paedml Windows Zertifikate in der paedml

Transkript

1 paedml Windows Zertifikate in der paedml Stand:

2 Impressum Herausgeber Zentrale Konzeptionsgruppe Netze (ZKN) an der Landesakademie für Fortbildung und Personalentwicklung an Schulen Autoren Adrian Koch Endredaktion Adrian Koch Weitere Informationen Veröffentlicht: 2013 Lizenz: CC-BY-NC-SA

3 Inhaltsverzeichnis 1. Zertifikate in der paedml Einführung Anmeldung bei StartSSL Zugangszertifikat sichern Erstellung einer Zertifikatsanforderung Zertifikat bei StartSSL anfordern Signiertes Zertifikat importieren Zwischenzertifikat importieren Zertifikat im ISA austauschen Zertifikat testen Wichtige Links...19

4 1. Zertifikate in der paedml 1.1. Einführung Beim externen Web-Zugang über https auf die Schule kommt es bisher immer zu einer störenden Sicherheitswarnung, da kein offizielles Zertifikat verwendet wurde. Diese Sicherheitswarnung muss vom Anwender umständlich bestätigt werden, damit dieser überhaupt zugreifen kann. Außerdem sind die Anwender verunsichertet, warum sie überhaupt diese Sicherheitswarnung ignorieren sollen. Mit einem offiziellen Zertifikat kann diese Meldung vermieden werden. In dieser Anleitung möchten wir ein kostenloses Zertifikat beim Anbieter StartCom (StartSSL) beantragen und dieses in die paedml einbinden. Das Zertifikat von StartSSL hat eine Gültigkeit von einem Jahr und dieses kann jederzeit kostenlos verlängert werden. Bei der nachfolgenden Beschreibung gehe ich davon aus, dass der externe webasierte Zugriff bereits über die Anleitung auf dem LFB-Server eingerichtet wurde ( und nur noch das bisherige Zertifikat mit einem offiziellen Zertifikat ausgetauscht werden muss Anmeldung bei StartSSL 1. Melden Sie sich an einem Client an (z. B. Pc1 in der Schulungsumgebung) 2. Starten Sie den Firefox-Browser. 3. Gehen Sie auf die Internetseite 4. Klicken Sie links oben auf das Symbol Sign-up. 1-4

5 Kapitel 1 5. Geben Sie Ihre Schuldaten ein und klicken Sie dann auf Continue. 6. Bestätigen Sie nochmals mit OK, dass Ihre Daten korrekt sind. 7. Anschließend wird Ihren eine mit einem Verifizierungscode zugesendet, den Sie in das Textfeld eintragen sollen. Achtung: Bei mir ist die im SPAM-Ordner gelandet und deshalb sollten Sie dort nachsehen, falls die nicht ankommt. Klicken Sie dann auf Continue. 8. Klicken Sie auf Continue. 9. Mit Install wird nun ein Zugangszertifikat im Browser installiert, mit dem zukünftig ohne Benutzername und Kennwort auf das Benutzerkonto bei StartSSL zuge 1-5

6 griffen werden kann. 10. Bestätigen Sie mit OK. 11. Klicken Sie auf Finish, um den Vorgang abzuschließen. 12. Melden Sie sich nun mit von der Verwaltungsoberfläche mit dem Türsymbol rechts oben ab Zugangszertifikat sichern Der Zugang zu Ihrem Benutzerkonto bei StartSSL erfolgt nicht über einen Benutzername und ein Kennwort, sondern ausschließlich über das gerade angelegt Zertifikat im Browser. Dieses sollten Sie an einem sicheren Ort speichern. 1. Klicken Sie hierzu im Firefox-Browser auf Extras Einstellungen. 1-6

7 Kapitel 1 2. Klicken Sie dann auf Erweitert Verschlüsselung Zertifikate anzeigen. 3. Wählen Sie das Zertifikat aus und klicken Sie auf Sichern

8 4. Speichern Sie das Zertifikat z. B. unter dem Namen Zugangszertifikat. 5. Wählen Sie ein Zertifikats-Backup-Passwort und bestätigen Sie mit OK. 6. Bestätigen Sie mit OK. 1-8

9 Kapitel Erstellung einer Zertifikatsanforderung 1. Melden Sie sich am Server an, wo auch der ISA-Server installiert ist (Ein-Serverlösung = S1, Zwei-Serverlösung = S2 und Drei-Serverlösung = S3). 2. Erstellen Sie die folgende Textdatei und passen Sie diese entsprechend ihrer Schule an. Der Eintrag CN gibt die Adresse an, über den der Server von extern erreichbar ist. [NewRequest] Subject = "CN=server.schule-xy.de, OU=paedML, O=Schulname, L=Ort, S=BW, C=DE" Exportable = TRUE KeyLength=2048 KeySpec = 1 MachineKeySet = TRUE 3. Speichern Sie diese unter dem Namen anforderung.inf auf dem Laufwerk d: ab. 4. Geben Sie in der Eingabeaufforderung die folgende Zeile ein, um die Anforderungsdatei anforderung.txt zu erstellen: certreq -new d:\anforderung.inf d:\anforderung.txt 1.5. Zertifikat bei StartSSL anfordern 1. Melden Sie sich an einem Client an (z. B. Pc1 in der Schulungsumgebung) 2. Starten Sie den Firefox-Browser. 3. Gehen Sie auf die Internetseite 4. Klicken Sie rechts oben auf das Login-Symbol. 1-9

