新增外部信任 RootCA 和分送從屬端憑證

如果您使用「憑證」作為目標認證方法，在兩個部署需要連線分送和接收端路徑以傳輸歷程檔資料的情況下，則必須使用外部 RootCA 憑證，以使用分送從屬端 ( distclient) 憑證來驗證分送從屬端使用者。分送從屬端憑證會儲存在目標建置上，而且會在來源建置上建立分送從屬端使用者 (操作員角色)。此使用者的驗證類型設為「憑證」。

注意：使用「憑證」建立的「分送路徑」需要目標建置，讓 x-Cert 使用者設定的使用者名稱與「分送路徑憑證」的「主體 DN」相同。請參閱分送服務路徑。

在目標建置中建立 RootCA 外部憑證

使用下列步驟，為與來源部署不同的目標部署建立和管理根 CA 外部憑證 (rootCA_ext)。

以下是 rootCA_ext.cfg 組態檔範例：

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

產生 rootCA 外部憑證的指令如下：

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

建立分配用戶端憑證

產生用戶端憑證的指令與下列類似：

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

此 distclient 憑證使用下列指令，以 rootCA_ext 憑證進行驗證：

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

產生 distclient 憑證和私密金鑰。這兩個檔案都儲存在私密性的 Exhanced Mail (PEM) 中，而私密金鑰則是以公開金鑰加密標準 (PKCS) #12 格式建立。