نام (NAME)

pki --scep - ثبت و دریافت گواهی X.509 از یک کارساز SCEP

خلاصه دستور (SYNOPSIS)

pki --scep --url url [--in file] [--dn distinguished-name] [--san subjectAltName] [--profile profile] [--password password] --ca-cert-enc file --ca-cert-sig file [--cacert file] [--cert file --key file] [--cipher cipher] [--digest digest] [--rsa-padding padding] [--interval time] [--maxpolltime time] [--outform encoding] [--debug level]

pki --scep --options file

pki --scep -h | --help

توضیحات (DESCRIPTION)

این زیردستور از pki(1) یک درخواست گواهی PKCS#10 را درون یک ظرف رمزنگاری‌شده و امضاشدهٔ PKCS#7 از طریق HTTP به یک کارساز SCEP با استفاده از پروتکل ثبت گواهی ساده (Simple Certificate Enrollment Protocol - RFC 8894) ارسال می‌کند. پس از احراز هویت موفقیت‌آمیز، که در صورت تأیید دستی نیازمند بررسی دوره‌ای (polling) توسط کلاینت ثبت‌نام‌کننده است، کارساز SCEP یک گواهی X.509 امضاشده توسط CA را بازمی‌گرداند.

پیش از انقضای گواهی فعلی، می‌توان یک گواهی کلاینت جدید مبتنی بر یک کلید خصوصی RSA تازه درخواست کرد که با استفاده از گواهی و کلید پیشین برای احراز هویت خودکار با کارساز SCEP صورت می‌پذیرد.

گزینه‌ها (OPTIONS)

-h, --help: چاپ اطلاعات نحوه استفاده به همراه خلاصه‌ای از گزینه‌های موجود.
-v, --debug level: تنظیم سطح اشکال‌زدایی (debug)، پیش‌فرض: 1.
-+, --options file: خواندن گزینه‌های خط فرمان از file.
-u, --url url: آدرس URL کارساز SCEP.
-i, --in file: کلید خصوصی RSA. در صورت مشخص نشدن، کلید از STDIN خوانده می‌شود.
-d, --dn distinguished-name: نام متمایز موضوع (Subject DN). الزامی است مگر اینکه --cert داده شده باشد.
-a, --san subjectAltName: افزونه subjectAltName برای گنجاندن در درخواست. می‌تواند چندین بار استفاده شود.
-P, --profile profile: نام نمایه (profile) گواهی برای گنجانده شدن در درخواست گواهی. می‌تواند هر رشتهٔ UTF8 باشد. برای نمونه توسط کارساز SCEP openxpki با نمایه‌هایی (pc-client، tls-server و غیره) که به پرچم‌های متناظر Extended Key Usage (EKU) در گواهی X.509 ایجادشده تبدیل می‌شوند، پشتیبانی می‌شود.
-p, --password password: مقدار challengePassword برای گنجاندن در درخواست گواهی.
-e, --cacert-enc file: گواهی CA یا RA برای رمزنگاری.
-s, --cacert-sig file: گواهی CA برای اعتبارسنجی امضا.
-C, --cacert file: گواهی CA اضافی در زنجیره اعتماد که برای اعتبارسنجی امضا استفاده می‌شود. می‌تواند چندین بار استفاده شود.
-c, --cert file: گواهی کلاینت که باید تمدید شود.
-k, --key file: کلید خصوصی RSA کلاینت که باید جایگزین شود.
-E, --cipher cipher: رمز مورد استفاده برای رمزنگاری متقارن. مقدار آن aes (پیش‌فرض) یا des3 است.
-g, --digest digest: درهم‌ساز (digest) مورد استفاده برای ایجاد امضا. یکی از مقادیر sha256 (پیش‌فرض)، sha384، sha512 یا sha1.
-R, --rsa-padding padding: لایه‌گذاری (padding) مورد استفاده برای امضاهای RSA. مقدار آن pkcs1 (پیش‌فرض) یا pss است.
-t, --interval time: بازه زمانی بررسی دوره‌ای (poll) بر حسب ثانیه، پیش‌فرض 60s است.
-m, --maxpolltime time: بیشینه زمان بررسی دوره‌ای (poll) بر حسب ثانیه، پیش‌فرض 0 است که به معنی بررسی دوره‌ای نامحدود است.
-f, --outform encoding: کدگذاری فایل گواهی ایجادشده. یکی از مقادیر der (ASN.1 DER) یا pem (Base64 PEM)، پیش‌فرض der است.

مثال‌ها (EXAMPLES)

برای صرفه‌جویی در تایپ، گزینه‌های خط فرمان زیر در یک فایل scep.opt ذخیره شده‌اند:

--url http://pki.strongswan.org:8080/scep
--cacert-enc myra.crt
--cacert-sig myca-1.crt
--cacert myca.crt

با دستور زیر، یک گواهی X.509 امضاشده توسط CA میانی از یک کارساز SCEP درخواست می‌شود:

pki --options scep.opt --in moonKey.der --san "moon.strongswan.org" \
    --dn "C=CH, O=strongSec GmbH, CN=moon.strongswan.org" > moonCert.der
transaction ID: 4DFCF31CB18A9B5333CCEC6F99CF230E4524E334
  using certificate "C=CH, O=strongSwan Project, CN=SCEP RA"
  using trusted intermediate ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
  SCEP request pending, polling indefinitely every 60 seconds
  going to sleep for 60 seconds
transaction ID: 4DFCF31CB18A9B5333CCEC6F99CF230E4524E334
  ...
  going to sleep for 60 seconds
Issued certificate "C=CH, O=strongSwan Project, CN=moon.strongswan.org"
  serial: 1e:ff:22:7b:6e:d7:4c:c1:8a:06
  using certificate "C=CH, O=strongSwan Project, CN=moon.strongswan.org"
  using trusted intermediate ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
Issued certificate is trusted, valid from Aug 22 18:56:23 2022 until Aug 22 18:56:23 2023 (currently valid)

گواهی‌ای که در آستانه انقضا قرار دارد را می‌توان با دستور زیر تمدید کرد:

pki --options scep.opt --in moonNewKey.der --san "moon.strongswan.org" \
    --dn "C=CH, O=strongSec GmbH, CN=moon.strongswan.org" \
    --cert moonCert.der --key moonKey.der > moonNewCert.der
transaction ID: A9A63D028CC439F68452D125C4DBA025E67DBA95
  using certificate "C=CH, O=strongSwan Project, CN=SCEP RA"
  using trusted intermediate ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
Issued certificate "C=CH, O=strongSwan Project, CN=moon.strongswan.org"
  serial: 1f:ff:b2:78:43:a2:9d:85:00:38
  using certificate "C=CH, O=strongSwan Project, CN=moon.strongswan.org"
  using trusted intermediate ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
Issued certificate is trusted, valid from Jul 20 15:05:33 2023 until Jul 20 15:05:33 2024 (currently valid)

همچنین ببینید (SEE ALSO)

pki(1)