ESET PROTECT On-Prem

Offline | Przejdź do trybu online

ESET PROTECT On-Prem – Spis treści

# Używanie certyfikatów niestandardowych w programie ESET PROTECT On-Prem

Skopiuj adres URL bieżącego artykułu Udostępnij przez e-mail

Jeśli użytkownik ma własną infrastrukturę klucza publicznego (Public Key Infrastructure, PKI), a program ESET PROTECT On-Prem ma używać certyfikatów niestandardowych na potrzeby komunikacji między komponentami, należy zapoznać się z poniższym przykładem. W przykładzie użyto systemu Windows Server 2025. Zrzuty ekranu mogą się różnić w innych wersjach systemu Windows, ale ogólny przebieg procedury pozostaje niezmieniony.

|  | Nie używaj certyfikatów o krótkiej ważności (na przykład certyfikatów Let's Encryptważnych przez 90 dni), aby uniknąć skomplikowanej procedury ich częstego zastępowania.

|  | •Do tworzenia nowych certyfikatów podpisanych samodzielnie można użyć OpenSSL. Więcej informacji zawiera ten artykuł bazy wiedzy. •Szczegółowe instrukcje korzystania z certyfikatów niestandardowych w produkcie ESET PROTECT On-Prem można znaleźć w następnym rozdziale.

Wymagane role serwera:

•Usługi domenowe Active Directory (AD DS)

•Usługi certyfikatów Active Directory (AD CS) z zainstalowanym autonomicznym głównym urzędem certyfikacji.

Aby utworzyć certyfikat niestandardowy, wykonaj poniższe czynności:

1. Otwórz konsolę zarządzania i dodaj przystawkę Certyfikaty.

2. Utwórz niestandardowe żądanie certyfikatu:

3 Importuj żądanie certyfikatu niestandardowego

4. Wyeksportuj wystawiony certyfikat niestandardowy do pliku .tmp.

5. Zaimportuj plik .tmp..

6. Wyeksportuj certyfikat wraz z kluczem prywatnym do pliku .pfx.

7. Exportuj urząd certyfikacji:

## 1. Otwórz konsolę zarządzania i dodaj przystawkę Certyfikaty.

1.Zaloguj się na serwerze jako członek lokalnej grupy administratorów.

2.Uruchom plik mmc.exe, aby otworzyć konsolę zarządzania.

3.Kliknij pozycję Plik i wybierz opcję Dodaj/Usuń przystawkę (lub naciśnij klawisze CTRL+M).

4.W okienku po lewej wybierz pozycję Certyfikaty i kliknij przycisk Dodaj.

5.Wybierz pozycję Konto komputera i kliknij przycisk Dalej.

6.Upewnij się, że wybrano pozycję Komputer lokalny (pozycja domyślna), i kliknij przycisk Zakończ.

7.Kliknij przycisk OK.

## 2. Utwórz niestandardowe żądanie certyfikatu:

1.Kliknij dwukrotnie pozycję Certyfikaty (komputer lokalny), aby ją rozwinąć.

2.Kliknij prawym przyciskiem myszy pozycję Osobisty i wybierz kolejno pozycje Wszystkie zadania > Operacje zaawansowane, a następnie wybierz pozycję Utwórz żądanie niestandardowe.

3.Zostanie otwarte okno kreatora Rejestracja certyfikatów. Kliknij przycisk Dalej.

4.Wybierz pozycję Kontynuuj bez zasad rejestracji i kliknij przycisk Dalej, aby kontynuować.

5.Wybierz z listy rozwijanej pozycję (Brak szablonu) Klucz CNG i upewnij się, że w sekcji Format żądania zaznaczono pozycję PKCS #10. Kliknij przycisk Dalej.

6.Kliknij strzałkę, aby rozwinąć sekcję Szczegóły, a następnie kliknij opcję Właściwości.

7.Na karcie Ogólne wpisz przyjazną nazwę certyfikatu. Możesz też wpisać opis.

