Как выпустить сертификат для устройства через центр сертификации windows?

Question

[LAG_LAGbI4]

Есть AD, центр сертификации. Есть точка доступа zyxel, которая поддерживает работу через https. Как сделать сертификат для этой точки заверенный центром сертификации?

Answer 1

[CityCat4]

Сначала нужно определиться, какой шаблон сертификата будете использовать. По умолчанию их немного, возможно пригодится шаблон Web Server

1. Создать запрос на сертификат (CSR). Если сам зухель не позволяет это сделать, используйте сторонний софт, УЦ винды позволяет создать CSR на очень узкий ранг обьектов. CSR можно сгенерить через openssl, который работает в том числе и в винде. Есть и виндовые гуевые генераторы, например Crypto4PKI.
2. Полученный запрос - а это текстовый файл - передать в виндовый УЦ. Как передать? Я обычно захожу на веб-морду УЦ, выбираю. пункт Request certificate, потом Advanced certificate request, в окно формы вставляю текст CSR, ниже выбираю шаблон.
3. Открыть оснастку сертификатов и загрузить полученный сертификат или же скачать его через веб-морду. Сертификат на устройство обычно не требует подтверждения администратора УЦ.

Дальше зависит от того, что принимает зухель. Если отдельно сертификат и ключ - даете ему сертификат и ключ. Если PKCS#12, то через тот же Crypto4PKI или openssl пакуете сертификат, ключ и сертификат Вашего УЦ в PKCS#12 и даете зухелю.

Comments

[LAG_LAGbI4]

Получилось сделать запрос на сертификат, но СЦ недоволен, что сертификат сделан не по шаблону. Как бы в zyxel шаблон запихать7

[CityCat4]

LAG_LAGbI4: Никак. Используйте другой шаблон. Для устройств из стандартных шаблонов подходит WebServer, хотя я всегда пилю свои шаблоны. В собственном-то AD можно хоть что с шаблонами творить.

[LAG_LAGbI4]

CityCat4: что значит использовать другие шаблоны? Я честно вообще не понимаю, что такое шаблон сертификата. Гугл какую-то чушь выдаёт на запросы шаблон сертификата.
Как я понимаю при генерации сертификата должна быть возможность скормить тому, кто генерирует шаблон. Центр сертификации виндоус хорошо работает с виндовыми машинами. Но при генерации устройствами даже нет такой функции, как подвставить сертификат.
В программе Crypto 4 pki есть возможность использовать шаблон в виде файла cgp, но я так и не понял как из цс вытащить этот шаблон. у меня какая-то каша в голове и я не понимаю как её ликвидировать. Пни меня пожалуйста в какую-нибудь умную книжку. Всё что я читал, либо про сферический pki в вакууме, либо про работу цс c windows машинами.

[CityCat4]

LAG_LAGbI4: Это потому что в виндовом УЦ все через ... спину. Шаблон сертификата - это та часть настроек, которая будет в него безусловно вписана. В openssl она задается в openssl.cnf и там можно прописывать хоть какие настройки - вся ответственность за правильность этих настроек лежит на тебе. Можно ничего не писать. В винде есть некий предустановленный набор шаблонов, в которых задано - если ты хочешь сертфиикат юзера - у тебя там будут такие-то поля, если сертификат устройства - такие-то поля, если хочешь собственный шаблон - ну скопируй стандартный и поправь его (правда править можно всего да ничего). Виндовый центр сертификации работает со всем, что не винда только через веб-морду :) Книжек кстати я толковых не знаю. Я сам писал книжку по защите сетей, но там про сертификаты исключительно на openssl, потому что виндовый УЦ я всерьез как УЦ не рассматриваю.

[LAG_LAGbI4]

CityCat4: т.е. получается, что что надо поднимать сторонний центр сертификации, если планируются устройства кроме виндовых? А как лучше сделать в домене. Кого сделать рутом: сторонний или виндовый ЦС. Я так понимаю, что для компов виндовый ЦС лучше будет.

[CityCat4]

LAG_LAGbI4: Нет, можно обойтись и виндовым, нужно только шаблонов наделать нужных. В моем случае как выглядит процесс выпуска сертификата, скажем на Linux-сервер:
- В УЦ _заранее_ формирутся нужные шаблоны
- На сервере генерится CSR (на том, на который нужен сертификат или на другом - неважно, нужен только openssl)
- CSR передается на УЦ простым копипастом через вебморду УЦ
- УЦ выпускает сертификат на сервер
- Сертификат копируется на нужный сервер, ключ, если CSR делался в другом месте, тоже копируется

Если использовать виндовый УЦ, для не-виндовых устройств нужно множество ручных действий. Может, кто и автоматизировал это, я не знаю. Использование не-виндового УЦ позволяет значительно сократить затраты времени на выпуск сертфиикатов, особенно если планируется их выпускать часто и на большое количество.

Если делать два УЦ, я бы сделал рутом виндовый - пусть в нем барахтаются виндовые компы и идет автоматический выпуск сертификатов на AD и прочее. А сторонний сделал бы промежуточным.

[LAG_LAGbI4]

CityCat4: спасибо за уделённое мне время