第 17 章 在 IdM CA 服务器中生成 CRL
如果您的 IdM 部署使用嵌入的证书颁发机构(CA)，您可能需要将证书撤销列表(CRL)从一个 Identity Management(IdM)服务器移动到另一个。它可能是必要的，例如，当将服务器迁移到其他系统时。
只配置一个服务器来生成 CRL。执行 CRL publisher 角色的 IdM 服务器通常是执行 CA 续订服务器角色的同一服务器，但这不是强制要求。在弃用 CRL publisher 服务器之前，选择并配置另一个服务器来执行 CRL publisher 服务器角色。
17.1. 在 IdM 服务器中停止 CRL 生成
要在 IdM CRL publisher 服务器中停止生成 Certificate Revocation List(CRL)，请使用 ipa-crlgen-manage 命令。在禁用生成前，请验证服务器是否生成 CRL。然后您可以禁用它。
先决条件
- 您必须以 root 身份登录。
步骤
检查您的服务器是否生成 CRL：
[root@server ~]# ipa-crlgen-manage status CRL generation: enabled Last CRL update: 2019-10-31 12:00:00 Last CRL Number: 6 The ipa-crlgen-manage command was successful
停止在服务器上生成 CRL：
[root@server ~]# ipa-crlgen-manage disable Stopping pki-tomcatd Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg Starting pki-tomcatd Editing /etc/httpd/conf.d/ipa-pki-proxy.conf Restarting httpd CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable. The ipa-crlgen-manage command was successful检查服务器是否停止生成 CRL：
[root@server ~]# ipa-crlgen-manage status
服务器停止生成 CRL。下一步是在 IdM 副本上启用 CRL 生成。
