Rocky 8环境下FreeIPA过期证书续期受阻：无法安装有效期起始晚于当前时间的LetsEncrypt新证书

这种卡在证书时间差里的问题确实挺闹心的，我给你分享两个经过验证的解决方案，你可以根据自己的情况选一个试试：

方案一：临时调整系统时间绕过验证（相对简单） #

这个思路是先把系统时间调到新证书生效之后，完成安装再改回正常时间，操作步骤如下：

1. 先停掉FreeIPA相关服务，避免时间变更影响运行中的进程：

systemctl stop ipa.service pki-tomcatd.target

2. 手动把系统时间设置到新证书的起始时间之后（比如你新证从7月2日开始，就设成7月3日）：

date -s "2024-07-03 10:00:00"

3. 带着强制参数运行证书安装命令，跳过部分有效性检查：

ipa-server-certinstall --force -w -d /ssl/key.pem /ssl/fullchain.pem

这里的--force参数会强制覆盖现有证书，同时忽略旧证书过期的状态。

4. 启动所有FreeIPA服务：

systemctl start ipa.service pki-tomcatd.target

5. 最后把系统时间改回正常，记得开启NTP同步避免后续时间漂移：

timedatectl set-ntp true

方案二：手动替换证书并更新NSS数据库（适合不想改系统时间的场景） #

如果不想动系统时间，可以手动替换证书文件并更新FreeIPA和PKI服务依赖的NSS数据库：

1. 同样先停掉相关服务：

systemctl stop ipa.service pki-tomcatd.target

2. 替换IPA web服务的证书文件：

# 备份旧证书
cp /var/lib/ipa/certs/httpd.crt /var/lib/ipa/certs/httpd.crt.bak
cp /var/lib/ipa/private/httpd.key /var/lib/ipa/private/httpd.key.bak

# 复制新证书和私钥到对应目录
cp /ssl/fullchain.pem /var/lib/ipa/certs/httpd.crt
cp /ssl/key.pem /var/lib/ipa/private/httpd.key

# 修正文件权限，确保IPA服务能读取
chown ipa:ipa /var/lib/ipa/certs/httpd.crt /var/lib/ipa/private/httpd.key
chmod 600 /var/lib/ipa/private/httpd.key

3. 更新PKI-Tomcat的NSS证书库（这是你之前复制文件后没处理的关键步骤）：
   首先把新证书和私钥转换成PKCS12格式（方便导入NSS数据库）：

openssl pkcs12 -export -in /ssl/fullchain.pem -inkey /ssl/key.pem -out new_server_cert.p12 -name "Server-Cert"
# 执行时会让你设置一个PKCS12密码，记下来后面要用

然后进入PKI-Tomcat的证书库目录，导入新证书：

cd /var/lib/pki/pki-tomcat/alias

# 删除旧的服务器证书（别名默认是Server-Cert）
certutil -d . -D -n "Server-Cert"

# 导入新的PKCS12文件，替换<PKCS12_PASSWORD>为你刚才设置的密码
pk12util -i /path/to/new_server_cert.p12 -d . -W <PKCS12_PASSWORD> -k /etc/pki/pki-tomcat/password.conf

4. 强制更新IPA的证书缓存：

ipa-certupdate --force

5. 启动所有服务并验证状态：

systemctl start ipa.service pki-tomcatd.target
# 验证服务是否正常运行
systemctl status ipa.service pki-tomcatd.target

额外注意事项 #

• 操作前一定要备份旧证书和相关配置文件，避免操作失误导致服务彻底无法启动
• 如果你用方案一，改时间前一定要停掉所有相关服务，否则可能导致Kerberos票据、日志等出现时间异常
• 验证时可以试试ipa user-find命令，如果能正常返回结果，说明IPA命令行工具已经恢复正常；web登录的话，清空浏览器缓存再试试，避免旧证书残留影响

备注：内容来源于stack exchange，提问作者cclloyd