ESET PROTECT On-Prem

Hors ligne | Aller en ligne

ESET PROTECT On-Prem – Table des matières

# Certificats personnalisés et ESET PROTECT On-Prem

Copier l'URL de l'article actuel Envoyer par courriel

Si vous avez votre propre PKI (infrastructure de clé publique) et souhaitez que ESET PROTECT On-Prem utilise vos certificats personnalisés pour la communication entre ses composants, consultez l'exemple ci-après. Cet exemple a été réalisé sur Windows Server 2025. Les captures d'écran peuvent varier sur d'autres versions de Windows, cependant la procédure générale reste inchangée.

|  | N’utilisez pas de certificats à courte validité (par exemple, Let's Encrypt qui ne sont valides que pendant 90 jours) pour éviter la procédure complexe liée à leur remplacement fréquent.

|  | •Vous pouvez utiliser OpenSSL pour créer de nouveaux certificats auto-signés. Pour plus d'informations, consultez cet article de la base de connaissances. •Pour obtenir des instructions détaillées sur l'utilisation de certificats personnalisés dans ESET PROTECT On-Prem, consultez le chapitre suivant.

Rôles de serveur requis :

•Services de domaine Active Directory.

•Active Directory Certificate Services avec autorité de certification racine autonome installée.

Pour créer un certificat personnalisé, procédez comme suit :

1. Ouvrez la console de gestion et ajoutez le snap-in de certificat

2. Créez une demande de certificat personnalisé :

3. Importez votre demande de certificat personnalisé

4. Exportez le certificat personnalisé émis dans le fichier .tmp.

5. Importez le fichier .tmp..

6. Exportez le certificat, y compris la clé privée, dans le fichier .pfx

7. Échec de l'exportation de l'autorité de certification :

## 1. Ouvrez la console de gestion et ajoutez le snap-in de certificat

1.Connectez-vous au serveur en tant que membre du groupe administrateur local.

2.Exécutez mmc.exe pour ouvrir la console de gestion.

3.Cliquez sur Fichier et sélectionnez Ajouter/Supprimer un jeu d'outils intégrable (ou appuyez sur CTRL+M).

4.Sélectionnez Certificats dans le volet de gauche et cliquez sur Ajouter.

5.Sélectionnez Compte d'ordinateur et cliquez sur Suivant.

6.Vérifiez que l'option Ordinateur local est sélectionnée (par défaut) et cliquez sur Terminer.

7.Cliquez sur OK.

## 2. Créez une demande de certificat personnalisé :

1.Double-cliquez sur Certificats (Ordinateur local) pour l'ouvrir.

2.Cliquez avec le bouton droit sur Personel et sélectionnez Toutes les tâches > Opérations avancées et choisissez Créer une demande personnalisée.

3.La fenêtre de l'assistant d'inscription du certificat s'ouvre; cliquez sur Suivant.

4.Sélectionnez l'option Continuer sans politique d'inscription et cliquez sur Suivant pour continuer.

5.Choisissez Clé CNG (aucun modèle) dans la liste déroulante et vérifiez que le format de demande PKCS #10 est sélectionné. Cliquez sur Suivant.

6.Cliquez sur la flèche pour développer la section Détails, puis sur Propriétés.

7.Dans l'onglet Général, saisissez un nom convivial pour le certificat ; vous pouvez également saisir une description (facultatif).

8.Dans l'onglet Objet, dans la section Nom de l'objet, choisissez Nom usuel dans la liste déroulante sous Type et saisissez server dans le champ Valeur, puis cliquez sur Ajouter. CN=server apparaît dans la zone d'information sur le côté. Si vous créez une demande de certificat pour l'agent ESET Management saisissez agent dans le champ Valeur du nom commun.

|  | Le nom commun doit contenir l’une de ces chaînes : server ou agent, selon la demande de certificat que vous souhaitez créer.

9.Dans la section Autre nom, choisissez DNS dans la liste déroulante sous Type et saisissez * (astérisque) dans le champ Valeur, puis cliquez sur le bouton Ajouter.

|  | La valeur Subject Alternative Name (SAN) doit être définie sur « DNS:* » pour le serveur ESET PROTECT et pour tous les agents.

10. Dans l’onglet Extensions, faites ce qui suit :

a)Développez la section Utilisation de la clé en cliquant sur la flèche.

|  | Assurez-vous de sélectionner et d’ajouter ces trois options aux options disponibles : •Signature numérique •Contrat sur la clé •Chiffrement de la clé Désélectionnez Rendre ces utilisations de clé critiques.

b)Développez la section Utilisation étendue de la clé (politiques de l’application) en cliquant sur la flèche. Sélectionnez et ajoutez Authentification serveur pour le certificat serveur ou Authentification client pour le certificat d’agent.

11. Dans l'onglet Clé privée, effectuez les opérations suivantes :

a)Développez la section Fournisseur de service de cryptographiques en cliquant sur la flèche pointant vers le bas. La liste de tous les fournisseurs de services cryptographiques s'affiche.

|  | Assurez-vous que seul RSA, Microsoft Software Key Storage Provider est sélectionné. Désélectionnez tous les autres CSP.

b)Développez la section Options de clé. Dans le menu Taille de clé, sélectionnez une valeur d'au moins 2048. Sélectionnez Rendre la clé privée exportable.

c)Cliquez sur Appliquer et vérifiez les paramètres.

