Введение

Сторонние сертификаты

представляются двумя файлами

: закрытым ключем и сертификатом этого ключа

. Далее для примера

используются:

• mysite.key - закрытый ключ;
• mysite.crt - сертификат закрытого ключа.

Для проверки

предоставленной пары  "закрытый ключ+сертификат" требуется сертификат удостоверяющего центра (УЦ), создавшего эту пару

. Для примера это будет файл  WinAd.cer (сертификат в кодировке Base-64), и этот сертификат должен быть установлен как доверенный сертификат УЦ.

Порядок действий

изложен ниже.

Установка доверенного сертификата УЦ

Установка доверенного сертификата УЦ

- разовая операция для каждого нового УЦ, которая должна быть выполнена на каждом сервере (реплике) FreeIPA. Для установки сертификата:

1. Экспортировать сертификат УЦ

1. в файл в

1. кодировке Base-64. Для выполнения экспорта см. инструкции по эксплуатации используемого УЦ

1. (например, для Windows AD: Exporting the Active Directory Certificate);
2. Файл с экспортированным сертификатом скопировать на каждый сервер (сервер-реплику) FreeIPA;

3. На каждом сервере FreeIPA зарегистрировать полученный сертификат УЦ.

   Примечание
   Если имеется несколько серверов-реплик, то регистрация доверенного сертификата должна быть выполнена на каждом из них.

   Регистрация должна выполняться суперпользователем, имеющим

1. билет Kerberos администратора домена:

   1. Получить билет Kerberos администратора домена:

      Command
      sudo kinit admin

      
      

   2. Загрузить сертификат в базу сертификатов:

      Command
      sudo ipa-cacert-manage -p <пароль_администратора> -n <произвольный_псевдоним_сертификата> -t C,, install WinAd.cer

      
      

   3. Обновить списки сертификатов:

      Command
      sudo ipa-certupdate

      
      

Установка ключей и сертификатов служб

Установка ключей и сертификатов

служб выполняется на каждом сервере (реплике) для каждой новой пары ключ-сертификат, подписанной ранее зарегистрированным УЦ

. Установка сертификатов должна выполняться суперпользователем, имеющим билет Kerberos администратора домена:

1. Получить билет Kerberos администратора домена

1. :

   Command
   sudo kinit admin

   
   

2. Установить пару ключ-сертификат:

   Command
   sudo ipa-server-certinstall -w -d mysite.key mysite.crt

   
   

3. После установки сертификатов

1. перезапустить службы:

   Command
   sudo systemctl restart apache2 dirsrv@<имя_области_Kerbros>.service

   например:

   Command
   sudo systemctl restart

1. apache2 dirsrv@IPADOMAIN.RU.service