نام (NAME)

pki --scepca - دریافت گواهی[های] CA [و RA] از یک سرور SCEP

خلاصه دستور (SYNOPSIS)

توضیحات (DESCRIPTION)

این زیرفرمان از pki(1) گواهی‌های CA و RA را از طریق http از یک سرور SCEP با استفاده از دستور GetCACert در پروتکل Simple Certificate Enrollment Protocol (RFC 8894) دریافت می‌کند.

گزینه‌ها (OPTIONS)

-h, --help

چاپ اطلاعات نحوه استفاده به‌همراه خلاصه‌ای از گزینه‌های موجود.

-v, --debug level

تنظیم سطح دیباگ، پیش‌فرض: 1.

-+, --options file

خواندن گزینه‌های خط فرمان از file.

-u, --url url

آدرس URL سرور SCEP.

-c, --caout file

در صورت وجود، مسیری است که فایل گواهی CA ریشه دریافت‌شده در آن ذخیره می‌شود. اگر چندین گواهی CA دانلود شوند، آن‌گاه مقدار --caout به‌عنوان یک الگو برای مشتق کردن نام فایل‌های یکتا (*-1، *-2 و غیره) برای گواهی‌های CA میانی یا فرعی استفاده می‌شود. اگر پسوند فایل وجود نداشته باشد، بسته به مقدار --outform یا .der (پیش‌فرض) یا .pem به‌طور خودکار افزوده می‌شود. اگر گزینه --caout مشخص نشده باشد و --outform روی pem تنظیم شده باشد، یک بسته گواهی CA با کدگذاری PEM در stdout نوشته می‌شود.

-r, --raout file

در صورت وجود، مسیری است که فایل گواهی RA دریافت‌شده در آن ذخیره می‌شود. اگر چندین گواهی RA موجود باشند، آن‌گاه مقدار --raout به‌عنوان یک الگو برای مشتق کردن نام فایل‌های یکتا (*-2 و غیره) استفاده می‌شود. اگر گزینه --raout مشخص نشده باشد، آن‌گاه مقدار --caout به‌عنوان یک الگو برای مشتق کردن نام فایل‌های یکتا (*-ra، *-ra-2 و غیره) برای گواهی‌های RA استفاده خواهد شد. اگر پسوند فایل وجود نداشته باشد، بسته به مقدار --outform یا .der (پیش‌فرض) یا .pem به‌طور خودکار افزوده می‌شود.

-f, --outform encoding

کدگذاری فایل گواهی ایجادشده. یا der (از نوع ASN.1 DER) یا pem (از نوع Base64 PEM)، پیش‌فرض der است.

-F, --force

بازنویسی اجباری فایل‌های موجود.

مثال‌ها (EXAMPLES)

یک سرور SCEP یک گواهی CA ریشه و یک گواهی CA میانی و همچنین یک گواهی RA ارسال می‌کند:

pki --scepca --url http://pki.strongswan.org:8080/scep --caout myca.crt --raout myra.crt
Root CA cert "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  serial: 65:31:00:ca:79:da:16:6b:aa:ac:89:e2:a8:f9:49:c3:10:ab:64:54
  SHA256: 96:70:50:51:cd:b9:e7:94:6b:04:f6:15:45:80:fc:90:85:01:71:2a:f6:4f:d1:1b:2d:a1:7e:eb:bf:dd:be:86
  SHA1  : 8e:f3:78:b0:34:a6:c1:6a:7b:c6:f5:91:eb:e5:46:9b:0d:0a:a7:ba (jvN4sDSmwWp7xvWR6+VGmw0Kp7o)
Root CA cert is untrusted, valid until Aug 12 15:51:34 2032, 'myca.crt'
Sub CA cert "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  serial: 74:f9:7e:72:7d:b8:fd:f2:c6:e5:1b:fa:37:f9:cb:87:bf:9c:ea:e2
  SHA256: a3:5b:4b:12:d5:8f:68:7b:05:11:08:27:f5:42:62:b8:b5:01:1b:19:37:9c:28:78:5d:37:08:69:6a:8c:07:bf
  SHA1  : 8c:e6:67:67:c2:23:89:7b:d0:bc:b1:50:d2:1c:bc:8d:8d:69:15:11 (jOZnZ8IjiXvQvLFQ0hy8jY1pFRE)
  using certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 0
Sub CA cert is trusted, valid until Aug 12 15:51:34 2027, 'myca-1.crt'
RA cert "C=CH, O=strongSwan Project, CN=SCEP RA"
  serial: 74:f9:7e:72:7d:b8:fd:f2:c6:e5:1b:fa:37:f9:cb:87:bf:9c:ea:e3
  SHA256: 57:22:f3:13:69:2f:24:82:12:59:8e:05:63:0b:f5:a8:fb:4e:78:87:8d:68:d1:4c:c1:c4:b5:85:db:bb:64:df
  SHA1  : bc:d1:46:76:55:7f:8c:d1:c5:22:31:b9:d7:b1:49:b5:95:a4:f3:ea (vNFGdlV/jNHFIjG517FJtZWk8+o)
  using certificate "C=CH, O=strongSwan Project, CN=SCEP RA"
  using untrusted intermediate certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
RA cert is trusted, valid until Aug 10 15:51:34 2023, 'myra.crt'

قابل‌اعتماد بودن گواهی CA ریشه باید به‌صورت دستی با اعتبارسنجی اثرانگشت SHA256 یا SHA1 گواهی کدگذاری‌شده با DER که برای نمونه در وب‌سایت رسمی PKI یا از روش‌های دیگر آورده شده، احراز شود.

فایل‌های گواهی ذخیره‌شده در قالب DER را می‌توان با نسخه‌های با کدگذاری PEM بازنویسی کرد:

pki --scepca --url http://pki.strongswan.org:8080/scep --caout myca.crt --raout myra.crt \
             --outform pem --force

اگر گزینه --raout حذف شود و الگوی --caout پسوند فایل نداشته باشد، آن‌گاه با --outform pem نام فایل‌های زیر حاصل می‌شوند:

pki --scepca --url http://pki.strongswan.org:8080/scep --caout scep/myca --outform pem
Root CA cert "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  ...
Root CA cert is untrusted, valid until Aug 12 15:51:34 2032, written to 'scep/myca.pem'
Sub CA cert "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  ...
Sub CA cert is trusted, valid until Aug 12 15:51:34 2027, 'scep/myca-1.pem'
RA cert "C=CH, O=strongSwan Project, CN=SCEP RA"
  ...
RA cert is trusted, valid until Aug 10 15:51:34 2023, 'scep/myca-ra.pem'

یک بسته گواهی CA در قالب PEM در stdout نوشته می‌شود:

pki --scepca --url http://pki.strongswan.org:8080/scep --raout myra.crt --outform pem > cacerts.pem

همچنین ببینید (SEE ALSO)

pki(1)