第 21 章 快速使特定一组相关证书无效

流程

1. 要查看 IdM 环境中的所有 CA ACL，请输入 ipa caacl-find 命令：

   $ ipa caacl-find
   -----------------
   3 CA ACLs matched
   -----------------
     ACL name: hosts_services_caIPAserviceCert
     Enabled: TRUE
   
     ACL name: TLS_web_server_authentication
     Enabled: TRUE
   
     ACL name: TLS_web_client_authentication
     Enabled: TRUE

2. 另外，若要查看 CA ACL 的详情，请输入 ipa caacl-show 命令并指定 CA ACL 名称：

   $ ipa caacl-show TLS_web_server_authentication
     ACL name: TLS_web_server_authentication
     Description: CAACL for web servers authenticating to web clients using certificates issued by webserver-ca
     Enabled: TRUE
     CAs: webserver-ca
     Profiles: caIPAserviceCert
     Services: HTTP/rhel8server.idm.example.com@IDM.EXAMPLE.COM

3. 要禁用 CA ACL，输入 ipa caacl-disable 命令并指定 CA ACL 名称。

   • 要禁用 TLS_web_server_authentication CA ACL，请输入：

     $ ipa caacl-disable TLS_web_server_authentication
     -------------------------------------------------
     Disabled CA ACL "TLS_web_server_authentication"
     -------------------------------------------------

   • 要禁用 TLS_web_client_authentication CA ACL，请输入：

     $ ipa caacl-disable TLS_web_client_authentication
     -------------------------------------------------
     Disabled CA ACL "TLS_web_client_authentication"
     -------------------------------------------------

   现在唯一启用的 CA ACL 是 hosts_services_caIPAserviceCert CA ACL。

   重要

   对于禁用 hosts_services_caIPAserviceCert CA ACL，请格外小心。禁用 hosts_services_caIPAserviceCert，没有另一个 CA ACL 允许 IdM 服务器使用带有 caIPAserviceCert 配置集的 ipa CA，这意味着 IdM HTTP 和 LDAP 证书的证书续订会失败。过期的 IdM HTTP 和 LDAP 证书最终将导致 IdM 系统失败。