搜索

10.3. 从证书获取数据,以便在匹配规则中使用

download PDF

这个流程描述了如何从证书获取数据,以便您可以将其复制并粘贴到证书映射规则的匹配规则中。要获得匹配规则所需的数据,请使用 sssctl cert-showsssctl cert-eval-rule 命令。

先决条件

  • 您有 PEM 格式的用户证书。

步骤

  1. 创建一个指向证书的变量,该变量还确保其被正确编码,以便您可以检索所需的数据。

    # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)
  2. 使用 sssctl cert-eval-rule 来确定匹配的数据。在以下示例中,使用了证书序列号。

    # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
    Certificate matches rule.
    Mapping filter:
    
        (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

    在这种情况下,将 altSecurityIdentities= 后的所有内容添加到 AD 中用户的 altSecurityIdentities 属性中。如果使用 SKI 映射,请使用 --map='LDAPU1: (altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})'

  3. 另外,要根据指定证书的签发者必须与 ad.example.com 域的 adcs19-WIN1-CA 匹配的匹配规则在 CLI 中创建一个新的映射规则,证书的序列号必须与用户帐户中的 altSecurityIdentities 条目匹配:

    # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.