ESET PROTECT On-Prem

Offline | Onlinemodus

ESET PROTECT On-Prem – Inhaltsverzeichnis

# Benutzerdefinierte Zertifikate mit ESET PROTECT On-Prem

URL des aktuellen Artikels kopieren Per E-Mail teilen

Wenn Sie eine eigene PKI (Public Key-Infrastruktur) verwenden und ESET PROTECT On-Prem Ihre benutzerdefinierten Zertifikate für die Kommunikation zwischen den Komponenten verwenden soll, beachten Sie das folgende Beispiel. Dieses Beispiel wird unter Windows Server 2025 ausgeführt. Die Screenshots unter anderen Windows-Versionen können abweichen, aber die allgemeine Vorgehensweise bleibt gleich.

|  | Verwenden Sie keine Zertifikate mit kurzer Gültigkeit (z. B. Let's Encrypt mit einer Gültigkeit von 90 Tagen), um den häufigen Austausch und den damit verbundenen Arbeitsaufwand zu vermeiden.

|  | •Sie können OpenSSL verwenden, um neue selbstsignierte Zertifikate zu erstellen. Weitere Informationen finden Sie in unserem Knowledgebase-Artikel. •Eine schrittweise Anleitung für die Verwendung von benutzerdefinierten Zertifikaten in ESET PROTECT On-Prem finden Sie im nächsten Kapitel.

Benötigte Serverrollen:

•Active Directory-Domänendienste.

•Active Directory-Zertifikatdienste mit installierter eigenständiger Stamm-ZS.

Führen Sie die folgenden Schritte aus, um ein neues benutzerdefiniertes Zertifikat zu erstellen:

1. Öffnen Sie die Management-Konsole und fügen Sie das Zertifikat-Snap-In hinzu

2. Erstellen Sie eine benutzerdefinierte Zertifikatanforderung:

3. Importieren Sie Ihre Anforderung eines benutzerdefinierten Zertifikats

4. Exportieren Sie das ausgestellte benutzerdefinierte Zertifikat in eine .tmp-Datei.

5. Importieren Sie die .tmp-Datei.

6. Exportieren Sie das Zertifikat inklusive privatem Schlüssel in eine .pfx-Datei.

7. Zertifizierungsstelle exportieren

## 1. Öffnen Sie die Management-Konsole und fügen Sie das Zertifikat-Snap-In hinzu

1.Melden Sie sich als Mitglied der lokalen Administratorgruppe beim Server an.

2.Führen Sie mmc.exe aus, um die Verwaltungskonsole zu öffnen.

3.Klicken Sie auf Datei und wählen Sie Snap-In hinzufügen/entfernen… aus (oder drücken Sie STRG+M).

4.Wählen Sie im linken Bereich Zertifikate aus und klicken Sie auf Hinzufügen.

5.Wählen Sie Computerkonto aus und klicken Sie auf Weiter.

6.Wählen Sie Lokaler Computer aus (Standard) und klicken Sie auf Fertig stellen.

7.Klicken Sie auf OK.

## 2. Erstellen Sie eine benutzerdefinierte Zertifikatanforderung:

1.Doppelklicken Sie auf Zertifikate (Lokaler Computer), um den Eintrag zu erweitern.

2.Klicken Sie mit der rechten Maustaste auf Persönlich, wählen Sie Alle Tasks > Erweiterte Operationen aus und klicken Sie auf Benutzerdefinierte Anforderung erstellen.

3.Der Assistent für die Zertifikatregistrierung wird geöffnet. Klicken Sie auf Weiter.

4.Wählen Sie die Option Ohne Registrierungs-Policy fortfahren aus und klicken Sie auf Weiter, um fortzufahren.

5.Wählen Sie (Kein Template) CNG-Schlüssel in der Dropdownliste aus und wählen Sie das Anforderungsformat PKCS #10 aus. Klicken Sie auf Weiter.

6.Klicken Sie auf den Pfeil, um den Bereich Details zu erweitern, und klicken Sie anschließend auf Eigenschaften.

7.Geben Sie in der Registerkarte Allgemein einen Anzeigenamen und eine optionale Beschreibung für Ihr Zertifikat ein.

