نام (NAME)

pki --estca - دریافت گواهی(های) CA از یک سرور EST

خلاصه دستور (SYNOPSIS)

توضیحات (DESCRIPTION)

این زیردستور از pki(1) گواهی‌های CA را از طریق https از یک سرور EST با استفاده از عملیات /cacerts پروتکل Enrollment over Secure Transport (RFC 7030) دریافت می‌کند.

گزینه‌ها (OPTIONS)

-h, --help

چاپ اطلاعات نحوه استفاده به همراه خلاصه‌ای از گزینه‌های موجود.

-v, --debug level

تنظیم سطح دیباگ، پیش‌فرض: 1.

-+, --options file

خواندن گزینه‌های خط فرمان از file.

-u, --url url

نشانی URL سرور SCEP.

-l, --label label

برچسب (label) در مسیر سرور EST.

-C, --cacert file

گواهی CA در زنجیره اعتماد که برای تأیید امضای سرور TLS پروتکل EST استفاده می‌شود. می‌توان چندین بار از این گزینه استفاده کرد.

-c, --caout file

در صورت وجود، مسیری که فایل گواهی ریشه CA واکشی‌شده در آن ذخیره می‌شود. اگر چندین گواهی CA بارگیری شوند، مقدار --caout به عنوان یک الگو برای ایجاد نام‌های فایل یکتا (*-1، *-2 و غیره) برای گواهی‌های میانی یا فرعی CA استفاده می‌شود. اگر پسوند فایل وجود نداشته باشد، بسته به مقدار --outform یکی از پسوندهای .der (پیش‌فرض) یا .pem به صورت خودکار اضافه می‌شود. اگر گزینه --caout مشخص نشده باشد و --outform بر روی pem تنظیم شده باشد، بسته‌ای از گواهی‌های CA با کدبندی PEM در stdout نوشته می‌شود.

-f, --outform encoding

کدبندی فایل گواهی ایجادشده. می‌تواند der (ASN.1 DER) یا pem (Base64 PEM) باشد، پیش‌فرض der است.

-F, --force

اجبار به رونویسی فایل‌های موجود.

مثال‌ها (EXAMPLES)

برای صرفه‌جویی در تایپ، گزینه‌های خط فرمان زیر در یک فایل est.opt ذخیره شده‌اند:

--url https://pki.strongswan.org:8443
--cacert tlsca.crt
--cacert tlsca-1.crt

نکته: برای یک اتصال موفق HTTPS، باید به گواهی سرور EST اعتماد برقرار شود. زنجیره اعتماد TLS شامل گواهی ریشه CA و در صورت تمایل گواهی‌های میانی CA باید با استفاده از چندین گزینه --cacert مشخص شوند.

یک سرور EST یک گواهی ریشه CA و یک گواهی میانی CA ارسال می‌کند:

pki --estca --options est.opt --caout myca.crt
negotiated TLS 1.3 using suite TLS_AES_256_GCM_SHA384
received TLS server certificate 'C=CH, O=strongSwan Project, CN=pki.strongswan.org'
  using certificate "C=CH, O=strongSwan Project, CN=pki.strongswan.org"
  using trusted intermediate ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
Root CA cert "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  serial: 65:31:00:ca:79:da:16:6b:aa:ac:89:e2:a8:f9:49:c3:10:ab:64:54
  SHA256: 96:70:50:51:cd:b9:e7:94:6b:04:f6:15:45:80:fc:90:85:01:71:2a:f6:4f:d1:1b:2d:a1:7e:eb:bf:dd:be:86
  SHA1  : 8e:f3:78:b0:34:a6:c1:6a:7b:c6:f5:91:eb:e5:46:9b:0d:0a:a7:ba (jvN4sDSmwWp7xvWR6+VGmw0Kp7o)
Root CA equals trusted TLS Root CA
Root CA cert is trusted, valid until Aug 12 15:51:34 2032, 'myca.crt'
Sub CA cert "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  serial: 74:f9:7e:72:7d:b8:fd:f2:c6:e5:1b:fa:37:f9:cb:87:bf:9c:ea:e2
  SHA256: a3:5b:4b:12:d5:8f:68:7b:05:11:08:27:f5:42:62:b8:b5:01:1b:19:37:9c:28:78:5d:37:08:69:6a:8c:07:bf
  SHA1  : 8c:e6:67:67:c2:23:89:7b:d0:bc:b1:50:d2:1c:bc:8d:8d:69:15:11 (jOZnZ8IjiXvQvLFQ0hy8jY1pFRE)
  using certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 0
Sub CA cert is trusted, valid until Aug 12 15:51:34 2027, 'myca-1.crt'

نکته: اگر گواهی Root CA زنجیره اعتماد TLS با گواهی Issuing CA یکسان باشد، مورد اعتماد بودن گواهی ریشه CA به صورت خودکار تأیید می‌شود. در غیر این صورت، اعتماد باید به صورت دستی و با تأیید اثر انگشت SHA256 یا SHA1 گواهی کدبندی‌شده با DER که مثلاً در وب‌گاه رسمی PKI یا روش‌های دیگر فهرست شده است، احراز گردد.

فایل‌های گواهی ذخیره‌شده در قالب DER را می‌توان با نسخه‌های کدبندی‌شده با PEM با دستور زیر بازنویسی کرد:

pki --estca --options est.opt --caout myca.crt --outform pem --force

یک بسته گواهی CA در قالب PEM در stdout نوشته می‌شود:

pki --estca --options est.opt --outform pem > cacerts.pem

همچنین ببینید (SEE ALSO)

pki(1)