Red Hat Training

A Red Hat training course is available for RHEL 8

第 57 章 在 IdM CA 服务器中生成 CRL

如果您的 IdM 部署使用嵌入式证书颁发机构(CA),您可能需要从一个 Identity Management(IdM)服务器中移动生成证书颁发机构列表(CRL)。例如,当您要将服务器迁移到另一个系统时,可能需要这样做。

仅配置一台服务器来生成 CRL。执行 CRL publisher 角色的 IdM 服务器通常与执行 CA 续订服务器角色的服务器相同,但这不是强制要求。在取消 CRL publisher 服务器前,选择并配置另一个服务器来执行 CRL publisher 服务器角色。

本章论述了:

  • 在 IdM 服务器上停止 CRL 生成。
  • 开始在 IdM 副本上生成 CRL。

57.1. 在 IdM 服务器中停止 CRL 生成

要停止在 IdM CRL 发布程序服务器上生成证书撤销列表(CRL),请使用 ipa-crlgen-manage 命令。在禁用生成前,请验证服务器是否确实生成 CRL。然后您可以禁用它。

先决条件

  • 身份管理(IdM)服务器安装在 RHEL 8.1 系统或更新版本中。
  • 您必须以 root 身份登录。

流程

  1. 检查您的服务器是否正在生成 CRL:

    [root@server ~]# ipa-crlgen-manage status
    CRL generation: enabled
    Last CRL update: 2019-10-31 12:00:00
    Last CRL Number: 6
    The ipa-crlgen-manage command was successful
  2. 停止在服务器上生成 CRL:

    [root@server ~]# ipa-crlgen-manage disable
    Stopping pki-tomcatd
    Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
    Starting pki-tomcatd
    Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
    Restarting httpd
    CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
    The ipa-crlgen-manage command was successful
  3. 检查服务器是否停止生成 CRL:

    [root@server ~]# ipa-crlgen-manage status

服务器停止生成 CRL。下一步是在新的 RHEL 8 服务器中启用 CRL 生成。