.TH PKI 1 "2023-10-20" "6.1.0" "strongSwan"
.
.SH "نام (NAME)"
.
pki \- ابزار ساده مدیریت زیرساخت کلید عمومی (PKI)
.
.SH "خلاصه دستور (SYNOPSIS)"
.
.SY "pki"
.I command
.RI [ option\~ .\|.\|.]
.YS
.
.SY "pki"
.B \-h
|
.B \-\-help
.YS
.
.SH "توضیحات (DESCRIPTION)"
.
.B pki
مجموعه‌ای از دستورها است که به شما امکان مدیریت یک زیرساخت کلید عمومی (PKI) ساده را می‌دهد.
.P
تولید جفت‌کلیدهای RSA و ECDSA، ایجاد درخواست‌های گواهی PKCS#10 شامل subjectAltNames، ایجاد گواهی‌های X.509 خودامضاشده برای موجودیت نهایی (end-entity) و مرجع صدور گواهی ریشه (root CA)، صدور گواهی‌های مرجع صدور گواهی میانی (intermediate CA) و موجودیت نهایی که با کلید خصوصی یک CA امضا شده‌اند و شامل subjectAltNames، نقاط توزیع CRL و نشانی‌های URI سرورهای OCSP هستند. شما همچنین می‌توانید کلیدهای عمومی خام را از کلیدهای خصوصی، درخواست‌های گواهی و خود گواهی‌ها استخراج کرده و دو نوع شناسه کلید مبتنی بر SHA-1 را محاسبه کنید.
.P
دستور
.B pki
همچنین از ثبت‌نام گواهی از طریق
.B Simple Certificate Enrollment Protocol
(SCEP) مطابق با RFC 8894 پشتیبانی می‌کند که جایگزین ابزار منسوخ‌شده
.B ipsec scepclient
شده است. علاوه بر این، پروتکل
.B Enrollment over Secure Transport
(EST) مطابق با RFC 7030 نیز پشتیبانی می‌شود.
.P
جدیدترین قابلیت، یک پاسخ‌دهنده
.B Online Certificate Status Protocol
(OCSP) مطابق با RFC 6960 است که با دسترسی مستقیم به پایگاه‌داده داخلی گواهی‌های سرور
.B OpenXPKI
با آن تعامل می‌کند.
.
.SH "دستورها (COMMANDS)"
.
.TP
.B "\-h, \-\-help"
چاپ اطلاعات نحوه استفاده و خلاصه‌ای کوتاه از دستورهای موجود.
.TP
.B "\-g, \-\-gen"
تولید یک کلید خصوصی جدید.
.TP
.B "\-s, \-\-self"
ایجاد یک گواهی خودامضاشده (self-signed).
.TP
.B "\-i, \-\-issue"
صدور یک گواهی با استفاده از گواهی و کلید CA.
.TP
.B "\-c, \-\-signcrl"
صدور یک CRL با استفاده از گواهی و کلید CA.
.TP
.B "\-z, \-\-acert"
صدور یک گواهی ویژگی (attribute certificate).
.TP
.B "\-r, \-\-req"
ایجاد یک درخواست گواهی PKCS#10.
.TP
.B "\-7, \-\-pkcs7"
فراهم کردن توابع بسته‌بندی/بازکردن (wrap/unwrap) استاندارد PKCS#7.
.TP
.B "\-k, \-\-keyid"
محاسبه شناسه‌های کلید برای یک کلید یا گواهی.
.TP
.B "\-a, \-\-print"
چاپ یک مدرک اعتبار (کلید، گواهی و غیره) به شکل خوانا برای انسان.
.TP
.B "\-d, \-\-dn"
استخراج DN موضوع (subject DN) یک گواهی X.509.
.TP
.B "\-p, \-\-pub"
استخراج یک کلید عمومی از یک کلید خصوصی یا گواهی.
.TP
.B "\-V, \-\-verify"
تأیید صحت یک گواهی با استفاده از یک گواهی CA.
.TP
.B "\-S, \-\-scep"
ثبت‌نام یک گواهی X.509 با یک سرور SCEP.
.TP
.B "\-C, \-\-scepca"
دریافت گواهی[های] CA [و RA] از یک سرور SCEP.
.TP
.B "\-E, \-\-est"
ثبت‌نام یک گواهی X.509 با یک سرور EST.
.TP
.B "\-e, \-\-estca"
دریافت گواهی[های] CA از یک سرور EST.
.TP
.B "\-o, \-\-ocsp"
تجزیه‌گر درخواست OCSP و پاسخ‌دهنده OCSP.
