第 8 章 发布证书和 CRL

CertificateCertificate Systemnbsp;System 能够将证书发布到文件或 LDAP 目录，以及将 CRL 发布到文件、LDAP 目录或 OCSP 响应程序。

为了获得额外的灵活性，可以将特定类型的证书或 CRL 发布到单一格式或全部三个格式。例如，CA 证书只能发布到某个目录而不是文件，用户证书可以被发布到一个文件和目录。

可以为证书文件和 CRL 文件设置不同的发布位置，以及不同类型的证书文件或不同类型的 CRL 文件的不同发布位置。

同样，可以将不同类型的证书和不同类型的 CRL 发布到目录中的不同位置。例如，公司 West Coast 部门的用户的证书可以在目录的一个分支中发布，而 East Coast division 中的用户的证书可以发布到 目录中的另一个分支。

启用发布后，每次发布证书或 CRL 时，会调用发布系统。证书或 CRL 由规则评估，以查看它是否与规则中设置的类型和 predicate 匹配。类型指定对象是 CRL、CA 证书或任何其他证书。predicate 为被评估的对象类型设置更多条件。例如，它可以指定用户证书，或者指定 West Coast 用户证书。要使用 predicates，需要在发布规则的 predicate 项中输入值，并且对应的值（尽管格式有不同）需要包含在证书或证书请求中以匹配。证书或证书请求中的值可能源自证书中的信息，如证书类型，或者派生自以请求形式放置的隐藏值。如果没有设置 predicate，则该类型的所有证书都将被视为匹配。例如，如果 CRL 设置为类型，则所有 CRL 都匹配规则。

每个匹配的规则都会根据规则中指定的方法和位置发布证书或 CRL。给定证书或 CRL 可以不匹配任何规则、一条规则、多个规则或所有规则。发布系统尝试与针对所有规则发布的每个证书和 CRL 相匹配。

匹配规则时，会根据与该规则关联的发布程序中指定的方法和位置发布证书或 CRL。例如，如果某个规则与向用户发布的所有证书匹配，且该规则有一个发布者，它将发布到位置 /etc/CS/certificates 中的文件，该证书将作为文件发布到该位置。如果另一个规则与用户发布的所有证书匹配，并且该规则有一个发布者，它发布到 LDAP 属性 userCertificate;binary 属性，则会在用户条目的此属性中启用 LDAP 发布时指定的目录。

对于指定要发布到文件的规则，会在被取用的目录中发布证书或 CRL 时创建新文件。

对于指定要发布到 LDAP 目录的规则，证书或 CRL 则在指定的属性中发布到目录中指定的条目。CA 使用任何后续证书或 CRL 来覆盖已发布的证书或 CRL 属性的值。只需放置即可，已经发布的任何现有证书或 CRL 都由下一个证书或 CRL 替代。

对于指定要发布到在线证书状态管理器的规则，此管理器将发布 CRL。证书不会发布到在线证书状态管理器。

对于 LDAP 发布，需要确定用户条目的位置。映射程序用于确定要发布的条目。mappers 可以包含该条目的精确 DN，一些变量关联了可以从证书获取的信息，以创建 DN 或足够信息，用于搜索条目中唯一属性或设置条目的正确 DN。

撤销证书时，服务器使用发布规则从 LDAP 目录或从文件系统中删除对应的证书。

当证书过期时，服务器可以从配置的目录中删除该证书。服务器不会自动执行此操作；服务器必须配置为运行适当的作业。详情请查看 第 12 章 设置自动化任务。

设置发布涉及配置发布程序、映射程序和规则。