Red Hat Training
A Red Hat training course is available for RHEL 8
79장. 관련 인증서의 특정 그룹 무효화
시스템 관리자는 특정 인증서 그룹을 신속하게 무효화할 수 있도록 하려면 다음을 수행합니다.
- 특정 경량 IdM(Identity Management) 하위 CA에서 발급한 인증서만 신뢰하도록 애플리케이션을 설계합니다. 나중에 이러한 인증서를 발급한 IdM(Identity Management) 하위 CA의 인증서만 취소하여 이러한 모든 인증서를 무효화할 수 있습니다. IdM에서 경량 하위 CA를 생성하고 사용하는 방법에 대한 자세한 내용은 특정 관련 인증서 그룹 인증을 빠르게 참조하십시오.
호출되는 IdM 하위 CA에서 발급한 모든 인증서가 즉시 유효하지 않도록 하려면 IdM OCSP 응답자를 사용하도록 이러한 인증서에 의존하는 애플리케이션을 구성합니다. 예를 들어 OCSP 응답자를 사용하도록 Firefox 브라우저를 구성하려면 Firefox 환경 설정에서
인증서의 현재 유효성을 확인하도록 쿼리 OCSP 응답자 서버가있는지 확인합니다.IdM에서 인증서 해지 목록 (CRL)은 4시간마다 업데이트됩니다. IdM 하위 CA에서 발급한 모든 인증서를 무효화하고 IdM 하위 CA 인증서를 해지합니다. 또한 관련 CA ACL을 비활성화하고 IdM 하위 CA를 비활성화하는 것이 좋습니다. 하위 CA를 비활성화하면 하위 CA가 새 인증서를 발행할 수 없지만 하위 CA의 서명 키가 유지되므로 이전에 발행된 인증서에 대해 OCSP(Online Certificate Status Protocol) 응답을 생성할 수 있습니다.
환경에서 OCSP를 사용하는 경우 하위 CA를 삭제하지 마십시오. 하위 CA를 삭제하면 하위 CA의 서명 키가 삭제되므로 해당 하위 CA에서 발급한 인증서에 대한 OCSP 응답 실행을 방지할 수 있습니다.
하위 CA를 삭제하는 유일한 시나리오는 동일한 DN(Subject 고유 이름)이지만 새 서명 키로 새 하위 CA를 생성하려는 경우입니다.
79.1. IdM CLI에서 CA ACL 비활성화
IdM 서비스 또는 IdM 서비스 그룹을 폐기하려면 기존 해당 CA ACL을 비활성화하는 것이 좋습니다.
다음 절차에 따라 IdM 클라이언트에서 실행 중인 웹 서버를 제한하고 webserver-ca IdM 하위 CA에서 발행할 인증서를 요청하고 IdM 사용자가 webclient-ca IdM 하위 CA에서 발행하도록 사용자 인증서를 요청하는 TLS_web_client_authentication CA ACL을 비활성화하는 TLS_web_server_authentication CA ACL을 비활성화합니다.
절차
선택적으로 IdM 환경의 모든 CA ACL을 보려면
ipa caacl-find명령을 입력합니다.$ ipa caacl-find ----------------- 3 CA ACLs matched ----------------- ACL name: hosts_services_caIPAserviceCert Enabled: TRUE ACL name: TLS_web_server_authentication Enabled: TRUE ACL name: TLS_web_client_authentication Enabled: TRUE선택적으로 CA ACL의 세부 정보를 보려면
ipa caacl-show명령을 입력하고 CA ACL 이름을 지정합니다.$ ipa caacl-show TLS_web_server_authentication ACL name: TLS_web_server_authentication Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca Enabled: TRUE CAs: webserver-ca Profiles: caIPAserviceCert Services: HTTP/rhel8server.idm.example.com@IDM.EXAMPLE.COMCA ACL을 비활성화하려면
ipa caacl-disable명령을 입력하고 CA ACL 이름을 지정합니다.TLS_web_server_authentication CA ACL을 비활성화하려면 다음을 입력합니다.
$ ipa caacl-disable TLS_web_server_authentication ------------------------------------------------- Disabled CA ACL "TLS_web_server_authentication" -------------------------------------------------TLS_web_client_authentication CA ACL을 비활성화하려면 다음을 입력합니다.
$ ipa caacl-disable TLS_web_client_authentication ------------------------------------------------- Disabled CA ACL "TLS_web_client_authentication" -------------------------------------------------
이제 활성화된 유일한 CA ACL이 hosts_services_caIPAserviceCert CA ACL입니다.
중요hosts_services_caIPAserviceCertCA ACL을 비활성화하는 데 매우 주의하십시오.ca를 비활성화하면 IdMIPAserviceCert 프로필과 함께IPAserviceCertipaCA를 사용하여 IdM 서버를 사용하여 IdM 서버를 부여하지 않고 hosts_services_caHTTP및LDAP인증서의 인증서 갱신이 실패합니다. 만료된 IdMHTTP및LDAP인증서로 인해 IdM 시스템이 실패합니다.
