10.2. CA のクローン作成

  1. マスター CA を設定し、キーのバックアップを作成します。
  2. マスター CA の CS.cfg ファイルで、ca.listenToCloneModifications パラメーターを追加して、マスター CA がレプリケーションデータベースの変更を監視できるようにします。 
    ca.listenToCloneModifications=true
  3. クローンサブシステムインスタンスを作成します。
    CA サブシステムのクローン作成時に pkispawn で必要な設定ファイルの例は、pkispawn(8) の man ページの Installing a CA clone セクションおよび Installing a CA clone on the same host セクションを参照してください。
  4. クローンが使用する Directory Server インスタンスを再起動します。 
    # systemctl restart pki-tomcatd@kra-clone-ds-instance.service
    注記
    Directory Server を再起動すると、更新されたスキーマが再読み込みされます。これは、パフォーマンスを適切に行うために必要です。
  5. クローンインスタンスを再起動します。 
    # pki-server restart instance_name
クローンの設定後に、テストを実行して、master-clone 関係が機能していることを確認します。
  1. クローン作成された CA から証明書を要求します。
  2. 要求を承認します。
  3. ブラウザーに証明書をダウンロードします。
  4. 証明書を取り消します。
  5. マスター CA の CRL で取り消された証明書を確認します。マスター Certificate Manager のエージェントサービスページで、Update Certificate Revocation List をクリックします。一覧で CRL を検索します。
    CRL には、クローン作成された Certificate Manager が失効した証明書が表示されます。証明書が一覧にない場合は、ログを確認して問題を解決します。