Menu Close

Red Hat Training

A Red Hat training course is available for RHEL 8

50.3. openssl을 사용하여 IdM CA에서 사용자, 호스트 또는 서비스에 대한 새 인증서 요청

호스트 또는 서비스의 Kerberos 별칭이 인증서를 사용할 수 있도록 하려면 openssl 유틸리티를 사용하여 IdM(Identity Management) 호스트 또는 서비스에 대한 인증서를 요청할 수 있습니다. 표준 상황에서는 대신 certutil 유틸리티를 사용하여 새 인증서를 요청하는 것이 좋습니다.

이 섹션에서는 openssl 을 사용하여 IdM 호스트 또는 ipa 에서 IdM 인증 기관인 서비스를 요청하는 방법을 설명합니다.

중요

일반적으로 서비스는 개인 키가 저장된 전용 서비스 노드에서 실행됩니다. 서비스의 개인 키를 IdM 서버에 복사하는 것은 안전하지 않은 것으로 간주됩니다. 따라서 서비스에 대한 인증서를 요청하는 경우 서비스 노드에 CSR(인증서 서명 요청)을 생성합니다.

사전 요구 사항

  • IdM 배포에 통합된 CA가 포함되어 있습니다.
  • IdM 관리자로 IdM CLI(명령줄 인터페이스)에 로그인되어 있습니다.

절차

  1. Kerberos 주체 test/server.example.com 에 대해 하나 이상의 별칭을 만듭니다. 예를 들어 test1/server.example.comtest2/server.example.com 입니다.
  2. CSR에서 dnsName(server.example.com) 및 otherName(test2/server.example.com)에 대한 subjectAltName을 추가합니다. 이렇게 하려면 UPN otherName 및 subjectAltName을 지정하는 다음 행을 포함하도록 openssl.conf 파일을 구성합니다.

    otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
    DNS.1 = server.example.com
  3. openssl 을 사용하여 인증서 요청을 생성합니다.

    openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf
  4. IdM 서버에서 실행 중인 CA에 인증서 요청 파일을 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다.

    # ipa cert-request certificate_request.csr --principal=host/server.example.com

    IdM의 ipa cert-request 명령은 다음 기본값을 사용합니다.

    • caIPAserviceCert 인증서 프로필

      사용자 지정 프로필을 선택하려면 --profile-id 옵션을 사용합니다.

    • 통합 IdM 루트 CA, ipa

      하위 CA를 선택하려면 --ca 옵션을 사용합니다.

추가 리소스