第 25 章 了解 IdM 内部使用的证书

您可以安装带有集成证书颁发机构(CA)或没有 CA 的 Red Hat Identity Management (IdM)服务器。访问和管理 IdM 所需的证书会根据您的 CA 是否是集成的而进行不同的管理:

  • 集成的 CA:证书由 certmonger 自动创建和跟踪。certmonger 会自动续订证书,确保 IdM 服务持续有效。
  • 没有 CA:从第三方授权请求证书。在这种情况下,您需要监控其过期,并确保它们被续订,以确保 IdM 服务的持续有效。

25.1. 关于 IdM 中的内部证书

Red Hat Identity Management (IdM)使用许多使用网络访问的服务,包括 LDAP 服务器和 HTTP 服务器。您可以使用 SSL/TLS 端口访问这些服务,其需要服务器证书。在安装 IdM 服务器的过程中需要 HTTP 和 LDAP 服务器证书。

您可以根据您安装和配置 IdM 的方式以多种方式获取证书:

  • 带有可以由外部 CA 自签名或签名的集成的 CA : IdM 为 IdM 管理的用户、主机和服务发布所有证书,您不需要提供证书文件。

    certmonger 自动监控证书的到期日期,并在需要时自动续订。

  • 带有外部签名的 CA:安装是一个多个步骤过程。

    • 您需要使用 --external-ca 选项运行安装来生成 CSR。
    • 将 CSR 提交给外部 CA,并以 PEM 文件或 Base64 编码证书的形式检索发布的证书和 CA 证书链。
    • 再次运行 IdM 服务器安装,指定新发布的 CA 证书和 CA 链文件的位置和名称。您的 IdM 证书颁发机构被配置为外部 CA 的子 CA,这个子 CA 发布所需的 HTTP 和 LDAP 服务器证书。

      certmonger 自动监控证书的到期日期,并在需要时自动续订。

  • 没有 CA:要求您从第三方认证机构请求以下证书:

    • LDAP 服务器证书
    • Apache 服务器证书
    • PKINIT 证书
    • 发布 LDAP 和 Apache 服务器证书的 CA 完整 CA 证书链

      这些证书不会被 certmonger 跟踪,管理员负责在过期日期前续订证书。

其它资源