8.Wählen Sie im Tab Betreff im Bereich Betreffname den Eintrag Allgemeiner Name aus der Dropdownliste unter Typ aus, geben Sie server in das Feld Wert ein und klicken Sie auf Hinzufügen. Im Informationsbereich auf der Seite wird CN=server angezeigt. Wenn Sie eine Zertifikatanforderung für den ESET Management Agent erstellen, geben Sie agent in das Feld Allgemeiner Name ein.

|  | Der allgemeine Name (Common Name) muss je nach Art der Zertifikatanforderung, die Sie erstellen, eine der Zeichenfolgen server oder agent enthalten.

9.Wählen Sie im Bereich Alternativer Name den Eintrag DNS aus der Dropdownliste unter Typ aus, geben Sie * (Sternchen) in das Feld Wert ein und klicken Sie auf Hinzufügen.

|  | Der alternative Antragstellername (SAN) sollte als „DNS:*“ für den ESET PROTECT Server und für alle Agenten definiert werden.

10. Gehen Sie auf der Registerkarte Erweiterungen wie folgt vor:

a)Erweitern Sie den Abschnitt Schlüsselnutzung, indem Sie auf den Pfeil klicken.

|  | Wählen Sie die folgenden 3 Optionen aus der Liste der verfügbaren Optionen aus und fügen Sie sie hinzu: •Digitale Signatur •Schlüsselvereinbarung •Schlüsselverschlüsselung Deaktivieren Sie die Option Diese Schlüsselnutzungen als kritisch festlegen.

b)Erweitern Sie den Abschnitt Erweiterte Schlüsselnutzung (Anwendungs-Policies), indem Sie auf den Pfeil klicken. Wählen Sie Serverauthentifizierung für ein Server-Zertifikat bzw. Client-Authentifizierung für ein Agent-Zertifikat aus und fügen Sie den Eintrag hinzu.

11. Führen Sie in der Registerkarte Privater Schlüssel die folgenden Aktionen aus:

a)Erweitern Sie den Bereich Kryptografiedienstanbieter, indem Sie auf den Pfeil klicken. Daraufhin wird eine Liste aller Kryptografiedienstanbieter (Cryptographic Service Provider, CSP) angezeigt.

|  | Stellen Sie sicher, dass nur RSA, Microsoft Software-Schlüsselspeicheranbieter ausgewählt ist. Deaktivieren Sie alle anderen Schlüsselspeicheranbieter.

b)Erweitern Sie den Bereich Schlüsseloptionen. Wählen Sie im Menü Schlüssellänge 2048 oder einen höheren Wert aus. Wählen Sie die Option Privaten Schlüssel exportierbar machen aus.

c)Klicken Sie auf Übernehmen und überprüfen Sie Ihre Einstellungen.

12. Klicken Sie auf OK. Daraufhin werden die Zertifikatinformationen angezeigt. Klicken Sie auf Weiter, um fortzufahren. Klicken Sie auf Durchsuchen, um einen Speicherort für die Zertifikatsignieranforderung (CSR) auszuwählen. Geben Sie den Dateinamen ein und wählen Sie die Option Base 64 aus.

13. Klicken Sie auf Fertig stellen, um die CSR zu erstellen.

## 3. Importieren Sie Ihre Anforderung eines benutzerdefinierten Zertifikats

1.Öffnen Sie den Server-Manager und klicken Sie auf Tools > Zertifizierungsstelle.

2.Navigieren Sie in der Baumstruktur Zertifizierungsstelle (lokal) zu Ihr Server (normalerweise FQDN) > Eigenschaften und wählen Sie das Policy-Modul aus. Klicken Sie auf Eigenschaften und legen Sie den Status der Zertifikatanforderung auf Ausstehend fest. Der Administrator muss das Zertifikat ausdrücklich ausstellen. Andernfalls funktioniert es nicht ordnungsgemäß. Klicken Sie auf OK. Sie müssen die Active Directory-Zertifikatdienste neu starten, um Änderungen an dieser Einstellung zu übernehmen.

3.Klicken Sie in der Baumstruktur Zertifizierungsstelle (lokal) mit der rechten Maustaste auf Ihr Server (normalerweise FQDN), navigieren Sie zu Alle Tasks > Neue Anforderung übermitteln und dann zu der in Schritt 2 erstellten CSR-Datei.

4.Das Zertifikat wird unter Ausstehende Anforderungen hinzugefügt. Klicken Sie mit der rechten Maustaste auf den CSR im Navigationsbereich und wählen Sie Alle Tasks > Ausstellen aus.

## 4. Exportieren Sie das ausgestellte benutzerdefinierte Zertifikat in eine .tmp-Datei.

1.Wählen Sie die Ausgestellten Zertifikate im linken Bereich aus. Klicken Sie mit der rechten Maustaste auf das gewünschte Zertifikat und klicken Sie auf Alle Tasks > Binärdaten exportieren.

