8.2. 请求没有单点登录的 SSL 证书

基于 SSL 的服务需要带有 dNSName 扩展记录的证书，该扩展记录涵盖所有系统主机名，因为原始(A/AAAA)和 CNAME 记录都必须在证书里。目前，IdM 只对 IdM 数据库中的主机对象颁发证书。

在描述的没有单点登录的设置中，IdM 已在数据库中有 一个 FQDN 主机对象，并且 certmonger 可以使用此名称来请求证书。

先决条件

步骤

  • 使用 certmonger 来请求使用 FQDN 的证书： 

    [root@idm-client.ad.example.com ~]# ipa-getcert request -r \
      -f /etc/httpd/alias/server.crt \
      -k /etc/httpd/alias/server.key \
      -N CN=ipa-client.ad.example.com \
      -D ipa-client.ad.example.com \
      -K host/idm-client.ad.example.com@IDM.EXAMPLE.COM \
      -U id-kp-serverAuth

certmonger 服务使用存储在 /etc/krb5.keytab 文件中的默认主机密钥来验证 IdM 证书颁发机构(CA)。