Суб-ЦС Windows server 2012 не работает, потому что отзыв сертификата был в автономном режиме при использовании сертификата корневого ЦС из корневого ЦС Linux / OpenSSL

Мне удалось запустить тестовый промежуточный ЦС. Скорее всего, проблема была в моем файле конфигурации OpenSSL, в частности, в битах CDP и AIA. Но для всех, кто может попытаться достичь чего-то подобного, я опишу, что я сделал, что в итоге сработало.

Вы должны взглянуть на ссылку, предоставленную Crypt32, прежде чем начать, ее можно найти здесь .

Во-первых, для разрешения имен DNS настройте записи A на сервере, на котором запущена служба DNS, которая присоединена к домену, вам потребуются записи как для вспомогательного центра сертификации, так и для сервера IIS. Также убедитесь, что сервер Windows, который будет использоваться в качестве промежуточного ЦС, настроен на использование этого DNS-сервера для разрешения адресов.

В корневом ЦС Linux
• Создайте каталог для хранения вашего ЦС

   mkdir -p ./ca/{certs,private}
  
  chmod 700 ./ca/private
  
  коснитесь index.txt
  
  echo 0001> серийный
  
  echo 0001> crlnumber
   

• Скопируйте этот файл конфигурации, чтобы внести изменения в каталог ca корневого центра сертификации Linux.

   #
   # Файл конфигурации OpenSSL.
   #
  
   # Создать рабочий каталог.
  
  ROOT_CA_FILENAME = rootca #example ca имя файла
  HTTP_HOST = pki.example.local #example URL для CDP
  
  dir =.
  
  default_ca = CA_Default
  
   [CA_Default]
  серийный = $ dir / serial
  база данных = $ dir / index.txt
  new_certs_dir = $ каталог / сертификаты
  crlnumber = $ dir / crlnumber
  default_crl_days = 213
  default_md = sha256
  сохранить = нет
  email_in_dn = нет
  nameopt = default_ca
  certopt = default_ca
  policy = policy_any
  private_key = $ dir / private / $ ROOT_CA_FILENAME.key.pem
  сертификат = $ dir / certs / $ ROOT_CA_FILENAME.cert.pem
  
   # УСТАНОВИТЬ в скрипте: default_days = 7305
  
  
   [policy_any]
  countryName = необязательно
  stateOrProvinceName = необязательно
  localityName = необязательно
  organizationName = необязательно
  organizationUnitName = необязательно
  commonName = поставляется
  emailAddress = необязательно
  
   [req]
   # Опции для инструмента `req` (` man req`).
  default_bits = 4096
  отличительное_имя = req_distinguished_name
  string_mask = utf8only
  
   # SHA-1 устарел, поэтому используйте вместо него SHA-2.
  default_md = sha256
  
   # Расширение, добавляемое при использовании параметра -x509.
  x509_extensions = v3_ca
  
   [req_distinguished_name]
   # Видеть .
  countryName = Название страны (двухбуквенный код)
  stateOrProvinceName = Название штата или провинции
  localityName = Название населенного пункта
  0.organizationName = Название организации
  organizationUnitName = Название организационной единицы
  commonName = Общее имя
  emailAddress = Адрес электронной почты
  
   # При желании укажите некоторые значения по умолчанию.
  countryName_default =
  stateOrProvinceName_default =
  localityName_default =
  0.organizationName_default =
  organizationUnitName_default =
  emailAddress_default =
  
   [v3_ca]
   # Расширения для типичного CA (`man x509v3_config`).
  subjectKeyIdentifier = хэш
  AuthorityKeyIdentifier = keyid: всегда, эмитент
  basicConstraints = критический, CA: true
  keyUsage = critical, digitalSignature, cRLSign, keyCertSign
  
   [v3_intermediate_ca]
   # Расширения для типичного промежуточного CA (`man x509v3_config`).
  subjectKeyIdentifier = хэш
  AuthorityKeyIdentifier = keyid: всегда, эмитент
  basicConstraints = критический, CA: true, pathlen: 0
  keyUsage = critical, digitalSignature, cRLSign, keyCertSign
  crlDistributionPoints = URI: http: //$HTTP_HOST/crldist/$ROOT_CA_FILENAME.crl
  AuthorityInfoAccess = caIssuers; URI: http: //$HTTP_HOST/crldist/$ROOT_CA_FILENAME.crt
  
   [usr_cert]
   # Расширения для клиентских сертификатов (`man x509v3_config`).
  basicConstraints = CA: FALSE
  nsCertType = клиент, электронная почта
  nsComment = "Сертификат клиента, созданный OpenSSL"
  subjectKeyIdentifier = хэш
  AuthorityKeyIdentifier = keyid, эмитент
  keyUsage = critical, nonRepudiation, digitalSignature, keyEncipherment
  extendedKeyUsage = clientAuth, emailProtection
  
   [server_cert]
   # Расширения для сертификатов сервера (`man x509v3_config`).
  basicConstraints = CA: FALSE
  nsCertType = сервер
  nsComment = "Сертификат сервера, созданный OpenSSL"
  subjectKeyIdentifier = хэш
  AuthorityKeyIdentifier = keyid, эмитент: всегда
  keyUsage = critical, digitalSignature, keyEncipherment
  extendedKeyUsage = serverAuth
  
