Menu Close

Red Hat Training

A Red Hat training course is available for RHEL 8

64.3.3. webclient-ca에서 발급한 인증서를 사용하여 사용자 웹 브라우저에 대한 CA ACL 생성

이 섹션에서는 시스템 관리자가 인증서를 요청할 때 webclient-ca 하위 CA 및œ UserRoles 프로필을 사용해야 하는 CA ACL을 생성하는 방법에 대해 설명합니다. 사용자가 다른 하위 CA 또는 다른 프로필의 인증서를 요청하면 요청이 실패합니다. 유일한 예외는 활성화된 다른 CA ACL이 일치하는 경우입니다. 사용 가능한 CA ACL을 보려면 IdM CLI에서 CA ACL 보기를 참조하십시오.

사전 요구 사항

  • IdM 관리자의 자격 증명을 획득했는지 확인합니다.

절차

  1. ipa caacl 명령을 사용하여 CA ACL을 생성하고 해당 이름을 지정합니다.

    $ ipa caacl-add TLS_web_client_authentication
    --------------------------------------------
    Added CA ACL "TLS_web_client_authentication"
    --------------------------------------------
      ACL name: TLS_web_client_authentication
      Enabled: TRUE
  2. ipa caacl-mod 명령을 사용하여 CA ACL에 대한 설명을 지정합니다.

    $ ipa caacl-mod TLS_web_client_authentication --desc="CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca"
    -----------------------------------------------
    Modified CA ACL "TLS_web_client_authentication"
    -----------------------------------------------
      ACL name: TLS_web_client_authentication
      Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
      Enabled: TRUE
  3. webclient-ca 하위 CA를 CA ACL에 추가합니다.

    $ ipa caacl-add-ca TLS_web_client_authentication --ca=webclient-ca
      ACL name: TLS_web_client_authentication
      Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
      Enabled: TRUE
      CAs: webclient-ca
    -------------------------
    Number of members added 1
    -------------------------
  4. ipa caacl-add-profile 명령을 사용하여 요청된 인증서의 인증서 프로필을 지정합니다.

    $ ipa caacl-add-profile TLS_web_client_authentication --certprofiles=IECUserRoles
      ACL name: TLS_web_client_authentication
      Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
      Enabled: TRUE
      CAs: webclient-ca
      Profiles: IECUserRoles
    -------------------------
    Number of members added 1
    -------------------------
  5. ipa caacl-mod 명령을 사용하여 CA ACL을 모든 IdM 사용자에게 적용하도록 지정합니다.

    $ ipa caacl-mod TLS_web_client_authentication --usercat=all
    -----------------------------------------------
    Modified CA ACL "TLS_web_client_authentication"
    -----------------------------------------------
      ACL name: TLS_web_client_authentication
      Description: CAACL for user web browsers authenticating to web servers using certificates issued by webclient-ca
      Enabled: TRUE
      User category: all
      CAs: webclient-ca
      Profiles: IECUserRoles

    새로 생성된 CA ACL을 바로 사용할 수 있습니다. 기본적으로 생성된 후에 활성화됩니다.

참고

CA ACL의 지점은 특정 주체 또는 그룹에서 들어오는 요청에 허용되는 CA 및 프로필 조합을 지정하는 것입니다. CA ACL은 인증서 검증 또는 신뢰에 영향을 미치지 않습니다. 발급한 인증서 사용 방법에는 영향을 미치지 않습니다.