Externe vertrauenswürdige RootCA- und Distribution-Clientzertifikate hinzufügen

Wenn Sie Zertifikate als Zielauthentifizierungsmethode in Szenarios verwenden, in denen zwei Deployments die Verteilungs- und Empfängerpfade verbinden müssen, um Traildaten zu übertragen, müssen Sie ein externes RootCA-Zertifikat verwenden, um einen Verteilungsclientbenutzer mit einem Verteilungsclientzertifikat (distclient) zu validieren. Das Verteilungsclientzertifikat wird im Ziel-Deployment gespeichert, und ein Verteilungsclientbenutzer (Operatorrolle) wird im Quell-Deployment erstellt. Der Validierungstyp dieses Benutzers ist auf "Zertifikat" gesetzt.

Hinweis: Für den Verteilungspfad, der mit Zertifikaten erstellt wird, muss für das Ziel-Deployment ein x-Cert-Benutzer konfiguriert sein, dessen Benutzername mit dem Subjekt-DN des Verteilungspfadzertifikats identisch ist. Siehe Distribution Service Path.

Externes RootCA-Zertifikat im Ziel-Deployment erstellen

Führen Sie die folgenden Schritte aus, um das externe Root-CA-Zertifikat (rootCA_ext) für ein Ziel-Deployment zu erstellen und zu verwalten, das sich vom Quell-Deployment unterscheidet.

Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei rootCA_ext.cfg:

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

Der Befehl zum Generieren des externen rootCA-Zertifikats lautet:

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

Verteilungsclientzertifikat erstellen

Der Befehl zum Generieren eines Clientzertifikats ähnelt dem Folgenden:

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

Dieses distclient-Zertifikat wird mit dem folgenden Befehl vom rootCA_ext-Zertifikat verifiziert:

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

Das distclient-Zertifikat und der Private Key werden generiert. Beide Dateien werden im Privacy Exhanced Mail (PEM) gespeichert, und der Private Key wird im Public-Key Cryptography Standards (PKCS) #12-Format erstellt.