ldap.uio.no bytter sertifikat og CA-sertifikat

Tjenester som bruker LDAP med TLS kan trenge å installere CA-sertifikatet. De fleste trenger ikke, siden kjente rotsertifikater gjerne er installert allerede.

Veldig gamle OpenLDAP/OpenSSL-pakker i Store (/local) på RHEL5 takler ikke de nye sertifikatene. Noen pakker vil fjernes. Se under.

Uansett, hvis sertifikatene ikke virker som de er, så man trenger å installere det nye:

Det nye CA-sertifikatet (DigiCertCA.crt) er vedlagt i PEM-format og kan installeres om nødvendig, *etter* å ha sjekket at det er gyldig. Sjekkes slik:

Linux: openssl verify DigiCertCA.crt
Windows: certutil -f -urlfetch -verify C:\temp\DigiCertCA.crt

CA-sertifikatet heter "C=NL, ST=Noord-Holland, L=Amsterdam, O=TERENA, CN=TERENA SSL CA 3" og er vedlagt. Det kan sjekkes mot rot-sertifikatet "C=US, O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Assured ID Root CA" som forhåpentligvis er installert allerede.

Meldinger om sertifikat-bytte og annet sendes i forkant til ldap-varsel@usit.uio.no, som hvem som helst kan melde seg på. For å gi en tjeneste beskjed er det lurt å melde på dens mailingliste i stedet for personer.

Gamle OpenLDAP/OpenSSL-pakker i Store (/local) @ RHEL5:

Programmer som bruker veldig gamle OpenSSL-versjoner takler ikke de nye sertifikatene. Det gjaldt bl.a. pakken "openldap-2.3" i Store (/local/) på RHEL 5, som nå er tømt. Pakkene "openldap" og "openldap-compat" vil kanskje lide samme skjebne.

Oppgrader til RHEL 7 eller 6 (RHEL 5 ved UiO legges snart ned), eller bruk OpenLDAP-versjonen /usr i stedet, eller pakke "openldap-2.4" fra Store (/local), eller kontakt katalog-drift@usit.uio.no hvis ingen av delene er aktuelt.

Publisert 8. mars 2016 13:23 - Sist endret 10. mars 2016 14:17