Adicionar Certificados de Cliente de Distribuição e RootCA Confiáveis Externos

Se você estiver usando Certificados como método de autenticação de destino em cenários nos quais duas implantações precisam conectar os caminhos de distribuição e de receptor para transferir dados de trilha, precisará usar um certificado externo RootCA para validar um usuário cliente de distribuição usando um certificado de cliente de distribuição (distclient). O certificado do cliente de distribuição é armazenado na implantação de destino e um usuário do cliente de distribuição (atribuição do operador) é criado na implantação de origem. O tipo de validação deste usuário está definido como Certificado.

Observação: O Caminho de Distribuição criado usando Certificados exige que a implantação de destino tenha um usuário x-Cert configurado que tenha o mesmo nome de usuário do DN do Assunto do Certificado do Caminho de Distribuição. Consulte Caminho do Serviço de Distribuição.

Criar um Certificado Externo RootCA na Implantação de Destino

Use as etapas a seguir para criar e gerenciar o certificado externo da CA raiz (rootCA_ext) para uma implantação de destino diferente da implantação de origem.

Veja a seguir um exemplo de arquivo de configuração rootCA_ext.cfg:

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

O comando para gerar o certificado externo rootCA é:

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

Criar um Certificado do Cliente de Distribuição

O comando para gerar um certificado de cliente é semelhante ao seguinte:

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

Este certificado distclient é verificado pelo certificado rootCA_ext, usando o seguinte comando:

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

O certificado distclient e a chave privada são gerados. Ambos os arquivos são armazenados no Privacy Exhanced Mail (PEM) e a chave privada é criada em um formato PKCS (Public-Key Cryptography Standards) #12.