18.4. 監査の保持

監査データは、保持カテゴリーに応じた方法で保持する必要があります。
  • 拡張監査保持: 証明書の存続期間 (発行から有効期限または失効日まで) の必要な保守のために保持される監査データ。Certificate System の場合は、以下の項目に表示されます。
    • 署名された監査ログ: Red Hat Certificate System 管理ガイドの付録 E. 監査イベントで定義されているすべてのイベント。
    • CA の内部 LDAP サーバーでは、CA が受け取った証明書要求レコードと、要求が承認されたときの証明書レコード。
  • 通常の監査保持: 通常は、通常の操作をサポートするためにのみ保持される監査データ。これには、拡張された監査保持 カテゴリーに記載されないすべてのイベントが含まれます。
注記
Certificate System は、監査データの修正や削除を行うインターフェイスを提供しません。

18.4.1. 監査データの場所

本セクションでは、Certificate System が監査データを保存する場所と、保持カテゴリーを決定するために重要なロールを果たす有効期限を見つける場所を説明します。

18.4.1.1. 監査ログの場所

証明書システムは、監査ログを /var/log/pki-name/logs/signedAudit/ ディレクトリーに保存します。たとえば、CA の監査ログは /var/lib/pki/instance_name/ca/logs/signedAudit/ ディレクトリーに保存されます。通常ユーザーは、このディレクトリー内のファイルにアクセスできません。 を参照してください。
拡張された監査保持期間を追跡する必要のある監査ログイベントの一覧は、『Red Hat Certificate System 管理ガイド』の『監査イベント』を参照してください。
重要
証明書要求または有効期限がまだ切れていない証明書については、Extended Audit Events 付録 に記載されているイベントを含む監査ログを削除しないでください。
これらの監査ログは、ディスクパーティションで使用可能なすべてのスペースまでのストレージスペースを消費する可能性があります。

18.4.1.2. 証明書要求および証明書レコードの場所

証明書署名要求 (CSR) が送信されると、CA は CSR を CA の内部ディレクトリーサーバーによって提供される要求リポジトリーに保存します。これらの要求が承認されると、各証明書が正常に発行され、同じ内部ディレクトリーサーバーによって証明書リポジトリーに LDAP レコードが作成されます。
CA の内部ディレクトリーサーバーは、pkispawn ユーティリティーを使用して CA が作成されると、以下のパラメーターに指定されました。
  • pki_ds_hostname
  • pki_ds_ldap_port
  • pki_ds_database
  • pki_ds_base_dn
証明書要求が正常に承認されると、証明書の有効性は、要求 ID またはシリアル番号のいずれかで CA EE ポータルにアクセスすることで確認できます。
証明書要求レコードの有効性を表示するには、次のコマンドを実行します。
  1. https://host_name:port/ca/ee/ca/ で CA EE ポータルにログインします。
  2. Check Request Status をクリックします。
  3. Request Identifier を入力します。
  4. Issued Certificate をクリックします。
  5. Validity を検索します。
証明書レコードからの有効性を表示するには、以下を実行します。
  1. https://host_name:port/ca/ee/ca/ で CA EE ポータルにログインします。
  2. シリアル番号の範囲を入力します。1 つの特定のレコードを検索する場合は、レコードのシリアル番号を最小値と最大値の両方を、シリアル番号フィールドに入力します。
  3. 検索結果をクリックします。
  4. Validity を検索します。
重要
有効期限が切れていない証明書の証明書レコードの要求を削除しないでください。