Создание настраиваемого (самозаверяющего) сертификата SSL
Создание самозаверяющего сертификата с помощью Windows PowerShell
Создайте пользовательский сертификат SSL и импортируйте его в основные хранилища Windows Server 2012 R2.
1.Откройте окно PowerShell.
2.Выполните следующую команду:
a.$customcertificate = New-SelfSignedCertificate -DnsName "<FQDN>" -CertStoreLocation "cert:\localmachine\my"
В вышеприведенной команде замените <FQDN> соответствующей версией имени субъекта, отображаемого в ESA Web Console в разделе Components > Invitations > Server access (Компоненты > Приглашения > Доступ к серверу).
Если вы определили несколько имен DNS, например:
-DnsName "my.esa.installation.com", "my.authentication.server", "twofactor.auth"
Первая запись (my.esa.installation.com в примере выше) будет использована в поле Subject (Субъект), а последующие записи будут использоваться в поле Subject Alternative Name (Альтернативное имя субъекта) сертификата.
b.$exportpassword = ConvertTo-SecureString -String '<password>' -Force -AsPlainText
В приведенной выше команде замените <password> своим паролем.
c.$certPath = 'cert:\localMachine\my\' + $customcertificate.thumbprint
d.Export-PfxCertificate -cert $certPath -FilePath $env:USERPROFILE\Desktop\ESAcustomCertificate.pfx -Password $exportpassword
Последняя команда помещает сертификат ESAcustomCertificate.pfx на рабочий стол.
3. Чтобы открыть диалоговое окно Выполнить, нажмите сочетание клавиш Windows+R.
4.Добавьте оснастку сертификатов:
a.Введите «mmc» и нажмите Enter (Войти).
b.Последовательно щелкните Файл -> Добавить или удалить оснастку.
c.Выберите Сертификаты > Добавить.
d.Выберите Computer Account (Учетная запись компьютера), нажмите кнопку Next (Далее), а затем кнопку Finish (Готово). Нажмите кнопку ОК, чтобы закрыть окно Добавить или удалить оснастку.
5.Импорт соответствующего сертификата:
a.В области слева на консоли MMC разверните раздел Certificates (Local Computer) > Personal (Сертификаты (локальный компьютер) > Персональные), а затем правой кнопкой мыши щелкните Certificates (Сертификаты).
b.Выберите Все задачи > Импорт.
c.В окне мастера импорта нажмите кнопку Далее, затем кнопку Обзор, а после этого в поле со списком расширений файлов выберите пункт «Файлы обмена личной информацией (*.pfx, *.p12)», найдите экспортированный файл сертификата, щелкните Открыть, а затем нажмите кнопку Далее.
d.Введите пароль, используемый во второй команде выше, и нажмите кнопку Далее.
e.Выберите Поместить все сертификаты в следующее хранилище и введите «Персональный» в качестве названия магазина. Нажмите Далее, а затем — Готово.
6.В области слева на консоли MMC разверните раздел Сертификаты (локальный компьютер) > Доверенные корневые центры сертификации, а затем правой кнопкой мыши щелкните Сертификаты.
7.Выберите Все задачи > Импорт и повторно выполните шаги 6а–6с.
8.Дважды щелкните сертификат в разделе Certificates (Local Computer) > Personal > Certificates (Сертификаты (локальный компьютер) > Персональные > Сертификаты) и убедитесь, что отображается строка You have a private key that corresponds to this certificate (У вас есть закрытый ключ, соответствующий этому сертификату).
Если необходим CRT- и KEY-файл вместо PFX-файла, преобразуйте PFX-файл в CRT- и KEY-файл с помощью OpenSSL или другого предпочтительного способа.
Преобразование PFX в CRT и KEY с помощью OpenSSL
Проверьте, установлена ли лицензия OpenSSL для Windows, и выполните приведенные ниже команды.
openssl pkcs12 -in D:\ESAcustomCertificate.pfx -clcerts -nokeys -out D:\ESAcustomCertificate.crt |
Когда отобразится запрос Введите пароль импорта, введите пароль, указанный в команде Export-PfxCertificate при создании сертификата с помощью Windows PowerShell.
openssl pkcs12 -in D:\ESAcustomCertificate.pfx -nocerts -out D:\ESAcustomCertificate_encrypted.key |
В поле Введите пароль PEM задайте новый пароль длиной не менее 4 символов.
openssl rsa -in D:\ESAcustomCertificate_encrypted.key -out D:\ESAcustomCertificate.key |
В ответ на запрос введите тот же пароль, который определен в поле Введите пароль PEM.
Создание самозаверяющего сертификата с помощью OpenSSL
Убедитесь, что лицензия OpenSSL для Windows установлена.
Создать файл конфигурации
Чтобы избежать появления предупреждения «Недопустимый сертификат» файл ESAcustomCertificate.conf должен содержать список альтернативных имен DNS для доступа к серверу аутентификации. С помощью указанной выше команды будут созданы файлы newKey.rsa и newCertificate.crt.
Образец содержимого файла ESAcustomCertificate.conf:
[ req ] default_bits = 4096 distinguished_name = req_distinguished_name req_extensions = req_ext x509_extensions = x509_ext
[ req_distinguished_name ] countryName = Country Name (2 letter code) countryName_default = SK stateOrProvinceName = State or Province Name (full name) stateOrProvinceName_default = Slovakia localityName = Locality Name (eg, city) localityName_default = Bratislava organizationName = Organization Name (eg, company) organizationName_default = My company running ESA commonName = Common Name (e.g. server FQDN) commonName_default = my.esa.installation.com
[ req_ext ] subjectAltName = @alternative_names
[ x509_ext ] subjectAltName = @alternative_names
[alternative_names] DNS.1 = my.esa.installation.com DNS.2 = my.authentication.server DNS.3 = twofactor.auth DNS.4 = 192.168.0.1 IP.1 = 192.168.0.1 |
Создайте сертификат и ключ OpenSSL с помощью командной строки Windows.
openssl req -config D:\ESAcustomCertificate.conf -new -x509 -sha256 -newkey rsa:2048 -nodes -keyout D:\ESAcustomCertificate.key -days 365 -out D:\ESAcustomCertificate.crt |
Если в commonName предварительно правильно сконфигурирован в файле конфигурации, нажмите клавишу ВВОД, когда отобразится запрос CommonName.