Aller au contenu principal
Suivant

Sur la machine srv-lin-01. Lire le ticket, agir dans le terminal, puis vérifier.

Ticket 7458, ouvert par Samir Ouali : le certificat de lims.sevo.lan arrive à échéance. Les utilisateurs joignent aussi ce service par l'alias analyses.sevo.lan, qui affiche aujourd'hui un avertissement : le certificat actuel ne porte que le premier nom. L'autorité interne du SEVO signera le nouveau certificat à partir d'une demande déposée dans /srv/pki/demandes.

Préparer sur srv-lin-01 une nouvelle clé privée et la demande de signature qui va avec :

  • la clé, de type EC sur la courbe P-256 (la seule que l'autorité signe pour les serveurs), dans /etc/ssl/sevo/private/lims.key, lisible par root seul ;
  • la demande dans /srv/pki/demandes/lims.csr, valable pour les deux noms, lims.sevo.lan et analyses.sevo.lan, et pour aucun autre.

Rappel

Sous Windows, la console des certificats de l'ordinateur crée une demande personnalisée (ou certreq -new en ligne de commande) : la clé privée reste dans le magasin de la machine, seule la demande part vers l'autorité. Avec OpenSSL, la clé et la demande sont deux fichiers.

  • openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:P-256 -noenc -keyout cle -out demande -subj "/CN=nom" crée une clé EC P-256, non chiffrée (-noenc), et la demande signée par cette clé.
  • -addext "subjectAltName=DNS:nom1,DNS:nom2" y ajoute la liste des noms pour lesquels le certificat sera valable.
  • openssl req -in demande -noout -text relit une demande, -verify en contrôle la signature.
  • Un fichier créé par sudo commande appartient à root ; un fichier créé sans sudo, puis déplacé avec sudo mv, garde son propriétaire. ls -l affiche le propriétaire et les droits, chown et chmod les changent.

Boîte à outils

Un clic écrit la commande au curseur, sans la lancer.

Indications

Indication 2
Indication 3

Le ticket se prépare dès que la machine est prête.