第 4 章安装 IdM 服务器：带有集成的 DNS，没有 CA

安装带有集成 DNS 的新的身份管理(IdM)服务器有以下优点：

安装带有集成 DNS 的 IdM 有一定的限制：

本章描述了如何安装没有证书颁发机构(CA)的新 IdM 服务器。

4.1. 安装没有 CA 的 IdM 服务器所需的证书

您需要提供安装没有证书颁发机构(CA)的身份管理(IdM)服务器所需的证书。通过使用描述的命令行选项，您可以将这些证书提供给 ipa-server-install 工具。

重要

您不能使用自签名的第三方服务器证书来安装服务器或副本，因为导入的证书文件必须包含签发 LDAP 和 Apache 服务器证书的 CA 的完整 CA 证书链。

LDAP 服务器证书和私钥

Apache 服务器证书和私钥

发布 LDAP 和 Apache 服务器证书的 CA 完整 CA 证书链

您可以提供在 --dirsrv-cert-file 和 --http-cert-file 选项中指定的以下格式的文件：

您可以多次指定 --dirsrv-cert-file 和 --http-cert-file 选项来指定多个文件。

完成完整 CA 证书链的证书文件（某些环境中不需要）

--ca-cert-file 用于包含签发 LDAP、Apache 服务器和 Kerberos KDC 证书的 CA 证书的一个或多个文件。如果其他选项提供的证书文件中没有 CA 证书，请使用这个选项。

使用 --dirsrv-cert-file 和 --http-cert-file 以及 --ca-cert-file 提供的文件必须包含签发 LDAP 和 Apache 服务器证书的 CA 的完整 CA 证书链。

Kerberos 密钥分发中心(KDC) PKINIT 证书和私钥

如果您有 PKINIT 证书，请使用以下 2 个选项：
- --pkinit-cert-file 用于 Kerberos KDC SSL 证书和私钥
- --pkinit-pin 用于访问 --pkinit-cert-file 文件中指定的 Kerberos KDC 私钥的密码
如果您没有 PKINIT 证书，并希望使用带有自签名证书的本地 KDC 配置 IdM 服务器，请使用以下选项：
- --no-pkinit 用于禁用 pkinit 设置步骤

其他资源