SAN-Zertifikate anfordern und erstellen

Transkript

1 SAN-Zertifikate anfordern und erstellen Variante 1: über die Weboberfläche der internen Windows-CA: Erster Schritt CA pimpen (für Windows 2003 Pflicht, bei Windows 2008 sollten SAN-Zertifikate von Haus aus ausgestellt werden können): CA wurde gepimpt:

2 Zertifikatsdienste neu starten: Auf der Weboberfläche das Formular ausfüllen (hier wird eine Kopie des Webserver -Templates verwendet, wo der private Schlüssel exportierbar ist):

3 Wichtig ist hier die Eingabe der zusätzlichen Optionen. Unter Attribute werden die benötigten SAN- Namen eingetragen. Syntax hierfür ist (die einzelnen Namen werden mit & addiert): san:dns=rdg.forefront-tmg.lokal&dns=rdg.forefront-tmg.de Zertifikatsanfrage einsenden, Zertifikat installieren und bewundern:

4 Alternative Namen anwesend: Variante 2: über die MMC mit Zertifikats-Snapin: Seit Windows Vista aufwärts kann eine Zertifikatsanfrage auch über die MMC mit Zertifikate-Snap-In abgesetzt werden. Unter Alle Aufgaben kann mit Neues Zertifikat anfordern eine passender Request erstellt werden.

5 Die Vorlage Webserver erscheint erst, wenn die Berechtigungsstrukturen für diese Zertifikatsvorlage eingestellt wurde (Die Vorlage Web2 ist eine von mir erstellte Kopie für die Weboberfläche der CA, mit aktivierter Exportmöglichkeit des privaten Schlüssels):

6 Allgemeinen Namen (CN) und die alternativen DNS-Namen eintragen:

7 Noch den Anzeigenamen und eine optionale Beschreibung:

8 Den privaten Schlüssel als exportierbar machen tun. Auf der Weboberfläche ist für die Webserver - Standardvorlage der Export des privaten Schlüssels unter einer W2K8-R2-CA leider nicht mehr einstellbar (siehe dazu auch hier: Der private Schlüssel ist mit dieser Variante allerdings trotz gleicher Zertifikatsvorlage (Webserver) exportierbar, da die Zertifikatsanfrage lokal durchgeführt und somit der private Schlüssel bereits lokal vorhanden/abgespeichert ist. Ergo wird der private Schlüssel nicht von der CA geliefert, wie es via Weboberfläche der CA der Fall wäre. Detaillierte Infos dazu hier:

9 Zertifikat wird erfolgreich ausgestellt:

10 Diesmal sogar ein SAN mit Beschreibung :

11 Variante 3: über die Exchange-MMC: Im 2010ner Exchange kann man SAN-Zertifikate für die Verwendung mit OWA, EAS und OA/Autodiscover auch über die GUI anfordern. Unter Serverkonfiguration wählt man im Aktionen- Bereich Neues Exchange-Zertifikat aus und los geht der Spaß. Zuerst wieder den Anzeigenamen angeben (CN):

12 Die Exchange-Webclient-Varianten auswählen und die passenden FQDNs für die internen, sowie externen Zugriffe angeben:

13 Die Reihenfolge der Eingabe ist zu beachten. Für ein zukünftiges Publishing via ISA/TMG sollte der interne FQDN zuerst auftauchen. In diesem Testszenario wäre das folgende Reihenfolge: mailserver.forefront-tmg.lokal - interner FQDN mailserver - interner NetBIOS-Name autodiscover.forefront-tmg.lokal - interner FQDN webmail.forefront-tmg.de - externer FQDN autodiscover.forefront-tmg.de - externer FQDN

14 Passende Infos eingeben:

15 Ein beherzter Klick auf Neu stellt die Anfrage fertig:

16 Voilà der Assistent hat die Zertifikatsanfrage in Form einer.req-datei abgespeichert:

17 Der Inhalt der Datei oder die Datei selber wird einer CA übergeben hier einer domänenintegrierten Windows-CA unter W2K8-R2. Nicht vergessen die richtige Zertifikatsvorlage auszuwählen!

18 Das Zertifikat wurde ausgestellt, downgeloadet und nun wird in der Exchange-GUI die Anforderung abgeschlossen:

19 Habe fertig:

20 Ein neues (SAN-)Zertifikat im Zertifikatsspeicher mit passenden alternativen DNS-Namen:

21 Und mit obskurem Antragsteller: Wichtig: Zur vollständigen Funktionalität muss dieses Zertifikat in der Exchange-Verwaltungskonsole noch den passenden Exchange Diensten (IIS etc.) zugeordnet werden.

22 Variante 5: über die Exchange Management Shell (EMS) aka Power-Hell [sic!]: Seit Exchange 2007 kann eine Zertifikatsanfrage und später der passende Import über die EMS gesteuert werden. Um den Zertifikatsrequest zu vereinfachen kann die Website von Digicert verwendet werden. Für Exchange 2007:

23 Für Exchange 2010:

24 Die Anfrage wird dann in der EMS abgesetzt: Daraufhin wird eine passende Zertifikatsanforderungsdatei erstellt:

25 Diese wird wie vorher auch an eine CA übermittelt: Downloaden:

26 Dann noch der Import via EMS (ginge natürlich auch mit der GUI, aber wozu einfach wenn s auch kompliziert geht). In dem folgenden Bild sieht man zuerst die Syntax für Exchange 2007 (hier fehlgeschlagen) und dann für Exchange 2010 (erfolgreich): Import korrekt und Zertifikat sichtbar in der Exchange-Verwaltungskonsole:

27 So schaut s aus (digicert.test.com ist nur ein Dummy-Eintrag):