昨日、LDAPサーバー上で構成されていた最後のSSL証明書の有効期限が切れたので、新しいSSLキーを購入して有効化し、再度構成を試みましたが、それでも同じエラーが表示されます。最初にldapsearch -d 33 -H ldaps://ldap.example.com -b "dc=example,dc=com" -D "cn=manager,ou=Internal,dc=example,dc=com" -w Zsi9olp4rf8jWi6bmD
サーバーに接続しようとしましたが、出力は次のようになりました。
ldap_url_parse_ext(ldaps://ldap.example.com)
ldap_create
ldap_url_parse_ext(ldaps://ldap.example.com:636/??base)
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP ldap.example.com:636
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying 10.2.0.102:636
ldap_pvt_connect: fd: 3 tm: -1 async: 0
attempting to connect:
connect success
TLS: certdb config: configDir='/etc/openldap/cacerts' tokenDescription='ldap(0)' certPrefix='' keyPrefix='' flags=readOnly
TLS: using moznss security dir /etc/openldap/cacerts prefix .
TLS: loaded CA certificate file /etc/openldap/cacerts/f96879fa.1.
**TLS: certificate [CN=*.example.com,OU=EssentialSSL Wildcard,OU=Domain Control Validated] is not valid - error -8181:Peer's Certificate has expired..**
TLS: error: connect - force handshake failure: errno 21 - moznss error -8174
TLS: can't connect: TLS error -8174:security library: bad database..
ldap_err2string
**ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)**
そこで、新しいキーを LDAP サーバーの/etc/openldap/cacerts/cert.pemファイルにコピーしましたが、別のファイルがあります/etc/openldap/cacerts/key.pem。どのファイルにキーを追加すればよいのかわかりません。
クライアントでは、cacerts フォルダに多くのファイルがあります。ファイルについては添付の写真を確認してください。
適切な構成のために新しい SSL キーを追加する必要がある場所を提案してください。
答え1
SSL には秘密鍵と公開鍵の両方が必要です。この回答の範囲外の理由により、公開鍵は証明書署名要求 (CSR) で証明機関 (CA) に送信され、返送される証明書に含まれます。
サーバーが機能するには、秘密鍵と公開鍵の両方 (ほとんどの場合、証明書でラップされています) が必要です。そのため、2 つのファイルが表示されます。
同じ秘密キーを使用して新しい証明書を生成した場合は、証明書のみを置き換えることができます。CSR を作成するためのほとんどのオンライン手順では、新しい秘密キーも生成されます (同じフォルダー内)。その場合は、その秘密キーを見つけて、証明書と組み合わせて使用する必要があります。