10 5. Statt eines Benutzernamens und eines Kennworts wird das vorher erstellte Zugangssertifikat verwendet. 6. Nach der Anmeldung klicken Sie auf Validations Wizard. Hier wird überprüft, ob Sie wirklich der Besitzer der Domäne sind. 7. Wählen Sie als Type: Domain Name Validation aus und klicken Sie auf Continue. 8. Geben Sie nun Ihre Domäne an, die überprüft werden soll und klicken Sie auf Continue. 1-10

11 Kapitel 1 9. Anschließend wird per überprüft, ob man wirklich der Besitzer der Domäne ist. Achtung: In der paedml Windows gibt es keinen Benutzer mit dem Namen Postmaster. Deshalb muss man erst über die Schulkonsole diesen Benutzer anlegen, damit dieser unter der Adresse die Bestätigungs- empfangen kann. 10. Geben Sie nun den Verifizierungscode ein, der an den Postmaster hier Domäne gesendet wurde und klicken Sie auf Continue. 11. Nun wird eine Meldung angezeigt, das die Überprüfung erfolgreich war. Klicken Sie anschließend auf Finish. 12. Weiter geht es mit dem Zertifikats-Assistenten. Klicken Sie hierzu auf Certificates Wizard und wählen Sie als Certificate Target: Web Server SSL... aus und bestätigen Sie mit Continue. 1-11

12 13. Klicken Sie auf Skip, da wir eine Zertifikatsanforderung bereits erstellt haben. 14. Kopieren Sie nun den Inhalt aus der Anforderungsdatei anforderung.txt in das Fenster und klicken Sie auf Continue. 15. Klicken Sie auf Continue. 1-12

13 Kapitel Klicken Sie auf Continue. 17. Hier muss eine Subdomäne angegeben werden. Ich habe hier einfach den Servernamen angegeben. Klicken Sie dann auf Continue. 18. Klicken Sie auf Continue. 19. Kopieren Sie den Inhalt aus dem Textfenster in eine Datei und speichern Sie diese unter dem Namen ssl.crt ab. Klicken Sie anschließend auf Finish. 1-13

14 20. Melden Sie sich von der Verwaltungsoberfläche mit dem Türsymbol rechts oben ab Signiertes Zertifikat importieren Das Zertifikat mit dem Namen ssl.crt aus dem letzten Kapitel muss nun im Server importiert werden. 1. Melden Sie sich am Server an, wo auch der ISA-Server installiert ist (Ein-Serverlösung = S1, Zwei-Serverlösung = S2 und Drei-Serverlösung = S3). 2. Kopieren Sie die Datei ssl.crt auf das Laufwerk d: 3. Geben Sie in der Eingabeaufforderung die folgende Zeile ein, um das Zertifikat zu installieren: certreq -accept d:\ssl.crt 1.7. Zwischenzertifikat importieren Die meisten Zertifizierungsstellen stellen ihre Zertfikate aus Kostengründen nicht unter einem Root-Zertikat, sondern unter einem Zwischenzertifikat aus. Dieses muss in die Zertifikatsverwaltung am ISA-Server installiert werden. 1. Melden Sie sich am Server an, wo auch der ISA-Server installiert ist (Ein-Serverlösung = S1, Zwei-Serverlösung = S2 und Drei-Serverlösung = S3). 2. Laden Sie das Zwischenzertifikat von StartSSL von der Adresse: herunter und speichern Sie dieses auf dem Laufwerk d: 3. Starten Sie die Management-Konsole Zertifikate.msc, die dieser Beschreibung beiliegt. 4. Klicken Sie in der Struktur Zertifikate Vertrauenswürdige Stammzertifizierungsstellen mit der rechten Maustaste auf Zertifikate und wählen Sie Alle Aufgaben 1-14

15 Kapitel 1 Importieren... aus. 5. Klicken Sie auf Weiter. 1-15

16 6. Wählen Sie mit Durchsuchen... das Zwischenzertifikat aus und klicken Sie dann auf Weiter. 7. Klicken Sie auf Weiter. 1-16

17 Kapitel 1 8. Klicken Sie auf Fertig stellen. 9. Das Zwischenzertifikat befindet sich nun im Zertifikatspeicher Zertifikat im ISA austauschen 1. Melden Sie sich am Server an, wo auch der ISA-Server installiert ist (Ein-Serverlösung = S1, Zwei-Serverlösung = S2 und Drei-Serverlösung = S3). 2. Starten Sie die ISA-Verwaltung. 3. Klicken Sie auf Toolbox Netzwerkobjekte Weblistener und klicken Sie mit der rechten Maustaste auf Ihren Weblistener (hier SSL auf externe IP) und wählen Sie 1-17

18 Eigenschaften aus. 4. Wählen Sie die Registerkarte Zertifikate aus und klicken Sie dann auf Zertifikat auswählen

19 Kapitel 1 5. Wählen Sie das neue Zertifikat aus und bestätigen Sie mit Auswählen. 6. Abschließend müssen mit Übernehmen die Änderungen speichern Zertifikat testen Testen Sie nun von extern, ob Sie sich ohne Sicherheitswarnung auf Ihren Server zugreifen können. Beim Firefox-Browser wird der sichere Zugang über ein Schloss vor der URL angezeigt. Klicken Sie auf das Schlosssymbol, um weitere Infos zu erhalten. 1-19

20 1.10. Wichtige Links Anleitung StartSSL How to Install StartSSL Sample Certificate Requests How to create a Certificate Request (CSR) and issue certificate using certreq.exe