Ajout de certificats client de distribution et RootCA sécurisés externes

Si vous utilisez Certificates comme méthode d'authentification cible dans les scénarios où deux déploiements doivent connecter les chemins de distribution et de réception pour transférer les données de trace, vous devez utiliser un certificat RootCA externe pour valider un utilisateur de client de distribution à l'aide d'un certificat de client de distribution (distclient). Le certificat du client de distribution est stocké sur le déploiement cible et un utilisateur du client de distribution (rôle opérateur) est créé sur le déploiement source. Le type de validation de cet utilisateur est défini sur Certificat.

Remarque : le chemin de distribution créé à l'aide de certificats requiert la configuration d'un utilisateur x-Cert configuré avec le même nom utilisateur que le nom distinctif d'objet du certificat de chemin de distribution. Reportez-vous à Chemin du service de distribution.

Création d'un certificat externe RootCA dans le déploiement cible

Procédez comme suit pour créer et gérer le certificat externe d'autorité de certification racine (rootCA_ext) pour un déploiement cible différent du déploiement source.

Voici un exemple de fichier de configuration rootCA_ext.cfg :

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

La commande de génération du certificat externe rootCA est la suivante :

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

Création d'un certificat client de distribution

La commande permettant de générer un certificat client est similaire à la suivante :

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

Ce certificat distclient est vérifié par le certificat rootCA_ext, à l'aide de la commande suivante :

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

Le certificat distclient et la clé privée sont générés. Les deux fichiers sont stockés dans le PEM (Privacy Exhanced Mail) et la clé privée est créée au format PKCS (Public-Key Cryptography Standards) #12.