Aller au contenu principal
Suivant

Sur la machine srv-lin-01. Lire le ticket, agir dans le terminal, puis vérifier.

Ticket 7844, ouvert par Léna Guérin : depuis le remplacement du certificat de l'interface web du LIMS, https://lims.sevo.lan, plusieurs postes affichent un avertissement, et une application qui interroge le service refuse la connexion avec le message unable to get local issuer certificate. Le service web de srv-lin-01 présente le fichier /srv/web/tls/chaine.crt, qui ne contient que le certificat du serveur, /srv/web/tls/serveur.crt. Les certificats des autorités du SEVO sont dans /srv/pki/autorites.

Reconstituer /srv/web/tls/chaine.crt pour qu'un poste qui ne connaît que la racine du SEVO accepte le certificat du serveur : le certificat du serveur d'abord, puis celui de l'autorité qui l'a signé, et rien d'autre.

Rappel

Le chapitre décrit la chaîne de confiance : la racine, présente dans le magasin de confiance des postes (déployée par stratégie de groupe), signe une autorité intermédiaire, qui signe le certificat du serveur. Le poste reçoit du serveur son certificat et les intermédiaires, puis remonte la chaîne jusqu'à une racine qu'il connaît déjà.

  • openssl x509 -in fichier -noout -subject -issuer affiche le sujet d'un certificat et son émetteur, l'autorité qui l'a signé.
  • openssl verify -CAfile racine.crt -untrusted chaine.crt chaine.crt vérifie le premier certificat du fichier comme le ferait un poste ; -verify_hostname nom y ajoute la vérification du nom.
  • cat a b affiche deux fichiers à la suite. Pour écrire dans un fichier réservé à root, cat a b | sudo tee fichier > /dev/null : avec sudo cat a b > fichier, c'est le shell du technicien qui ouvre le fichier, et l'écriture est refusée.

Boîte à outils

Un clic écrit la commande au curseur, sans la lancer.

Indications

Indication 2
Indication 3

Le ticket se prépare dès que la machine est prête.