MONITORING）：

   # getcert list | egrep '^Request|status:|subject:'
   Request ID '20190522120745':
           status: MONITORING
           subject: CN=IPA RA,O=EXAMPLE.COM 201905222205
   Request ID '20190522120834':
           status: MONITORING
           subject: CN=Certificate Authority,O=EXAMPLE.COM 201905222205
   ...

   在 certmonger 更新副本上的共享证书前可能需要一些时间。

3. 如果服务器也是 CA，则上一个命令会为 pki-tomcat 服务使用的证书报告 CA_UNREACHABLE ：

   Request ID '20190522120835':
           status: CA_UNREACHABLE
           subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
   ...

4. 要更新这个证书，请使用 ipa-cert-fix 程序：

   # ipa-cert-fix
   Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM
     Serial:  3
     Expires: 2019-05-11 12:07:11
   
   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
     Serial:  15
     Expires: 2019-08-14 04:25:05
   
   The ipa-cert-fix command was successful

步骤

1. 检查您的服务器是否生成 CRL：

   [root@server ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. 停止在服务器上生成 CRL：

   [root@server ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. 检查服务器是否停止生成 CRL：

   [root@server ~]# ipa-crlgen-manage status

步骤

1. 开始生成 CRL：

   [root@replica1 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

2. 检查是否生成 CRL：

   [root@replica1 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:10:00
   Last CRL Number: 7
   The ipa-crlgen-manage command was successful

步骤

1. 停止 CRL 生成服务器：

   # systemctl stop pki-tomcatd@pki-tomcat.service

2. 打开 /var/lib/pki/pki-tomcat/conf/ca/CS.cfg 文件，并将 ca.crl.MasterCRL.autoUpdateInterval 值改为新的间隔设置。例如，要每 60 分钟生成 CRL：

   ca.crl.MasterCRL.autoUpdateInterval=60

   注意

   如果您更新了 ca.crl.MasterCRL.autoUpdateInterval 参数，则更改将在下一次计划的 CRL 更新后生效。

3. 启动 CRL 生成服务器：

   # systemctl start pki-tomcatd@pki-tomcat.service

步骤

1. 在运行 HTTP 服务的 my_company.idm.example.com IdM 客户端中，为与 HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM 主体对应的服务请求一个证书，并指定它。

   • 证书将存储在本地 /etc/pki/tls/certs/httpd.pem 文件中
   • 私钥将存储在本地 /etc/pki/tls/private/httpd.key 文件中

   • SubjectAltName 的一个 extensionRequest 添加至 my_company.idm.example.com 的 DNS 名称的签名请求中：

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     在以上命令中：

     • ipa-getcert request 命令指定要从 IdM CA 获取的证书。ipa-getcert request 命令是 getcert request -c IPA 的一个快捷方式。
     • -g 选项指定如果尚未存在密钥时生成的密钥大小。
     • -D 选项指定要添加到请求的 SubjectAltName DNS 值。
     • -C 选项指示 certmonger 在获取证书后重启 httpd 服务。
     • 要指定使用特定配置集发布证书，请使用 -T 选项。
     • 要使用指定 CA 的命名签发者请求证书，请使用 -X ISSUER 选项。

2. 可选：要检查请求的状态：

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
   [...]

   输出显示请求处于 MONITORING 状态，这表示已获取了证书。密钥对和证书的位置是请求的。

1. 在 IdM 服务器中，您可以为尚不存在的系统创建一个证书。
2. 您创建新系统。
3. 您可以将新系统注册为 IdM 客户端。
4. 您将从 IdM 服务器上的证书和密钥导入到 IdM 客户端。
5. 开始使用 certmonger 跟踪证书，以确保其在到期过期时会被续订。

