Menu Close

11.2. 更改和重置 IdM CA 续订服务器

当证书颁发机构(CA)续订服务器被删除时,身份管理(IdM)会自动从 IdM CA 服务器列表中选择新的 CA 续订服务器。系统管理员无法影响选择。

要可以选择新的 IdM CA 续订服务器,系统管理员必须手动执行替换。在开始停用当前续订服务器前,选择新的 CA 续订服务器。

如果当前的 CA 续订服务器配置无效,请重置 IdM CA 续订服务器。

完成这个步骤来更改或重置 CA 续订服务器。

先决条件

  • 您有 IdM 管理员凭证。

步骤

  1. 获取 IdM 管理员凭证:

    ~]$ kinit admin
    Password for admin@IDM.EXAMPLE.COM:
  2. 另外,要找出部署中的 IdM 服务器具有满足新 CA 续订服务器所必需的 CA 角色:

    ~]$ ipa server-role-find --role 'CA server'
    ----------------------
    2 server roles matched
    ----------------------
      Server name: server.idm.example.com
      Role name: CA server
      Role status: enabled
    
      Server name: replica.idm.example.com
      Role name: CA server
      Role status: enabled
    ----------------------------
    Number of entries returned 2
    ----------------------------

    部署中有两个 CA 服务器。

  3. 另外,要找出哪个 CA 服务器是当前的 CA 续订服务器,请输入:

    ~]$ ipa config-show | grep 'CA renewal'
      IPA CA renewal master: server.idm.example.com

    当前的续订服务器是 server.idm.example.com

  4. 要更改续订服务器配置,请使用 ipa config-mod 程序和 --ca-renewal-master-server 选项:

    ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
      IPA CA renewal master: replica.idm.example.com
    重要

    您还可以使用以下内容切换到新的 CA 续订服务器:

    • ipa-cacert-manage --renew 命令。这个命令同时更新 CA 证书,使您在其上执行新 CA 续订服务器的 CA 服务器。
    • ipa-cert-fix 命令。当过期的证书会导致失败时,这个命令会恢复部署。它还使您在其上执行新 CA 续订服务器的 CA 服务器。

      详情请查看当 IdM 离线时续订过期的系统证书