Aggiungi certificati client sicuri esterni RootCA e distribuzione

Se si utilizza Certificati come metodo di autenticazione di destinazione in scenari in cui due distribuzioni devono connettere i percorsi di distribuzione e destinatario per trasferire i dati trail, sarà necessario utilizzare un certificato esterno RootCA per convalidare un utente client di distribuzione utilizzando un certificato client di distribuzione (distclient). Il certificato client di distribuzione viene memorizzato nella distribuzione di destinazione e un utente client di distribuzione (ruolo operatore) viene creato nella distribuzione di origine. Il tipo di convalida di questo utente è impostato su Certificato.

Nota: il percorso di distribuzione creato utilizzando i certificati richiede che la distribuzione di destinazione disponga di un utente x-Cert configurato con lo stesso nome utente del DN oggetto del certificato del percorso di distribuzione. Vedere Percorso del servizio di distribuzione.

Creare un certificato esterno RootCA nella distribuzione di destinazione

Per creare e gestire il certificato esterno CA radice (rootCA_ext) per una distribuzione di destinazione diversa dalla distribuzione di origine, attenersi alla procedura riportata di seguito.

Di seguito è riportato un file di configurazione rootCA_ext.cfg di esempio.

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

Il comando per generare il certificato esterno rootCA è:

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

Creare un certificato client di distribuzione

Il comando per generare un certificato client è simile al seguente:

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

Il certificato distclient viene verificato dal certificato rootCA_ext con il seguente comando:

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

Vengono generati il certificato distclient e la chiave privata. Entrambi i file vengono memorizzati nel PEM (Privacy Exhanced Mail) e la chiave privata viene creata in un formato PKCS (Public-Key Cryptography Standards) #12.