步骤

1. 获取 subsystem CA 证书的 PIN：

   # grep 'internal=' /var/lib/pki/pki-tomcat/conf/password.conf

2. 在子系统 CA 证书中添加跟踪，使用上一步中获取的 PIN 替换下面的命令中的 [internal PIN]：

   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "caSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "caSigningCert cert-pki-ca"' -T caCACert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "auditSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "auditSigningCert cert-pki-ca"' -T caSignedLogCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "ocspSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "ocspSigningCert cert-pki-ca"' -T caOCSPCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "subsystemCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "subsystemCert cert-pki-ca"' -T caSubsystemCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "Server-Cert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "Server-Cert cert-pki-ca"' -T caServerCert

3. 为剩余的 IdM 证书（HTTP、LDAP、IPA 续订代理和 PKINIT 证书）添加跟踪：

   # getcert start-tracking -f /var/lib/ipa/certs/httpd.crt -k /var/lib/ipa/private/httpd.key -p /var/lib/ipa/passwds/idm.example.com-443-RSA -c IPA -C /usr/libexec/ipa/certmonger/restart_httpd -T caIPAserviceCert
   
   # getcert start-tracking -d /etc/dirsrv/slapd-IDM-EXAMPLE-COM -n "Server-Cert" -c IPA -p /etc/dirsrv/slapd-IDM-EXAMPLE-COM/pwdfile.txt -C '/usr/libexec/ipa/certmonger/restart_dirsrv "IDM-EXAMPLE-COM"' -T caIPAserviceCert
   
   # getcert start-tracking -f /var/lib/ipa/ra-agent.pem -k /var/lib/ipa/ra-agent.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_ra_cert -T caSubsystemCert
   
   # getcert start-tracking -f /var/kerberos/krb5kdc/kdc.crt -k /var/kerberos/krb5kdc/kdc.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_kdc_cert -T KDCs_PKINIT_Certs

4. 重启 certmonger ：

   # systemctl restart certmonger

5. 在 certmonger 启动后等待一分钟，然后检查新证书的状态：

   # getcert list

流程

1. 在整个 IdM 部署中启用 ACME：

   # ipa-acme-manage enable
   The ipa-acme-manage command was successful

2. 将 ACME 设置为从 CA 中自动删除过期的证书：

   # ipa-acme-manage pruning --enable --cron "0 0 1 * *"

   注意

   过期的证书会在保留周期后被删除。默认情况下，这是过期后 30 天。

流程

1. 在整个 IdM 部署中禁用 ACME：

   # ipa-acme-manage disable
   The ipa-acme-manage command was successful

2. 可选：禁用自动删除过期的证书：

   ipa-acme-manage pruning --disable

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Create certificates
     hosts: managed-node-01.example.com
     tasks:
       - name: Create a self-signed certificate
         ansible.builtin.include_role:
           name: rhel-system-roles.certificate
         vars:
           certificate_requests:
             - name: web-server
               ca: ipa
               dns: www.example.com
               principal: HTTP/www.example.com@EXAMPLE.COM
               run_before: systemctl stop httpd.service
               run_after: systemctl start httpd.service

   示例 playbook 中指定的设置包括以下内容：

   name: <path_or_file_name>

   定义生成的私钥和证书文件的名称或路径：

   • 如果将变量设置为 web-server，该角色会将私钥存储在 /etc/pki/tls/private/web-server.key 中，并将证书存储在 /etc/pki/tls/certs/web-server.crt 文件中。

   • 如果将变量设置为路径，如 /tmp/web-server，该角色会将私钥存储在 /tmp/web-server.key 中，并将证书存储在 /tmp/web-server.crt 文件中。

     请注意，您使用的目录必须设置 cert_t SELinux 上下文。您可以使用 selinux RHEL 系统角色来管理 SELinux 上下文。

   ca: ipa

   定义该角色从 IdM CA 请求证书。

   dns: <hostname_or_list_of_hostnames>

   设置发布的证书中的 Subject Alternative Names (SAN)字段所包含的主机名。您可以使用通配符(*)或以 YAML 列表格式指定多个名称。

   principal: <kerberos_principal>

   可选：设置证书中包含的 Kerberos 主体。

   run_before: <command>

   可选：定义 certmonger 在从 CA 请求证书前应执行的命令。

   run_after: < command>

   可选：定义 certmonger 应该在从 CA 收到发布的证书后执行的命令。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.certificate/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook:

