Red Hat Training

A Red Hat training course is available for Red Hat Satellite

章 3. SSL 基​​​礎​​​結​​​構​​​

對​​​於​​​ Red Hat Network 的​​​客​​​戶​​​來​​​說​​​，安​​​全​​​性​​​上​​​的​​​顧​​​慮​​​是​​​最​​​為​​​重​​​要​​​的​​​。​​​Red Hat Network 的​​​其​​​中​​​一​​​個​​​強​​​項​​​就​​​是​​​它​​​能​​​透​​​過​​​ Secure Sockets Layer（SSL）來​​​處​​​理​​​每​​​一​​​個​​​請​​​求​​​。​​​若​​​要​​​保​​​持​​​這​​​種​​​層​​​級​​​的​​​安​​​全​​​性​​​，將​​​ Red Hat Network 安​​​裝​​​在​​​他​​​們​​​基​​​礎​​​結​​​構​​​中​​​的​​​客​​​戶​​​就​​​必​​​須​​​產​​​生​​​自​​​訂​​​的​​​ SSL 金​​​鑰​​​與​​​認​​​證​​​。​​​
SSL 金​​​鑰​​​與​​​認​​​證​​​的​​​手​​​動​​​式​​​建​​​立​​​與​​​建​​​置​​​有​​​時​​​相​​​當​​​複​​​雜​​​。​​​RHN Proxy Server 與​​​ RHN Satellite Server 兩​​​者​​​都​​​允​​​許​​​您​​​在​​​安​​​裝​​​期​​​間​​​基​​​於​​​您​​​自​​​己​​​的​​​私​​​密​​​憑​​​證​​​機​​​構​​​（CA）來​​​建​​​立​​​您​​​自​​​己​​​的​​​ SSL 金​​​鑰​​​與​​​認​​​證​​​。​​​另​​​外​​​還​​​有​​​個​​​為​​​此​​​原​​​因​​​存​​​在​​​的​​​另​​​一​​​個​​​指​​​令​​​列​​​工​​​具​​​程​​​式​​​，RHN SSL Maintenance Tool。​​​接​​​下​​​來​​​，無​​​論​​​如​​​何​​​這​​​些​​​金​​​鑰​​​與​​​認​​​證​​​都​​​必​​​須​​​被​​​建​​​置​​​至​​​您​​​所​​​管​​​理​​​的​​​基​​​礎​​​結​​​構​​​之​​​中​​​的​​​所​​​有​​​系​​​統​​​。​​​在​​​很​​​多​​​情​​​況​​​下​​​，這​​​些​​​ SSL 金​​​鑰​​​與​​​認​​​證​​​的​​​建​​​置​​​都​​​會​​​自​​​動​​​地​​​為​​​您​​​完​​​成​​​。​​​本​​​章​​​節​​​描​​​述​​​了​​​一​​​些​​​處​​​理​​​所​​​有​​​這​​​些​​​作​​​業​​​的​​​有​​​效​​​方​​​式​​​。​​​
請​​​注​​​意​​​，本​​​章​​​節​​​並​​​不​​​會​​​深​​​度​​​去​​​解​​​釋​​​ SSL。​​​RHN SSL Maintenance Tool 是​​​被​​​用​​​來​​​隱​​​藏​​​大​​​部​​​分​​​包​​​含​​​在​​​設​​​定​​​與​​​維​​​護​​​此​​​公​​​共​​​金​​​鑰​​​基​​​礎​​​結​​​構​​​（public-key infrastructure，PKI）之​​​中​​​的​​​複​​​雜​​​性​​​所​​​設​​​計​​​的​​​。​​​如​​​欲​​​取​​​得​​​更​​​多​​​資​​​訊​​​，請​​​至​​​各​​​大​​​書​​​局​​​參​​​考​​​相​​​關​​​書​​​籍​​​。​​​

