5.2. 외부 인증서를 IdM 사용자 계정으로 로드하도록 변환

이 섹션에서는 사용자 항목에 추가하기 전에 외부 인증서가 올바르게 인코딩되고 포맷되는지 확인하는 방법을 설명합니다.

5.2.1. 사전 요구 사항

  • Active Directory 인증 기관에서 인증서를 발급했으며 PEM 인코딩을 사용하는 경우 PEM 파일이 UNIX 형식으로 변환되었는지 확인합니다. 파일을 변환하려면 eponymous 패키지에서 제공하는 dos2unix 유틸리티를 사용합니다.

5.2.2. IdM CLI에서 외부 인증서를 변환하여 IdM 사용자 계정으로 로드합니다.

IdM CLI 는 첫 번째 및 마지막 행(----BEGIN CERTIFICATE--- 및 ---END CERTIFICATE----)이 제거된 PEM 인증서만 허용합니다.

다음 절차에 따라 외부 인증서를 PEM 형식으로 변환하고 IdM CLI를 사용하여 IdM 사용자 계정에 추가합니다.

절차

  1. 인증서를 PEM 형식으로 변환합니다.

    • 인증서가 DER 형식인 경우: 

      $ openssl x509 -in cert.crt -inform der -outform pem -out cert.pem

    • 파일이 PKCS #12 형식인 경우 공통 파일 이름 확장자가 .pfx 및 .p12 이고 인증서, 개인 키 및 기타 데이터가 포함되어 있는 경우 openssl pkcs12 유틸리티를 사용하여 인증서를 추출하십시오. 메시지가 표시되면 파일에 저장된 개인 키를 보호하는 암호를 입력합니다. 

      $ openssl pkcs12 -in cert_and_key.p12 -clcerts -nokeys -out cert.pem
Enter Import Password:

  2. 관리자의 자격 증명을 가져옵니다. 

    $ kinit admin

  3. 다음 방법 중 하나에서 IdM CLI 를 사용하여 사용자 계정에 인증서를 추가합니다.

    • ipa user-add-cert 명령에 문자열을 추가하기 전에 sed 유틸리티를 사용하여 PEM 파일의 첫 번째 및 마지막 행(--END CEIFICATE---- 및 ---END CEIFICATE-----)을 제거합니다. 

      $ ipa user-add-cert some_user --certificate="$(sed -e '/BEGIN CERTIFICATE/d;/END CERTIFICATE/d' cert.pem)"

    • 첫 번째 및 마지막 행(-----BEGIN CERTIFICATE--- 및 ---END CERTIFICATE------)을 ipa user-add-cert 명령으로 복사 및 붙여 넣습니다. 

      $ ipa user-add-cert some_user --certificate=MIIDlzCCAn+gAwIBAgIBATANBgkqhki...
      참고

      첫 번째 및 마지막 행(----BEGIN CERTIFICATE--- 및 ----END CERTIFICATE------)을 먼저 제거하지 않고 인증서가 포함된 PEM 파일을 ipa user-add-cert 명령에 직접 전달할 수 없습니다. 

      $ ipa user-add-cert some_user --cert=some_user_cert.pem

      이 명령을 실행하면 "ipa: ERROR: Base64 디코딩 failed: Incorrect padding" 오류 메시지가 표시됩니다.

  4. 선택적으로 인증서가 시스템에서 수락되었는지 확인하려면 다음을 수행하십시오. 

    [idm_user@r8server]$ ipa user-show some_user

5.2.3. IdM 사용자 계정으로 로드하기 위해 IdM 웹 UI에서 외부 인증서를 변환

다음 절차에 따라 외부 인증서를 PEM 형식으로 변환하고 IdM 웹 UI의 IdM 사용자 계정에 추가합니다.

절차

  1. CLI 를 사용하여 인증서를 PEM 형식으로 변환합니다.

    • 인증서가 DER 형식인 경우: 

      $ openssl x509 -in cert.crt -inform der -outform pem -out cert.pem

    • 파일이 PKCS #12 형식인 경우 공통 파일 이름 확장자가 .pfx 및 .p12 이고 인증서, 개인 키 및 기타 데이터가 포함되어 있는 경우 openssl pkcs12 유틸리티를 사용하여 인증서를 추출하십시오. 메시지가 표시되면 파일에 저장된 개인 키를 보호하는 암호를 입력합니다. 

      $ openssl pkcs12 -in cert_and_key.p12 -clcerts -nokeys -out cert.pem
Enter Import Password:
  2. 편집기에서 인증서를 열고 콘텐츠를 복사합니다. IdM 웹 UI에서 PEM 및 base64 형식을 모두 수락해야 하므로 "-----BEGIN CERTIFICATE------" 및 "-END CERTIFICATE----" 헤더와 footer 행 모두를 포함할 수 있습니다.
  3. IdM 웹 UI에서 보안 담당자로 로그인합니다.
  4. Identity → Users → some_user 로 이동합니다.
  5. 인증서 옆에 있는 추가를 클릭합니다.
  6. 인증서의 PEM 형식 콘텐츠를 여는 창에 붙여넣습니다.
  7. 추가를 클릭합니다.

시스템에서 인증서를 수락한 경우 사용자 프로필의 인증서 중 목록을 볼 수 있습니다.