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Create certificates
     hosts: managed-node-01.example.com
     tasks:
       - name: Create a self-signed certificate
         ansible.builtin.include_role:
           name: rhel-system-roles.certificate
         vars:
           certificate_requests:
             - name: web-server
               ca: self-sign
               dns: test.example.com

   示例 playbook 中指定的设置包括以下内容：

   name: <path_or_file_name>

   定义生成的私钥和证书文件的名称或路径：

   • 如果将变量设置为 web-server，该角色会将私钥存储在 /etc/pki/tls/private/web-server.key 中，并将证书存储在 /etc/pki/tls/certs/web-server.crt 文件中。

   • 如果将变量设置为路径，如 /tmp/web-server，该角色会将私钥存储在 /tmp/web-server.key 中，并将证书存储在 /tmp/web-server.crt 文件中。

     请注意，您使用的目录必须设置 cert_t SELinux 上下文。您可以使用 selinux RHEL 系统角色来管理 SELinux 上下文。

   ca: self-sign

   定义该角色创建了自签名证书。

   dns: <hostname_or_list_of_hostnames>

   设置发布的证书中的 Subject Alternative Names (SAN)字段所包含的主机名。您可以使用通配符(*)或以 YAML 列表格式指定多个名称。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.certificate/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook:

   $ ansible-playbook ~/playbook.yml

步骤

1. 在 Authentication 菜单中，点击 Certificates > Certificates。

   图 22.2. 证书列表中的子 CA 证书

   
2. 点 sub-CA 证书的序列号打开证书信息页面。
3. 在证书信息页面中，点 Actions > Download。

4. 在 CLI 中，将 sub-CA 证书移动到 /etc/pki/tls/private/ 目录中：

   # mv path/to/the/downloaded/certificate /etc/pki/tls/private/sub-ca.crt

步骤

1. 在运行 HTTP 服务的 my_company.idm.example.com IdM 客户端中，为与 HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM 主体对应的服务请求一个证书，并指定它。

   • 证书将存储在本地 /etc/pki/tls/certs/httpd.pem 文件中
   • 私钥将存储在本地 /etc/pki/tls/private/httpd.key 文件中
   • webserver-ca 子 CA 是签发的证书颁发机构

   • SubjectAltName 的一个 extensionRequest 添加至 my_company.idm.example.com 的 DNS 名称的签名请求中：

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     在以上命令中：

     • ipa-getcert request 命令指定要从 IdM CA 获取的证书。ipa-getcert request 命令是 getcert request -c IPA 的一个快捷方式。
     • -g 选项指定如果尚未存在密钥时生成的密钥大小。
     • -D 选项指定要添加到请求的 SubjectAltName DNS 值。
     • -X 选项指定证书的签发者必须是 webserver-ca，而不是 ipa。
     • -C 选项指示 certmonger 在获取证书后重启 httpd 服务。
     • 要指定使用特定配置集发布证书，请使用 -T 选项。

2. 可选：要检查请求的状态：

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   输出显示请求处于 MONITORING 状态，这表示已获取了证书。密钥对和证书的位置是请求的。

步骤

1. 安装 httpd 软件包：

   # dnf install httpd

2. 如果使用 firewalld，请在本地防火墙中打开 TCP 端口 80 ：

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

3. 启用并启动 httpd 服务：

   # systemctl enable --now httpd

4. 可选：将 HTML 文件添加到 /var/www/html/ 目录中。

   注意

   在 向/var/www/html/ 添加内容时，在httpd默认运行的情况下，文件和目录必须可被用户读取。内容所有者可以是 root用户和root用户组，也可以是管理员所选择的其他用户或组。如果内容所有者是 root 用户和 root 用户组，则文件必须可被其他用户读取。所有文件和目录的 SELinux 上下文必须为 httpd_sys_content_t，其默认应用于 /var/www 目录中的所有内容。