3.1. SSL 的​​​詳​​​細​​​介​​​紹​​​

SSL（或​​​ Secure Sockets Layer）是​​​個​​​啟​​​用​​​用​​​來​​​安​​​全​​​傳​​​輸​​​資​​​訊​​​的​​​客​​​戶​​​端​​​伺​​​服​​​器​​​應​​​用​​​程​​​式​​​的​​​通​​​訊​​​協​​​定​​​。​​​SSL 使​​​用​​​了​​​一​​​種​​​公​​​用​​​與​​​私​​​密​​​金​​​鑰​​​配​​​對​​​的​​​系​​​統​​​來​​​為​​​客​​​戶​​​端​​​與​​​伺​​​服​​​器​​​之​​​間​​​所​​​傳​​​輸​​​的​​​通​​​訊​​​加​​​密​​​。​​​公​​​共​​​認​​​證​​​能​​​被​​​存​​​取​​​，私​​​密​​​金​​​鑰​​​則​​​必​​​須​​​被​​​保​​​密​​​。​​​此​​​系​​​統​​​其​​​實​​​就​​​是​​​以​​​私​​​密​​​金​​​鑰​​​與​​​其​​​配​​​對​​​的​​​公​​​共​​​認​​​證​​​之​​​間​​​的​​​精​​​確​​​數​​​學​​​關​​​係​​​（數​​​位​​​簽​​​章​​​）來​​​運​​​作​​​的​​​。​​​信​​​任​​​就​​​是​​​透​​​過​​​此​​​關​​​係​​​來​​​聯​​​繫​​​的​​​。​​​

注意

在​​​此​​​文​​​件​​​中​​​我​​​們​​​從​​​頭​​​到​​​尾​​​都​​​會​​​提​​​到​​​ SSL 私​​​密​​​金​​​鑰​​​以​​​及​​​公​​​用​​​認​​​證​​​。​​​技​​​術​​​上​​​來​​​講​​​，兩​​​者​​​都​​​能​​​被​​​歸​​​類​​​為​​​金​​​鑰​​​（公​​​用​​​與​​​私​​​密​​​金​​​鑰​​​）。​​​不​​​過​​​這​​​是​​​個​​​常​​​規​​​，通​​​常​​​當​​​我​​​們​​​談​​​到​​​ SSL 時​​​，都​​​會​​​將​​​ SSL 金​​​鑰​​​配​​​對​​​（或​​​金​​​鑰​​​組​​​）公​​​用​​​的​​​另​​​一​​​半​​​歸​​​類​​​為​​​ SSL 公​​​用​​​認​​​證​​​。​​​
一​​​個​​​組​​​織​​​的​​​ SSL 基​​​礎​​​結​​​構​​​一​​​般​​​都​​​是​​​以​​​這​​​些​​​ SSL 金​​​鑰​​​與​​​認​​​證​​​所​​​建​​​立​​​而​​​成​​​的​​​：
  • 憑​​​證​​​機​​​構​​​（CA）SSL 私​​​密​​​金​​​鑰​​​以​​​及​​​公​​​用​​​認​​​證​​​ — 一​​​個​​​組​​​織​​​一​​​般​​​來​​​講​​​都​​​只​​​會​​​產​​​生​​​一​​​組​​​。​​​公​​​用​​​認​​​證​​​會​​​被​​​它​​​的​​​私​​​密​​​金​​​鑰​​​進​​​行​​​數​​​位​​​簽​​​章​​​。​​​公​​​用​​​認​​​證​​​會​​​被​​​發​​​佈​​​至​​​每​​​部​​​系​​​統​​​上​​​。​​​
  • 網​​​路​​​伺​​​服​​​器​​​ SSL 私​​​密​​​金​​​鑰​​​以​​​及​​​公​​​用​​​認​​​證​​​ — 一​​​個​​​應​​​用​​​程​​​式​​​伺​​​服​​​器​​​一​​​組​​​。​​​此​​​公​​​用​​​認​​​證​​​會​​​由​​​它​​​的​​​私​​​密​​​金​​​鑰​​​與​​​ CA SSL 私​​​密​​​金​​​鑰​​​進​​​行​​​簽​​​章​​​。​​​我​​​們​​​通​​​常​​​會​​​將​​​網​​​站​​​伺​​​服​​​器​​​的​​​金​​​鑰​​​歸​​​類​​​為​​​金​​​鑰​​​組​​​；這​​​是​​​因​​​為​​​有​​​個​​​媒​​​介​​​的​​​ SSL 認​​​證​​​請​​​求​​​會​​​被​​​產​​​生​​​。​​​該​​​作​​​用​​​的​​​詳​​​情​​​對​​​目​​​前​​​的​​​討​​​論​​​範​​​圍​​​來​​​講​​​並​​​不​​​重​​​要​​​。​​​這​​​三​​​者​​​都​​​會​​​被​​​建​​​置​​​至​​​一​​​個​​​ RHN 伺​​​服​​​器​​​。​​​
範​​​例​​​：若​​​您​​​擁​​​有​​​一​​​個​​​ RHN Satellite Server 以​​​及​​​五​​​個​​​ RHN Proxy Server，您​​​將​​​會​​​產​​​生​​​一​​​個​​​ CA SSL 金​​​鑰​​​配​​​對​​​以​​​及​​​六​​​個​​​網​​​站​​​伺​​​服​​​器​​​ SSL 金​​​鑰​​​組​​​。​​​CA SSL 公​​​用​​​認​​​證​​​會​​​被​​​發​​​佈​​​至​​​所​​​有​​​系​​​統​​​並​​​被​​​所​​​有​​​客​​​戶​​​端​​​用​​​來​​​建​​​立​​​一​​​個​​​連​​​至​​​他​​​們​​​個​​​別​​​上​​​游​​​伺​​​服​​​器​​​的​​​連​​​結​​​。​​​所​​​有​​​伺​​​服​​​器​​​都​​​擁​​​有​​​自​​​己​​​的​​​ SSL 金​​​鑰​​​組​​​，此​​​金​​​鑰​​​組​​​會​​​特​​​定​​​性​​​地​​​和​​​該​​​伺​​​服​​​器​​​的​​​主​​​機​​​名​​​稱​​​綁​​​在​​​一​​​起​​​，並​​​且​​​此​​​ SSL 金​​​鑰​​​組​​​則​​​能​​​透​​​過​​​使​​​用​​​它​​​自​​​己​​​的​​​ SSL 私​​​密​​​金​​​鑰​​​以​​​及​​​ CA SSL 私​​​密​​​金​​​鑰​​​的​​​組​​​合​​​來​​​產​​​生​​​。​​​這​​​在​​​網​​​站​​​伺​​​服​​​器​​​的​​​ SSL 公​​​用​​​認​​​證​​​與​​​ CA SSL 金​​​鑰​​​配​​​對​​​和​​​伺​​​服​​​器​​​的​​​私​​​密​​​金​​​鑰​​​之​​​間​​​建​​​立​​​了​​​一​​​個​​​數​​​位​​​化​​​驗​​​證​​​的​​​關​​​聯​​​。​​​網​​​站​​​伺​​​服​​​器​​​的​​​金​​​鑰​​​組​​​不​​​可​​​與​​​其​​​它​​​網​​​站​​​伺​​​服​​​器​​​共​​​享​​​。​​​

