第 14 章 当 IdM 离线时续订已过期的系统证书

步骤

1. 可选：备份系统。这强烈推荐，因为 ipa-cert-fix 对 nssdb 进行了不可逆的更改。因为 ipa-cert-fix 也对 LDAP 进行了更改，因此建议也备份整个集群。

2. 启动 ipa-cert-fix 工具以分析系统，并列出需要续订的过期证书：

   # ipa-cert-fix
   ...
   The following certificates will be renewed:
   
   Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  13
     Expires: 2019-05-12 05:55:47
   ...
   Enter "yes" to proceed:

   Copy to Clipboard Toggle word wrap

3. 输入 yes 以开始续订过程：

   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  268369925
     Expires: 2021-08-14 02:19:33
   ...
   
   Becoming renewal master.
   The ipa-cert-fix command was successful

   Copy to Clipboard Toggle word wrap

   ipa-cert-fix 续订所有过期的证书前可能需要一分钟。

验证

1. 验证所有服务现在是否都在运行：

   # ipactl status
   Directory Service: RUNNING
   krb5kdc Service: RUNNING
   kadmin Service: RUNNING
   httpd Service: RUNNING
   ipa-custodia Service: RUNNING
   pki-tomcatd Service: RUNNING
   ipa-otpd Service: RUNNING
   ipa: INFO: The ipactl command was successful

   Copy to Clipboard Toggle word wrap

1. 确保 LDAP 复制在拓扑中正常工作后，根据上述流程，首先在一台 CA 服务器上运行 ipa-cert-fix。
2. 在另一台 CA 服务器上运行 ipa-cert-fix 之前，请通过 getcert-resubmit （在另一台 CA 服务器上）触发共享证书的 Certmonger 续订，以避免不必要的共享证书的续订。