custodia 0.6.0

要求

API稳定性

有些api是临时的，将来可能会改变。

• 模块custodia.cli中的命令行接口。
• 脚本custodia cli。
• custodia.ipa插件

监管机构IPA要求

• ipalib=4.5.0
• iPaclient=4.5.0
• Python2.7（IPA保险库中的Python3支持不稳定）

默认情况下，不会拉入并安装ipalib和ipaclient。这个 包依赖于kerberos/gssapi、ldap和 NSS密码库。依赖项列在testing 以上要求。

$ pip install custodia[ipa]

custodia.ipa需要ipa注册主机和kerberos tgt 身份验证。建议提供带有keytab的凭据 文件或GSS代理。此外，ipavault依赖于密钥恢复代理 服务（ipa-kra-install）。

示例配置

创建目录

$ sudo mkdir /etc/custodia /var/lib/custodia /var/log/custodia /var/run/custodia
$ sudo chown USER:GROUP /var/lib/custodia /var/log/custodia /var/run/custodia
$ sudo chmod 750 /var/lib/custodia /var/log/custodia

创建服务帐户和keytab

$ kinit admin
$ ipa service-add custodia/$HOSTNAME
$ ipa service-allow-create-keytab custodia/$HOSTNAME --users=admin
$ mkdir -p /etc/custodia
$ ipa-getkeytab -p custodia/$HOSTNAME -k /etc/custodia/ipa.keytab
$ chown custodia:custodia /etc/custodia/ipa.keytab

IPA证书请求插件需要其他权限

$ ipa privilege-add \
    --desc="Create and request service certs with Custodia" \
    "Custodia Service Certs"
$ ipa privilege-add-permission \
    --permissions="Retrieve Certificates from the CA" \
    --permissions="Request Certificate" \
    --permissions="Revoke Certificate" \
    --permissions="System: Modify Services" \
    "Custodia Service Certs"
# for add_principal=True
$ ipa privilege-add-permission \
    --permissions="System: Add Services" \
    "Custodia Service Certs"
$ ipa role-add \
    --desc="Create and request service certs with Custodia" \
    "Custodia Service Cert Adminstrator"
$ ipa role-add-privilege \
    --privileges="Custodia Service Certs" \
    "Custodia Service Cert Adminstrator"
$ ipa role-add-member \
    --services="custodia/$HOSTNAME" \
    "Custodia Service Cert Adminstrator"

创建/etc/custodia/ipa.conf

# /etc/custodia/ipa.conf

[global]
debug = true
makedirs = true

[auth:ipa]
handler = IPAInterface
keytab = ${configdir}/${instance}.keytab
ccache = FILE:${rundir}/ccache

[auth:creds]
handler = SimpleCredsAuth
uid = root
gid = root

[authz:paths]
handler = SimplePathAuthz
paths = /. /secrets

[store:vault]
handler = IPAVault

[store:cert]
handler = IPACertRequest
backing_store = vault

[/]
handler = Root

[/secrets]
handler = Secrets
store = vault

[/secrets/certs]
handler = Secrets
store = cert

创建/etc/systemd/system/custodia@ipa.service.d/override.conf

在Fedora26和更新版本上，custodia服务文件默认为Python3。 尽管freeipa 4.5支持python 3，但它还不稳定。 因此，有必要使用 Python2.7。您可以使用systemctl edit custodia@py2.service 手动创建覆盖或复制文件。别忘了跑 systemctl daemon-reload在后一种情况下。

[Service]
ExecStart=
ExecStart=/usr/sbin/custodia-2 --instance=%i /etc/custodia/%i.conf

运行custodia服务器

$ systemctl start custodia@ipa.socket

IPA证书申请

ipacertrequest存储插件在上生成或撤消证书 苍蝇。它使用备份存储来缓存证书和私钥。T型他 插件可以自动创建服务主体。但是主人必须 已经存在。ipacertrequest不在 需求。

像GET /path/to/store/HTTP/client1.ipa.example这样的请求生成 服务HTTP/client1.ipa.example的私钥和csr DNS使用者替代名称^{TT10}$。企业社会责任就是 转发给IPA并由Dogtag签名。结果证书及其信任 链作为pem包与私钥一起返回。

$ export CUSTODIA_INSTANCE=ipa
$ custodia-cli get /certs/HTTP/client1.ipa.example
-----BEGIN RSA PRIVATE KEY-----
...
-----END RSA PRIVATE KEY-----

Issuer: organizationName=IPA.EXAMPLE, commonName=Certificate Authority
Subject: organizationName=IPA.EXAMPLE, commonName=client1.ipa.example
Serial Number: 22
Validity:
    Not Before: 2017-04-27 09:44:20
    Not After: 2019-04-28 09:44:20
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

Issuer: organizationName=IPA.EXAMPLE, commonName=Certificate Authority
Issuer: organizationName=IPA.EXAMPLE, commonName=Certificate Authority
Serial Number: 1
Validity:
    Not Before: 2017-04-26 08:24:11
    Not After: 2037-04-26 08:24:11
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

delete请求将证书/密钥对从备份存储中删除，并 同时撤消证书。

未实现已吊销或过期证书的自动续订 但是。