步骤

1. 安装 mod_ssl 软件包：

   # dnf install mod_ssl

2. 编辑/etc/httpd/conf.d/ssl.conf文件，并将以下设置添加到 <VirtualHost _default_:443>指令中：

   1. 设置服务器名称：

      ServerName my_company.idm.example.com

   重要

   服务器名称必须与证书的 Common Name字段中设置的条目匹配。

   1. 可选：如果证书在 Subject Alt Names (SAN)字段中包含额外的主机名，您可以 配置mod_ssl来为这些主机名提供 TLS 加密。要配置此功能，请添加具有对应名称的ServerAliases参数：

      ServerAlias www.my_company.idm.example.com server.my_company.idm.example.com

   2. 设置到私钥、服务器证书和 CA 证书的路径：

      SSLCertificateKeyFile "/etc/pki/tls/private/httpd.key"
      SSLCertificateFile "/etc/pki/tls/certs/httpd.pem"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. 出于安全考虑，配置成只有 root 用户才可以访问私钥文件：

   # chown root:root /etc/pki/tls/private/httpd.key
   # chmod 600 //etc/pki/tls/private/httpd.key

   警告

   如果私钥被设置为可以被未授权的用户访问，则需要撤销证书，然后再创建一个新私钥并请求一个新证书。否则，TLS 连接就不再安全。

4. 如果您使用 firewalld，请在本地防火墙中打开端口 443 ：

   # firewall-cmd --permanent --add-port=443/tcp
   # firewall-cmd --reload

5. 重启httpd服务：

   # systemctl restart httpd

   注意

   如果您使用密码来保护私钥文件，则必须在每次 httpd服务启动时都输入此密码。

   • 使用浏览器并连接到 https://my_company.idm.example.com 。

步骤

1. 编辑 /etc/httpd/conf/httpd.conf 文件，并将以下设置添加到您要为其设置 TLS 协议版本的<VirtualHost>指令中。例如，只启用TLSv1.3协议：

   SSLProtocol -All TLSv1.3

2. 重启httpd服务：

   # systemctl restart httpd

验证

1. 使用以下命令来验证服务器是否支持TLSv1.3:

   # openssl s_client -connect example.com:443 -tls1_3

2. 使用以下命令来验证服务器是否不支持TLSv1.2 ：

   # openssl s_client -connect example.com:443 -tls1_2

   如果服务器不支持该协议，命令会返回一个错误：

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 可选：重复用于其他 TLS 协议版本的命令。

步骤

1. 编辑/etc/httpd/conf/httpd.conf文件，并将SSLCipherSuite参数添加到您要为其设置 TLS 密码的<VirtualHost>指令中：

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   这个示例只启用 EECDH+AESGCM、EDH+AESGCM、AES256+EECDH 和 AES256+EDH密码，并禁用所有使用SHA1和SHA256消息身份验证码(MAC)的密码。

2. 重启httpd服务：

   # systemctl restart httpd

验证

1. 显示 Apache HTTP 服务器支持的密码列表：

   1. 安装nmap软件包：

      # dnf install nmap

   2. 使用nmap工具来显示支持的加密：

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

步骤

1. 编辑/etc/httpd/conf/httpd.conf文件，并将以下设置添加到你要为其配置客户端验证的<VirtualHost>指令中：

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   SSLVerifyClient require设置定义了服务器必须成功验证客户端证书，然后客户端才能访问/var/www/html/Example/目录中的内容。

2. 重启httpd服务：

   # systemctl restart httpd

验证

1. 使用 curl 在没有客户端身份验证的情况下访问 https://my_company.idm.example.com/Example/ URL：

   $ curl https://my_company.idm.example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 alert certificate required, errno 0

   这个错误表示 my_company.idm.example.com web 服务器需要客户端证书身份验证。

2. 将客户端私钥和证书以及 CA 证书传递给curl以便使用客户端身份验证来访问相同的URL：

   $ curl --cacert ca.crt --key client.key --cert client.crt https://my_company.idm.example.com/Example/

   如果请求成功，curl会显示存储在/var/www/html/Example/目录中的index.html文件。