<div dir="ltr"><div><div>Ok, I will try out the "2.3.6. Installing Without a CA", and keep you posted. <br></div>BTW, I noticed that the key needs to be encrypted, is that true? <br></div>Thanks!<br><div><div><div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Sep 29, 2016 at 5:25 AM, Florence Blanc-Renaud <span dir="ltr"><<a target="_blank" href="mailto:flo@redhat.com">flo@redhat.com</a>></span> wrote:<br><blockquote style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex" class="gmail_quote">Hi,<br>
<br>
The instructions that you followed are used when you want to install FreeIPA with an embedded Certificate Authority (ie FreeIPA is able to issue certificates), and FreeIPA CA is signed by a 3rd party CA.<br>
<br>
Maybe your goal is just to use a 3rd party certificate for IPA's LDAP server and Web UI. In this case, you do not need to install FreeIPA with an embedded CA. You can follow the instructions for Installing without a CA [1], where you will need to provide a 3rd-part certificate.<br>
<br>
Hope this clarifies,<br>
Flo.<br>
<br>
[1] <a target="_blank" rel="noreferrer" href="https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Linux_Domain_Identity_Authentication_and_Policy_Guide/install-server.html#install-server-without-ca">https://access.redhat.com/docu<wbr>mentation/en-US/Red_Hat_Enterp<wbr>rise_Linux/7/html/Linux_Domain<wbr>_Identity_Authentication_and_<wbr>Policy_Guide/install-server.<wbr>html#install-server-without-ca</a><div class="gmail-HOEnZb"><div class="gmail-h5"><br>
<br>
<br>
On 09/29/2016 11:03 AM, beeth beeth wrote:<br>
<blockquote style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex" class="gmail_quote">
I am trying to set up IPA servers with Verisign certificate, so that the<br>
Admin Web console can use public signed certificate to meet company's<br>
security requirement. But when I try to follow Red Hat's instructions at<br>
<a target="_blank" rel="noreferrer" href="https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Linux_Domain_Identity_Authentication_and_Policy_Guide/install-server.html#install-server-external-ca">https://access.redhat.com/docu<wbr>mentation/en-US/Red_Hat_Enterp<wbr>rise_Linux/7/html/Linux_Domain<wbr>_Identity_Authentication_and_<wbr>Policy_Guide/install-server.<wbr>html#install-server-external-<wbr>ca</a>,<br>
<br>
2.3.5. Installing a Server with an External CA as the Root CA,<br>
at the first step it says to generate CSR by adding the --external-ca<br>
option to the ipa-server-install utility, which does generate a CRS at<br>
/root/ipa.csr. However, the ipa-server-install command in fact doesn't<br>
ask for Distinguished Name (DN) or the organization info(like country,<br>
state, etc.), which are required in the CSR. Without a valid CSR file, I<br>
can't request for new Verisign certs. Did I miss something?<br>
<br>
Originally I once tried to change the default certificate for Apache(the<br>
Web Admin console) ONLY to the Verisign one, by adding the certificates<br>
to the /etc/httpd/alias database with the command:<br>
  # ipa-server-certinstall -w --http_pin=test verisign.pk12<br>
And updated the nss.conf for httpd, so that the new Nickname is used to<br>
point to the Verisign certs. That worked well for the website. However,<br>
the IPA client installation failed after that for the "ipa-client-install":<br>
<br>
ERROR Joining realm failed: libcurl failed to execute the HTTP POST<br>
transaction, explaining:  Peer's certificate issuer has been marked as<br>
not trusted by the user.<br>
<br>
Even I tried to also update the certificate for the Directory<br>
service(ipa-server-certinstall -d ... ), the client installation still<br>
failed. I believe the new Verisign cert messed up the communication of<br>
the IPA components. Then I am thinking to install the IPA server from<br>
scratch with the Verisign cert, but then I hit the CSR problem described<br>
above.<br>
<br>
Please advise. Thanks!<br>
<br>
<br>
</blockquote>
<br>
</div></div></blockquote></div><br></div></div></div></div></div>