13.9.2. プロファイル設定

サーバー側で鍵が生成される証明書の登録を許可するために、caServerKeygen_UserCert および caServerKeygen_DirUserCertの 2 つのデフォルトプロファイルがデフォルトで提供されます。ただし、正しい入力、出力、およびポリシー設定を持つプロファイルは、サーバー側の keygen プロファイルに切り替えることができます。
Server-Side Keygen プロファイルには、以下のコンポーネントが含まれている必要があります。

入力

input.i1.class_id=serverKeygenInputImpl

出力

output.o1.class_id=pkcs12OutputImpl

Policyset

キータイプとキーサイズのパラメータは、以下に例示するように構成できます。
policyset.userCertSet.3.constraint.class_id=keyConstraintImpl
policyset.userCertSet.3.constraint.name=Key Constraint
policyset.userCertSet.3.constraint.params.keyType=-
policyset.userCertSet.3.constraint.params.keyParameters=1024,2048,3072,4096,nistp256,nistp384,nistp521
policyset.userCertSet.3.default.class_id=serverKeygenUserKeyDefaultImpl
policyset.userCertSet.3.default.name=Server-Side Keygen Default
policyset.userCertSet.3.default.params.keyType=RSA
policyset.userCertSet.3.default.params.keySize=2048
policyset.userCertSet.3.default.params.enableArchival=true

認証

デフォルトのサーバー側の keygen 登録プロファイルは認証メカニズムによって異なります。ここでは、以下のようになります。
  • caServerKeygen_UserCert.cfg
    "auth.class_id=" への空の値が含まれます。つまり、このプロファイルを介した登録要求には CA エージェントからの承認が必要になります。
  • caServerKeygen_DirUserCert.cfg
    これには、"auth.instance_id=UserDirEnrollment" が含まれます。これは、ユーザーが LDAP uid/password 認証を渡すのに必要なことを意味します。このような認証は、CA エージェントからの要求ごとの承認を必要としないため、自動証明書として見なされます。
    caServerKeygen_DirUserCert.cfg プロファイルで説明されるように、auth.instance_id ディレクティブを互換性のある認証プラグインクラスに設定すると、自動承認を設定できます。CS.cfg ファイルでこのような設定の例を、以下に示します。
    auths.instance.UserDirEnrollment.dnpattern=
    auths.instance.UserDirEnrollment.ldap.basedn=ou=People,dc=example,dc=com
    auths.instance.UserDirEnrollment.ldap.ldapconn.host=host.example.com
    auths.instance.UserDirEnrollment.ldap.ldapconn.port=389
    auths.instance.UserDirEnrollment.ldap.ldapconn.secureConn=false
    auths.instance.UserDirEnrollment.ldap.maxConns=
    auths.instance.UserDirEnrollment.ldap.minConns=
    auths.instance.UserDirEnrollment.ldapByteAttributes=
    auths.instance.UserDirEnrollment.ldapStringAttributes=mail
    auths.instance.UserDirEnrollment.pluginName=UidPwdDirAuth