搜索

5.3. IdM 中的随机序列号

download PDF

从 RHEL 9.1 开始,身份管理(IdM)包括 dogtagpki 11.2.0,它允许您使用随机序列号版本 3 (RSNv3)。ansible-freeipa ipaserver 角色包括带有 RHEL 9.3 更新的 ipaserver_random_serial_numbers 变量。

启用 RSNv3 后,IdM 为 PKI 中的证书和请求生成完全随机的序列号,而不管理范围。在重新安装 IdM 时,RSNv3 也会阻止冲突。每个证书序列号的大小最多为 40 位十进制值,因为 RSNv3 对序列号使用 128 位随机值。这使得数字实际上是随机的。

注意

在以前的版本中,Dogtag 上游项目使用基于范围的序列号,以确保跨多个克隆的唯一性。但是,基于这种体验,Dogtag 团队确定基于范围的序列号不适合具有短期证书的云环境。

RSNv3 仅支持新的 IdM CA 安装。默认情况下,在使用 ipa-server-install 命令安装主 IdM 服务器时,您安装了第一个 IdM CA。但是,如果您最初安装没有 CA 的 IdM 环境,您可以在以后使用 ipa-ca-install 命令添加 CA 服务。要启用 RSNv3,请使用带有 --random-serial-numbers 选项的 ipa-server-installipa-ca-install 命令。

如果启用了,则需要对部署中的所有公钥基础设施(PKI)服务使用 RSNv3,包括 CA 和密钥恢复授权(KRA)。安装 KRA 时会执行一个检查,以便在底层 CA 上启用了 RSNv3 时自动启用 RSNv3 。

Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.