5장. CA 서비스 계획

Red Hat Enterprise Linux의 IdM(Identity Management)은 다양한 유형의 CA(인증 기관) 구성을 제공합니다. 다음 섹션에서는 다양한 시나리오를 설명하고 사용 사례에 가장 적합한 구성을 결정하는 데 도움이 되는 조언을 제공합니다.

CA 주체 DN
CA(인증 기관) 주체 고유 이름(DN)은 CA의 이름입니다. IdM(Identity Management) CA 인프라에서 전역적으로 고유해야 하며 설치 후에는 변경할 수 없습니다. 외부적으로 서명해야 하는 IdM CA가 있는 경우 IdM CA 주체 DN 양식에 대한 외부 CA 관리자를 참조해야 할 수 있습니다.

5.1. IdM 서버에서 사용 가능한 CA 서비스

통합된 IdM 인증 기관(CA) 또는 CA 없이 IdM(Identity Management) 서버를 설치할 수 있습니다.

표 5.1. IdM과 CA 없이 통합 CA 비교

 통합 CACA 없음

개요:

IdM은 CA 서명 인증서 와 함께 자체 PKI(공개 키 인프라) 서비스를 사용하여 IdM 도메인에 인증서를 생성하고 서명합니다.

  • 루트 CA가 통합 CA인 경우 IdM은 자체 서명된 CA 인증서를 사용합니다.
  • 루트 CA가 외부 CA인 경우 통합 IdM CA는 외부 CA에 종속되어 있습니다. IdM에서 사용하는 CA 인증서는 외부 CA에서 서명하지만 IdM 도메인의 모든 인증서는 통합 인증서 시스템 인스턴스에서 발행됩니다.
  • 통합된 CA는 사용자, 호스트 또는 서비스의 인증서를 발행할 수도 있습니다.

외부 CA는 회사 CA 또는 타사 CA일 수 있습니다.

IdM은 자체 CA를 설정하지 않고 외부 CA에서 서명된 호스트 인증서를 사용합니다.

CA 없이 서버를 설치하려면 타사 기관에서 다음 인증서를 요청해야 합니다.

  • LDAP 서버 인증서
  • Apache 서버 인증서
  • PKINIT 인증서
  • LDAP 및 Apache 서버 인증서를 발급한 CA의 전체 CA 인증서 체인

제한 사항:

통합 CA가 외부 CA에 종속된 경우 IdM 도메인 내에서 발행된 인증서에는 다음과 같은 다양한 인증서 속성에 대해 외부 CA가 설정한 제한이 있을 수 있습니다.

  • 유효 기간입니다.
  • IDM CA 또는 하위 항목에서 발급한 인증서에 제목 이름이 표시될 수 있는 제약 조건입니다.
  • IDM CA가 자체적으로 수행할 수 있는지, CA 인증서를 발급하거나 하위 인증서 체인을 "deep"하는 방법에 대한 제약 조건입니다.

IdM 외부에서 인증서를 관리하면 다음과 같은 많은 추가 활동이 발생합니다.

  • 인증서 생성, 업로드 및 갱신은 수동 프로세스입니다.
  • certmonger 서비스는 IPA 인증서(LDAP 서버, Apache 서버 및 PKINIT 인증서)를 추적하지 않으며 인증서가 만료될 예정이면 알리지 않습니다. 관리자는 외부에서 발급한 인증서에 대한 알림을 수동으로 설정하거나 certmonger 를 추적하려면 해당 인증서에 대한 추적 요청을 설정해야 합니다.

다음을 위해 가장 잘 작동합니다.

자체 인증서 인프라를 생성하고 사용할 수 있는 환경입니다.

인프라 내의 제한으로 서버와 통합된 인증서 서비스를 설치할 수 없는 경우 매우 드문 경우입니다.

참고

자체 서명된 CA에서 외부 서명된 CA로 전환하거나 다른 방식으로 전환할 뿐만 아니라 설치 후에도 IdM CA 인증서를 발행하는 외부 CA가 발생할 수 있습니다. CA가 없는 설치 후에도 통합 CA를 구성할 수도 있습니다. 자세한 내용은 CA 없이 IdM 서버 설치: 통합 DNS를 참조하십시오.