添加外部可信 RootCA 和分发客户机证书

如果您在两个部署需要连接分发和接收方路径以传输线索数据的场景中将证书用作目标验证方法，则需要使用外部 RootCA 证书来使用分发客户机 ( distclient ) 证书验证分发客户机用户。分发客户端证书存储在目标部署中，并在源部署上创建分发客户端用户（操作员角色）。此用户的验证类型设置为“证书”。

注：使用证书创建的分发路径要求目标部署配置具有与分布式路径证书的主题 DN 相同的用户名的 x 证书用户。请参见 Distribution Service Path 。

在目标部署中创建 RootCA 外部证书

使用以下步骤可为与源部署不同的目标部署创建和管理根 CA 外部证书 (rootCA_ext)。

下面是示例 rootCA_ext.cfg 配置文件：

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "rootsecurity@oracle.com"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

用于生成 rootCA 外部证书的命令为：

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

创建分发客户机证书

用于生成客户机证书的命令类似于以下命令：

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

此 distclient 证书由 rootCA_ext 证书验证，使用以下命令：

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

将生成 distclient 证书和私钥。这两个文件都存储在隐私增强邮件 (Privacy Exhanced Mail，PEM) 中，私钥是以公钥加密标准 (Public-Key Cryptography Standards，PKCS) #12 格式创建的。