Résumé : Les fichiers de configuration d'IDX-PKI sont placés dans le répertoire /opt/idxpki/etc/idxpki/conf. Il s'agit de fichiers de configuration tiers, tels que ceux d'Apache (idxpki-httpd.conf), PHP (php.ini) ou encore des messages de renouvellement de certificats en français et anglais.

Poster un commentaire

Promo interne : Certificats annuels SSL ( Voir les détails ) 128/256 bits à racine unique. Installables en 30 secondes, 99% des navigateurs compatibles ! Disponibles en ligne en 10 minutes : RapidSSL ( 62 EUR - Voir ), RapidSSL Pro réémission gratuite ( 98 EUR - Voir ) & QuickSSL Premium, réémission gratuite, compatible PDA, sceau de validité ( 129 EUR - Voir ) - Promo spéciale 20 % sur les certificats SSL VeriSign jusqu'au 31 mai 2008 ( Voir ) 1 Year VPN Unlimited Who needs VPN4U Services ? Hotspot Wireless Users at risk of having personal datas stolen like passwords ! Home Internet Users, Cable and DSL providers don't filtering exploits ! International Internet Users living where Governments prevent users from enjoying Internet, USA IP = no controls ! 36 USD - Buy

NDLR : Merci de prendre note que ce document a été réalisé en 2006 et qu'une nouvelle version d'IDX-PKI apportant son lot de corrections et d'améliorations est disponible sur Sourceforge ( lien http externe url:[click] ) ; cette nouvelle version connue sous le nom de Cryptonit ( lien http externe url:[click] ) est à mettre au crédit d'OpenTrust IdealX ( lien http externe url:[click] ).

Pour informations, ce dossier a été réalisé avec l'ancienne version d'IDX-PKI qui a contribué à sa popularité, les versions des logiciels tiers étaient les versions les plus récentes à date de rédaction.


Le répertoire /opt/idxpki/etc/idxpki/conf :

/opt/idxpki/etc/idxpki/conf$ ls
idxpki-httpd.conf renewal_message-1.conf renewal_message-3.conf
php.ini renewal_message-2.conf schema


Les modifications directes sur ces fichiers ne sont normalement que minimes. Voici les parties susceptibles d'être modifiées :

# Lignes relatives à la charge, aux connexions multiples et aux clients

Timeout 300
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 15
MinSpareServers 5
MaxSpareServers 20
StartServers 5
MaxClients 150

# Personnalisation du serveur apache sous-jacent :

ServerName lapt41p
ServerAdmin webmaster@domaine.com

# Configuration de l'accès non sécurisé (port 80 en particulier):

Listen 80

<VirtualHost _default_:80>
DocumentRoot /opt/idxpki/var/idxpki/crl
CustomLog /opt/idxpki/var/idxpki/log/httpd_plain_HTTP_access_log combined
</VirtualHost>

# Configuration de l'accès sécurisé (port 443 en particulier)

Listen 443

<VirtualHost _default_:443>
DocumentRoot /opt/idxpki/var/idxpki/www
SSLLogLevel warn
SSLLog /opt/idxpki/var/idxpki/log/httpd_ssl_log
(...)

# Définitions SSL

SSLEngine on
SSLOptions +StdEnvVars +ExportCertData +StrictRequire
SSLCertificateFile /opt/idxpki/var/idxpki/secure/WWW/webserver.pem
SSLCertificateKeyFile /opt/idxpki/var/idxpki/secure/WWW/webserver.key
SSLCACertificatePath /opt/idxpki/etc/idxpki/ca
SSLVerifyClient optional
SSLVerifyDepth 2

<LocationMatch ^/(RA|CA|escrow|config|logs)>
SSLRequire ( %{SSL_CLIENT_VERIFY} eq "SUCCESS" )
</LocationMatch>

</VirtualHost>


En dehors des modifications de configuration, il sera également nécessaire de créer le certificat et la clef privée associés au serveur HTTPs (cf. lignes ci-dessus) :

# Création du CA (clef et certificat)

openssl req -nodes -new -x509 -keyout root.key -out root.crt -days 365

# Création de le clef privée du serveur et de la demande de signature pour le certificat

openssl req -nodes -new -keyout webserver.key -out webserver.csr -days 354

# Signature du certificat

echo "02" > root.srl
openssl x509 -req -in webserver.csr -out webserver.pem -CAkey root.key -CA root.crt -days 365


La solution IDX-PKI est désormais fonctionnelle au niveau du serveur. Les éléments de configuration suivants sont effectués directement via l'interface Web, depuis un navigateur classique vers l'URL en https.

Il s'agit d'une authentification par certificat (et non classique par login/mot de passe).

Il faudra pour ce faire importer au préalable dans le navigateur d'administration le certificat au format PKCS12.

Il est placé, après l'installation, dans /tmp/idxpki-ceremony/admin.p12 ou [CHEMIN DEFINI]/var/idxpki/tmp/idxpki-ceremony/admin.p12 selon le mode d'installation retenu précédemment.

Le certificat administrateur n'est pas protégé par mot de passe, l'interface est donc directement accessible de façon transparente.


Autres ressources dans ce dossier :

[Etude de cas IDX-PKI GPL – Partie 1] Présentation – lien http interne url:[click]

[Etude de cas IDX-PKI GPL – Partie 2] Installation – lien http interne url:[click]

[Etude de cas IDX-PKI GPL – Partie 4] Conclusion – lien http interne url:[click]

Poster un commentaire