Menu Close

7.10.2. 一時的な証明書の置き換え

注記
本セクションでは、ルート CA をインストールして実行する必要があります。これらの手順は、インストールが完了したら実行します。
以下の手順では、一時的な自己署名 Directory Server 証明書を新たにインストールした CA が発行する永続的な Directory Server 証明書に置き換えるプロセス、または古い Directory Server 証明書を新しい証明書に置き換えるプロセスを説明します。
  1. 新しい Directory Server サーバー証明書を取得します。CA が署名した新規証明書の要求を送信します。CMC メソッドを使用して新しい Directory Server 証明書を 『取得するには、『Red Hat Certificate System 管理ガイド』 のシステム証明書および』 サーバー証明書の取得セクションを参照してください。
    上記のセクションで、TLS サーバー証明書の作成に関するガイダンスに従ってください。証明書を作成したら、Directory Server 証明書データベースにインポートし直す必要があります。
  2. NSS データベースにアクセスする前に、Directory Server インスタンスを停止します。 
    # systemctl stop dirsrv@instance_name
  3. 古い Directory Server 証明書を削除します。 
    # certutil -F -d /etc/dirsrv/slapd-instance_name -f /etc/dirsrv/slapd-instance_name/password.txt -n "DS Certificate"
  4. 先ほどダウンロードした CA 証明書をインポートします。 
    # PKICertImport -d /etc/dirsrv/slapd-instance_name -f /etc/dirsrv/slapd-instance_name/password.txt -n "CA Certificate" -t "CT,C,C" -a -i ca.crt -u L
  5. 先にダウンロードした新しい Directory Server 証明書をインポートします。 
    # PKICertImport -d /etc/dirsrv/slapd-instance_name -f /etc/dirsrv/slapd-instance_name/password.txt -n "DS Certificate" -t ",," -a -i ds.crt -u V
    「HSM への証明書のインポート」も参照してください。
  6. Directory Server インスタンスを停止します。 
    systemctl start dirsrv@instance_name
  7. PKI CA から古い Directory Server 証明書を削除します。
    1. Certificate System インスタンスを停止します。 
      # systemctl stop pki-tomcatd@instance_name.service
    2. 証明書を削除します。 
      # certutil -D -d /var/lib/pki/instance_name/alias/ -n "DS Certificate"
    3. Certificate System インスタンスを起動します。 
      # systemctl start pki-tomcatd@instance_name.service
  8. 新しい Directory Server 証明書が、NSS データベースにインストールされている CA で署名されていることを確認します。
    1. Directory Server 証明書の表示 
      $ certutil -L -d /etc/dirsrv/slapd-instance_name -n "DS Certificate"

		Issuer: "CN=CA Signing Certificate,O=EXAMPLE"
		Subject: "CN=server.example.com"
    2. 古い Directory Server 証明書が PKI NSS データベースに存在しなくなったことを確認します。 
      $ certutil -L -d /var/lib/pki/instance_name/alias
    3. Certificate System が、新しい証明書を使用して Directory Server に接続できることを確認します。 
      $ pki cert-find