Agregar certificados de cliente de distribución y RootCA de confianza externos

Si utiliza Certificados como método de autenticación de destino en casos en los que dos despliegues necesitan conectar las rutas de distribución y de receptor para transferir datos de pista, deberá utilizar un certificado RootCA externo para validar un usuario de cliente de distribución mediante un certificado de cliente de distribución (distclient). El certificado de cliente de distribución se almacena en el despliegue de destino y se crea un usuario de cliente de distribución (rol de operador) en el despliegue de origen. El tipo de validación de este usuario se define en Certificado.

Nota: La ruta de distribución creada mediante Certificados requiere que el despliegue de destino tenga configurado un usuario x-Cert que tenga el mismo nombre de usuario que el DN de asunto del certificado de ruta de distribución. Consulte Ruta de Servicio de Distribución.

Crear un certificado externo RootCA en el despliegue de destino

Utilice los siguientes pasos para crear y gestionar el certificado externo de CA raíz (rootCA_ext) para un despliegue de destino que sea diferente del despliegue de origen.

A continuación se muestra un ejemplo de archivo de configuración rootCA_ext.cfg:

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

El comando para generar el certificado externo rootCA es:

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

Creación de un certificado de cliente de distribución

El comando para generar un certificado de cliente es similar al siguiente:

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

Este certificado distclient es verificado por el certificado rootCA_ext mediante el siguiente comando:

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

Se generan el certificado distclient y la clave privada. Ambos archivos se almacenan en el correo mejorado de privacidad (PEM) y la clave privada se crea en un formato de estándares de criptografía de clave pública (PKCS) #12.