.
.SH "گزینه‌های عمومی (GENERAL OPTIONS)"
.TP
.B "\-v, \-\-debug"
تنظیم سطح اشکال‌زدایی (debug)، پیش‌فرض: 1
.TP
.B "\-+, \-\-options"
خواندن گزینه‌های خط فرمان از یک فایل
.
.SH "مثال‌ها (EXAMPLES)"
.
.SS "تولید یک گواهی CA"
.
گام نخست تولید یک کلید خصوصی با استفاده از دستور
.B \-\-gen
است. به‌طور پیش‌فرض این دستور یک کلید RSA با طول ۲۰۴۸ بیت تولید می‌کند.
.PP
.EX
  pki \-\-gen > ca_key.der
.EE
.PP
این کلید برای ایجاد گواهی CA خودامضاشده با استفاده از دستور
.B \-\-self
به کار می‌رود. نام متمایز (distinguished name) باید متناسب با نیاز شما تنظیم شود.
.PP
.EX
  pki \-\-self \-\-ca \-\-in ca_key.der \\
      \-\-dn "C=CH, O=strongSwan, CN=strongSwan CA" > ca_cert.der
.EE
.PP
.
.SS "تولید گواهی‌های موجودیت نهایی (End-Entity)"
.
با در دست داشتن گواهی و کلید CA ریشه، می‌توان گواهی‌های موجودیت نهایی را برای کلاینت‌ها و سرورها صادر کرد. به همین ترتیب می‌توان گواهی‌های CA میانی را صادر کرد که به نوبه خود قادر به صدور گواهی‌های دیگر هستند.
برای تولید یک گواهی برای سرور، ابتدا یک کلید خصوصی ایجاد می‌کنیم.
.PP
.EX
  pki \-\-gen > server_key.der
.EE
.PP
کلید عمومی در گواهی گنجانده خواهد شد، بنابراین آن را از کلید خصوصی استخراج می‌کنیم.
.PP
.EX
  pki \-\-pub \-\-in server_key.der > server_pub.der
.EE
.PP
دستور زیر از گواهی CA و کلید خصوصی برای صدور گواهی برای این سرور استفاده می‌کند. نام متمایز، subjectAltName(ها) و پرچم‌ها را در صورت نیاز تنظیم کنید (برای گزینه‌های بیشتر
.BR pki\ \-\-issue (8)
را بررسی کنید).
.PP
.EX
  pki \-\-issue \-\-in server_pub.der \-\-cacert ca_cert.der \\
      \-\-cakey ca_key.der \-\-dn "C=CH, O=strongSwan, CN=VPN Server" \\
      \-\-san vpn.strongswan.org \-\-flag serverAuth > server_cert.der
.EE
.PP
به جای ذخیره کلید عمومی در یک فایل جداگانه، خروجی
.B \-\-pub
را نیز می‌توان مستقیماً به دستور بالا هدایت (pipe) کرد.
.
.SS "تولید فهرست‌های ابطال گواهی (CRL)"
.
در صورتی که گواهی‌های موجودیت نهایی نیاز به ابطال داشته باشند، می‌توان فهرست‌های CRL را با استفاده از دستور
.B \-\-signcrl
تولید کرد.
.PP
.EX
  pki \-\-signcrl \-\-cacert ca_cert.der \-\-cakey ca_key.der \\
      \-\-reason superseded \-\-cert server_cert.der > crl.der
.EE
.PP
گواهی مشخص‌شده با cacert\-\- باید یک گواهی CA یا گواهی دارای کاربرد کلید توسعه‌یافته
.I crlSign
باشد (flag crlSign\-\-). نشانی‌های URI مربوط به CRLها را می‌توان با گزینه crl\-\- در گواهی‌های صادرشده گنجاند.
.
.SH "همچنین ببینید (SEE ALSO)"
.
.BR pki\ \-\-gen (1),
.BR pki\ \-\-self (1),
.BR pki\ \-\-issue (1),
.BR pki\ \-\-signcrl (1),
.BR pki\ \-\-acert (1),
.BR pki\ \-\-req (1),
.BR pki\ \-\-pkcs7 (1),
.BR pki\ \-\-keyid (1),
.BR pki\ \-\-print (1),
.BR pki\ \-\-dn (1),
.BR pki\ \-\-pub (1),
.BR pki\ \-\-verify (1),
.BR pki\ \-\-scep (1)
.BR pki\ \-\-scepca (1)
.BR pki\ \-\-est (1)
.BR pki\ \-\-estca (1)
.BR pki\ \-\-ocsp (1)