   [crl_ext]
   # Расширение для CRL (`man x509v3_config`).
  AuthorityKeyIdentifier = keyid: всегда
  
   [ocsp]
   # Расширение для сертификатов подписи OCSP (`man ocsp`).
  basicConstraints = CA: FALSE
  subjectKeyIdentifier = хэш
  AuthorityKeyIdentifier = keyid, эмитент
  keyUsage = critical, digitalSignature
  extendedKeyUsage = критическое, OCSPSigning
  
   

• Создать пару ключей

  openssl genrsa -aes256 -out private / rootca.key.pem 4096
  chmod 400 частный / rootca.key.pem
  openssl req -config / путь / к / config \
   -key частный / rootca.key.pem \
   -new -x509 -days 1825 -sha256 -extensions v3_ca \
   -out сертификаты / rootca.cert.pem
  
  Введите парольную фразу для ca.key.pem: secretpassword
  Вас сейчас попросят ввести информацию, которая будет включена
  в ваш запрос на сертификат.
   -----
  Название страны (двухбуквенный код) [XX] :.
  Название штата или провинции [] :.
  Название населенного пункта [] :.
  Название организации []:.
  Название организационной единицы [] :.
  Распространенное имя []:Тестовый корневой центр сертификации
  Адрес электронной почты []:.
  
  chmod 444 сертификатов / rootca.cert.pem
   

На сервере Windows под управлением IIS
• Откройте диспетчер IIS
• Разверните каталог на левой панели и щелкните правой кнопкой мыши «Сайт по умолчанию». Выберите добавить виртуальный каталог
• . В диалоговом окне добавления виртуального каталога в разделе «Псевдоним» введите все, что вы использовали для URL-адресов CDP и AIA, в файле конфигурации OpenSSL выше
• В разделе «Физический путь» введите путь к каталогу. вы собираетесь использовать для регистрации сертификата, нажмите ввод и щелкните ОК
• . Вернувшись в диспетчер IIS, пока ваш новый виртуальный каталог выбран на левой панели, на средней панели выберите просмотр каталога. На панели сведений справа выберите включить
• . Не снимая выделения с виртуального каталога на левой панели, выберите редактор конфигурации
• . В редакторе конфигурации в раскрывающемся меню перейдите к system.webServer \ security \ requestFiltering и установите «Двойное экранирование» на True
• Применить изменения
• Возможно, вам придется изменить разрешения виртуального каталога. Кроме того, теперь вы можете импортировать сертификат rootca в каталог доверенного корневого центра сертификации на локальном компьютере сервера IIS в оснастке сертификатов MMC на сервере IIS

На сервере Windows, который будет использоваться в качестве промежуточного центра сертификации.
• Установите Службы сертификации Active Directory через диспетчер серверов (примечание: что этот компьютер должен быть присоединен к домену)
• Обязательно установите функции управления, выберите ЦС предприятия для службы роли и Подчиненный ЦС для типа ЦС в мастере установки ролей.
• Для настройки закрытого ключа выберите новый закрытый ключ, оставьте MS-RSA выбранным в раскрывающемся меню, для алгоритма хеширования выберите sha256 и установите длину ключа 4096. Это сгенерирует CSR, который будет скопирован в корневой ЦС Linux
• Теперь вы можете импортировать сертификат rootca в оснастку сертификатов mmc

Снова в ЦС Linux
• После копирования CSR в каталог корневого ЦС, созданного ранее, выполните:

   openssl ca -config / path / to / config -extensions v3_intermediate_ca -days 1825 -notext -md sha256 -in ca / ​​"Файл CSR" -out ca / ​​certs / subca.cer 

• Теперь у вас есть подписанный промежуточный сертификат CA в каталоге ca / ​​certs, который можно скопировать в подчиненный CA Windows
• Перед установкой сертификата subca в ADCS сгенерируйте CRL с помощью следующей команды:

   openssl ca -gencrl -out rootca.crl.pem -config /  путь / к / config 

  и скопируйте сгенерированный сертификат crl и root в виртуальный каталог, который был создан на сервере IIS ранее [121 77] Вернитесь на промежуточный сервер Windows
• . Убедитесь, что полное доменное имя сервера IIS разрешается из промежуточного центра сертификации. Введите URL-адрес, используемый для CDP, в файле конфигурации выше, если вы использовали примеры CA_FILENAME и HTTP_HOST в файле конфигурации. вы должны ввести http: //pki.example.local/crldist/rootca.crl в адресную строку браузера, и вам будет предложено загрузить или открыть файл crl. Если вы получаете ошибку 404, проверьте права доступа к виртуальному каталогу, используемому для CDP, и если вы получите ошибку 401, проверьте, какие настройки аутентификации установлены для сервера IIS
• Откройте приложение «Центр сертификации» из диспетчера серверов и вправо щелкните вложенный файл на левой панели, выберите "Импорт"
• . Найдите расположение файла subca.cer, который вы скопировали из корневого центра сертификации Linux. Нажмите ОК

Ваш промежуточный ЦС Windows должен быть запущен и работать.

Источники