12. Cliquez sur OK. Les informations de certificat s'affichent. Cliquez sur le bouton Suivant pour continuer. Cliquez sur Parcourir pour sélectionner l'emplacement dans lequel la demande de signature de certificat (CSR) sera enregistrée. Tapez le nom de fichier et assurez-vous que Base 64 est sélectionné.

13. Cliquez sur Terminer pour générer le CSR.

## 3. Importez votre demande de certificat personnalisé

1.Ouvrez le gestionnaire de serveurs et cliquez sur Outils > Autorité de certification.

2.Dans l'arborescence Autorité de certification (locale), sélectionnez votre serveur (généralement FQDN) > Propriétés, puis sélectionnez l'onglet Module de politique. Cliquez sur Propriétés, puis sélectionnez Définir l'état de la demande de certificat sur En attente. L'administrateur doit explicitement émettre le certificat. Sinon, cela ne fonctionnera pas correctement. Cliquez sur OK. Vous devez redémarrer les services de certificats Active Directory si vous devez modifier ce paramètre.

3.Dans l’arborescence Autorité de certification (locale), cliquez du droit sur Votre serveur (généralement le nom complet de domaine) > Toutes les tâches > Envoyer une nouvelle demande et accédez au fichier CSR généré à l’étape 2.

4.Le certificat est ajouté aux demandes en attente. Faites un clic droit sur CSR dans le panneau de navigation et sélectionnez Toutes les tâches > Émettre.

## 4. Exportez le certificat personnalisé émis dans le fichier .tmp.

1.Sélectionnez Certificats émis dans le volet de gauche. Cliquez avec le bouton droit sur le certificat à exporter, puis cliquez sur Toutes les tâches > Exporter les données binaires

2.Dans la boîte de dialogue Exporter les données binaires, choisissez Certificat binaire dans la liste déroulante. Dans les options d'exportation, cliquez sur Enregistrer les données binaires dans un fichier et cliquez sur OK.

3.Dans la boîte de dialogue Enregistrer les données binaires, Indiquez l'emplacement d'enregistrement du certificat, puis cliquez sur Enregistrer.

## 5. Importez le fichier .tmp..

1.Accédez à Certificat (ordinateur local) > cliquez avec le bouton droit sur Personnel, sélectionnez Toutes les tâches > Importer.

2.Cliquez sur Suivant.

3.Localisez le fichier binaire .tmp enregistré en utilisant l'option Parcourir, puis cliquez sur Ouvrir. Sélectionnez Placer tous les certificats dans le magasin suivant > Personnel. Cliquez sur Suivant.

4.Cliquez sur Terminer pour importer le certificat.

## 6. Exportez le certificat, y compris la clé privée, dans le fichier .pfx

1.Dans Certificats (Ordinateur local), développez Personnel et cliquez sur Certificats, faites un clic droit sur le nouveau certificat que vous souhaitez exporter et sélectionnez Toutes les tâches > Exporter.

2.Dans l'assistant d'exportation du certificat, cliquez sur Oui, exporter la clé privée. (Cette option n'apparaît que si la clé privée est marquée comme étant exportable et si vous avez accès à la clé privée.)

3.Sous Format du fichier exporté, sélectionnez Échange d'informations personnelles -PKCS #12 (.PFX), cochez la case en regard de Inclure tous les certificats dans le chemin de certification si possible, puis cliquez sur Suivant.

4.Sélectionnez la case Mot de passe, saisissez un mot de passe pour chiffrer la clé privée que vous exportez. Dans le champ Confirmer le mot de passe, saisissez de nouveau le même mot de passe, puis cliquez sur Suivant.

|  | •La phrase secrète du certificat ne doit pas contenir les caractères suivants : " \ Ces caractères provoquent une erreur critique lors de l'initialisation de l'agent. •Le mot de passe doit contenir au moins 14 caractères appartenant à au moins trois des catégories suivantes : lettres minuscules, lettres majuscules, chiffres ou caractères spéciaux. Nous recommandons d'utiliser un mot de passe comportant au moins 17 caractères.

5.Dans le champ Nom de fichier, saisissez un nom de fichier et le chemin du fichier .pfx dans lequel seront stockés le certificat et la clé privée exportés. Cliquez sur Suivant, puis sur Terminer.

|  | L'exemple ci-dessus indiquent comment créer le certificat de l'agent ESET Management. Répétez les mêmes étapes pour les certificats du serveur ESET PROTECT. Vous ne pouvez pas utiliser ce certificat pour signer un autre nouveau certificat dans la console Web.

## 7. Échec de l'exportation de l'autorité de certification :

1.Ouvrez le gestionnaire de serveurs et cliquez sur Outils > Autorité de certification.

2.Dans l'arborescence Autorité de certification (locale), sélectionnez votre serveur (généralement FQDN) > Propriétés, puis sélectionnez l'onglet Général et cliquez sur Afficher le certificat.

3.Dans l'onglet Détails, cliquez sur Copier dans le fichier. L'assistant d'exportation de certificat s'ouvre.

4.Dans la fenêtre Format du fichier exporté, sélectionnezDER encoded binary X.509 (.CER) et cliquez sur Suivant.

5.Cliquez sur Parcourir pour sélectionner l'emplacement dans lequel le fichier .cer sera enregistrée, puis cliquez sur Suivant.

6.Cliquez sur Terminer pour exporter l'autorité de certification.

˄˅