외부 신뢰할 수 있는 RootCA 및 배포 클라이언트 인증서 추가

두 배치가 추적 데이터를 전송하기 위해 배포 및 수신기 경로를 연결해야 하는 시나리오에서 인증서를 대상 인증 방법으로 사용하는 경우 외부 RootCA 인증서를 사용하여 배포 클라이언트(distclient) 인증서를 사용하여 배포 클라이언트 사용자를 검증해야 합니다. 배포 클라이언트 인증서는 대상 배포에 저장되고 배포 클라이언트 사용자(운영자 역할)는 소스 배포에 생성됩니다. 이 사용자의 검증 유형이 인증서로 설정되었습니다.

주: 인증서를 사용하여 생성된 배포 경로의 경우 대상 배포에 Dist Path Certificate의 주체 DN과 동일한 사용자 이름을 가진 x-Cert 사용자가 구성되어야 합니다. 배포 서비스 경로를 참조하십시오.

대상 배치에서 RootCA 외부 인증서 생성

다음 단계에 따라 소스 배치와 다른 대상 배치에 대한 루트 CA 외부 인증서(rootCA_ext)를 생성하고 관리합니다.

다음은 샘플 rootCA_ext.cfg 구성 파일입니다.

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

rootCA 외부 인증서를 생성하는 명령은 다음과 같습니다.

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

배포 클라이언트 인증서 만들기

클라이언트 인증서를 생성하는 명령은 다음과 유사합니다.

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

이 distclient 인증서는 다음 명령을 사용하여 rootCA_ext 인증서로 확인됩니다.

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

distclient 인증서 및 개인 키가 생성됩니다. 두 파일 모두 PEM(Privacy Exhanced Mail)에 저장되고 개인 키는 PKCS(Public-Key Cryptography Standards) #12 형식으로 만들어집니다.