From ff09d59a6bbaa547f4b527d35b6126b510b048fa Mon Sep 17 00:00:00 2001
From: Lucien Gentis
-Le fichier spécifié est la simple concaténation des différents fichiers
-de certificats codés en PEM, classés par ordre de préférence. Cette
-directive s'utilise à la place ou en complément de la directive
-SSLProxyMachineCertificatePath
.
+Le fichier spécifié est la simple concaténation des différents fichiers de
+certificats codés en PEM. Cette directive s'utilise à la place ou en complément
+de la directive SSLProxyMachineCertificatePath
. Le fichier spécifié
+peut contenir un nombre quelconque de paires certificat client/clé privée
+associée, et chaque paire peut être spécifiée selon l'ordre (certificat, clé) ou
+(clé, certificat).
Lorsqu'un serveur distant sollicite le serveur pour obtenir un certificat
+client, ce dernier doit fournir une liste de noms d'autorités de
+certification acceptables au cours de la négociation. Si cette liste n'est
+pas fournie, mod_ssl
utilisera la première paire certificat/clé
+client définie. Si par contre cette liste est fournie,
+mod_ssl
va la parcourir afin de trouver un certificat client
+défini qui a été fourni soit directement par l'autorité de certification
+considérée, soit indirectement via un nombre quelconque de certificats d'autorités de
+certification intermédiaires. La chaîne de certificats d'autorités de
+certification intermédiaires peut être construite à partir de ceux configurés
+via la directive SSLProxyMachineCertificateChainFile
. Le premier
+certificat défini correspondant sera alors fourni comme réponse au cours de la
+négociation
Si la liste de noms de CA est fournie au serveur distant, et si
+aucun certificat client correspondant n'est trouvé, aucun certificat
+client ne sera fourni par mod_ssl
, ce qui fera probablement
+échouer la négociation SSL/TLS (en fonction de la configuration du serveur
+distant).
Actuellement, les clés privées chiffrées ne sont pas supportées.
Cette directive permet de définir le répertoire où sont stockés les clés -et certificats permettant au serveur mandataire de s'authentifier auprès +et certificats clients permettant au serveur mandataire de s'authentifier auprès des serveurs distants.
mod_ssl va essayer de charger tous les fichiers contenus dans le répertoire -spécifié, mais en ignorera les éventuels sous-répertoires. Chaque fichier doit -contenir un certificat codé au format PEM ainsi que la clé privée -correspondante.
+spécifié, comme si ces derniers étaient définis individuellement via la +directiveSSLProxyMachineCertificateFile
.
Actuellement, les clés privées chiffrées ne sont pas supportées.