2.Wählen Sie im Dialogfeld Binärdaten exportieren den Eintrag Binärzertifikat in der Dropdownliste aus. Klicken Sie in den Exportoptionen auf Binärdaten in Datei speichern und dann auf OK.

3.Navigieren Sie im Dialogfeld „Binärdaten speichern“ zum gewünschten Speicherort für das Zertifikat und klicken Sie auf Speichern.

## 5. Importieren Sie die .tmp-Datei.

1.Navigieren Sie zu Zertifikat (Lokaler Computer), klicken Sie mit der rechten Maustaste auf Persönlich, wählen Sie Alle Tasks > Importieren aus.

2.Klicken Sie auf Weiter.

3.Navigieren Sie zu Ihrer gespeicherten .tmp-Binärdatei mit der Option Durchsuchen und klicken Sie auf Öffnen. Wählen Sie Alle Zertifikate in diesem Speicher ablegen > Persönlich aus. Klicken Sie auf Weiter.

4.Klicken Sie auf Fertig stellen, um das Zertifikat zu importieren.

## 6. Exportieren Sie das Zertifikat inklusive privatem Schlüssel in eine .pfx-Datei.

1.Erweitern Sie unter Zertifikate (Lokaler Computer) die Option Persönlich und klicken Sie auf Zertifikate. Klicken Sie mit der rechten Maustaste auf das neue Zertifikat, das Sie exportieren möchten, und wählen Sie Alle Tasks > Exportieren.

2.Klicken Sie im Assistenten für den Zertifikatexport auf Ja, privaten Schlüssel exportieren. (Diese Option wird nur angezeigt, wenn der private Schlüssel exportierbar ist und Sie Zugang zum privaten Schlüssel haben.)

3.Aktivieren Sie unter Export-Dateiformat die Option Austausch persönlicher Informationen - PKCS #12 (), aktivieren Sie das Kontrollkästchen neben Alle Zertifikate im Zertifizierungspfad integrieren aus, falls möglich und klicken Sie auf Weiter.

4.Wählen Sie das Kontrollkästchen Passwort aus und geben Sie ein Passwort für die Verschlüsselung des privaten Schlüssels ein, den Sie exportieren möchten. Geben Sie dasselbe Passwort unter Passwort bestätigen erneut ein und klicken Sie auf Weiter.

|  | •Die Zertifikat-Passphrase darf die folgenden Zeichen nicht enthalten: " \ Diese Zeichen verursachen einen kritischen Fehler bei der Initialisierung des Agents. •Das Passwort muss mindestens 14 Zeichen in mindestens drei der folgenden Kategorien enthalten: Kleinbuchstaben, Großbuchstaben, Ziffern oder Sonderzeichen. Wir empfehlen, ein Passwort mit mindestens 17 Zeichen zu verwenden.

5.Geben Sie unter Dateiname einen Dateinamen und einen Pfad für die .pfx-Datei ein, in der das exportierte Zertifikat und der private Schlüssel gespeichert werden. Klicken Sie auf Weiter und dann auf Fertig stellen.

|  | Das obige Beispiel beschreibt die Erstellung eines ESET Management Server-Zertifikats. Wiederholen Sie dieselben Schritte für ESET PROTECT Server-Zertifikate. Sie können dieses Zertifikat nicht verwenden, um ein anderes neues Zertifikat in der Web-Konsole zu signieren.

## 7. Zertifizierungsstelle exportieren

1.Öffnen Sie den Server-Manager und klicken Sie auf Tools > Zertifizierungsstelle.

2.Navigieren Sie in der Baumstruktur Zertifizierungsstelle (lokal) zu Ihr Server (normalerweise FQDN) > Eigenschaften > Registerkarte Allgemein und klicken Sie auf Zertifikat anzeigen.

3.Klicken Sie in der Registerkarte Details auf In Datei kopieren. Daraufhin wird der Assistent für den Zertifikatexport geöffnet.

4.Wählen Sie im Fenster Export-Dateiformat die Option DER-codierte Binärdatei X.509 (.CER) aus und klicken Sie auf Weiter.

5.Klicken Sie auf Durchsuchen, um den Speicherort für die .cer-Datei auszuwählen und klicken Sie auf Weiter.

6.Klicken Sie auf Fertig stellen, um die Zertifizierungsstelle zu exportieren.

˄˅