2.3. openssl을 사용하여 IdM CA에서 사용자, 호스트 또는 서비스에 대한 새 인증서 요청

호스트 또는 서비스의 Kerberos 별칭이 인증서를 사용할 수 있도록 하려면 openssl 유틸리티를 사용하여 IdM(Identity Management) 호스트 또는 서비스에 대한 인증서를 요청할 수 있습니다. 표준 상황에서는 certutil 유틸리티를 사용하여 새 인증서를 요청하는 것이 좋습니다.

openssl 을 사용하여 ipa, IdM 인증 기관에서 IdM 호스트 또는 서비스에 대한 인증서를 요청하려면 다음 절차를 따르십시오.

중요

일반적으로 서비스는 개인 키가 저장되는 전용 서비스 노드에서 실행됩니다. 서비스의 개인 키를 IdM 서버에 복사하는 것은 안전하지 않은 것으로 간주됩니다. 따라서 서비스에 대한 인증서를 요청할 때 서비스 노드에 CSR(인증서 서명 요청)을 만듭니다.

사전 요구 사항

  • IdM 배포에는 통합 CA가 포함되어 있습니다.
  • IdM 관리자로 IdM 명령줄 인터페이스(CLI)에 로그인되어 있습니다.

절차

  1. Kerberos 보안 주체 test/server.example.com 에 대해 하나 이상의 별칭을 만듭니다. 예: test1/server.example.com 및 test2/server.example.com.

  2. CSR에서 dnsName(server.example.com) 및 otherName(test2/server.example.com)에 subjectAltName을 추가합니다. 이렇게 하려면 UPN otherName 및 subjectAltName을 지정하는 다음 행을 포함하도록 openssl.conf 파일을 구성하십시오. 

    otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
DNS.1 = server.example.com

  3. openssl 을 사용하여 인증서 요청을 생성합니다. 

    openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

  4. 인증서 요청 파일을 IdM 서버에서 실행 중인 CA에 제출합니다. 새로 발급된 인증서와 연결할 Kerberos 주체를 지정합니다. 

    # ipa cert-request certificate_request.csr --principal=host/server.example.com

    IdM의 ipa cert-request 명령에서는 다음과 같은 기본값을 사용합니다.

    • caIPAserviceCert 인증서 프로파일

      사용자 지정 프로필을 선택하려면 --profile-id 옵션을 사용합니다.

    • 통합 IdM 루트 CA, ipa

      하위 CA를 선택하려면 --ca 옵션을 사용합니다.

추가 리소스