重要

此​​​系​​​統​​​最​​​重​​​要​​​的​​​部​​​份​​​就​​​是​​​ CA SSL 金​​​鑰​​​配​​​對​​​。​​​透​​​過​​​此​​​私​​​密​​​金​​​鑰​​​與​​​公​​​用​​​認​​​證​​​，系​​​統​​​管​​​理​​​員​​​能​​​夠​​​重​​​新​​​產​​​生​​​任​​​何​​​網​​​站​​​伺​​​服​​​器​​​的​​​ SSL 金​​​鑰​​​組​​​。​​​此​​​ CA SSL 金​​​鑰​​​配​​​對​​​必​​​須​​​受​​​到​​​保​​​密​​​。​​​我​​​們​​​強​​​烈​​​建​​​議​​​一​​​旦​​​伺​​​服​​​器​​​的​​​ RHN 基​​​礎​​​結​​​構​​​被​​​完​​​整​​​設​​​定​​​好​​​並​​​開​​​始​​​運​​​作​​​後​​​，您​​​應​​​將​​​由​​​此​​​工​​​具​​​與​​​ / 或​​​安​​​裝​​​程​​​式​​​所​​​產​​​生​​​的​​​ SSL 建​​​置​​​目​​​錄​​​保​​​存​​​到​​​其​​​它​​​媒​​​介​​​上​​​、​​​寫​​​下​​​ CA 密​​​碼​​​，並​​​將​​​該​​​媒​​​介​​​與​​​密​​​碼​​​存​​​放​​​在​​​安​​​全​​​的​​​地​​​方​​​。​​​