8.W karcie Podmiot, w sekcji Nazwa podmiotu, wybierz pozycję Nazwa pospolita z listy rozwijanej Typ i wprowadź ciąg server w polu Wartość, a następnie kliknij przycisk Dodaj. Element CN=server pojawi się w polu informacji z boku. W przypadku tworzenia żądania certyfikatu dotyczącego agenta ESET Management wprowadź ciąg „agent” w polu Nazwa pospolita.

|  | Nazwa pospolita musi zawierać jeden z następujących ciągów: server lub agent, w zależności od tego, które żądanie certyfikatu ma zostać utworzone.

9.W sekcji Nazwa alternatywna wybierz pozycję DNS z listy rozwijanej Typ i wprowadź „*” (znak gwiazdki) w polu Wartość, a następnie kliknij przycisk Dodaj.

|  | Alternatywna nazwa podmiotu (SAN) powinna być zdefiniowana jako "DNS:*" dla serwera ESET PROTECT i wszystkich agentów.

10. Na karcie Rozszerzenia wykonaj następujące czynności:

a)Rozwiń sekcję Użycie klucza, klikając strzałkę.

|  | Pamiętaj, aby wybrać i dodać te 3 opcje z sekcji Dostępne opcje: •Podpis cyfrowy •Uzgadnianie klucza •Szyfrowanie klucza Wyczyść pole wyboru Ustaw te użycia klucza jako krytyczne.

b)Rozwiń sekcję Wykorzystanie klucza rozszerzonego (polityki aplikacji), klikając strzałkę. Wybierz i dodaj Uwierzytelnianie serwera dla certyfikatu serwera lub Uwierzytelnianie klienta dla certyfikatu agenta.

11. Na karcie Klucz prywatny wykonaj poniższe czynności:

a)Kliknij strzałkę, aby rozwinąć sekcję Dostawca usług kryptograficznych. Zostanie wyświetlona lista wszystkich dostawców usług kryptograficznych.

|  | Upewnij się, że wybierana jest tylko opcja RSA, Dostawca usług magazynowania kluczy programowych Microsoft. Odznacz wszystkie pozostałe CSP.

b)Rozwiń sekcję Opcje klucza. W menu Rozmiar klucza wybierz wartość wynoszącą co najmniej 2048. Zaznacz pole wyboru Klucz prywatny można eksportować.

c)Kliknij przycisk Zastosuj, a następnie sprawdź ustawienia.

12. Kliknij przycisk OK. Zostaną wyświetlone informacje o certyfikacie. Kliknij przycisk Dalej, aby kontynuować. Kliknij przycisk Przeglądaj, aby wybrać miejsce, w którym zostanie zapisane żądanie podpisania certyfikatu. Wpisz nazwę pliku i upewnij się, że została wybrana pozycja Base 64.

13. Kliknij przycisk Zakończ, aby wygenerować żądanie podpisania certyfikatu.

## 3 Importuj żądanie certyfikatu niestandardowego

1.Otwórz Menedżera serwera. Kliknij kolejno pozycje Narzędzia > Urząd certyfikacji.

2.W drzewie Urząd certyfikacji (lokalny) wybierz kolejno pozycje Twój serwer (zwykle nazwa FQDN) > Właściwości, a następnie kartę Moduł zasad. Kliknij pozycję Właściwości i wybierz opcję Ustaw stan żądania certyfikatu na oczekujące. Administrator musi wyraźnie wystawić certyfikat.. W przeciwnym razie nie będzie to działało poprawnie. Kliknij przycisk OK. W przypadku konieczności zmiany tego ustawienia należy ponownie uruchomić Usługi certyfikatów Active Directory.

3.W drzewie Urząd certyfikacji (lokalny) kliknij prawym przyciskiem kolejno pozycje Twój serwer (zwykle nazwa FQDN) > Wszystkie zadania > Prześlij nowe żądanie i przejdź do pliku żądania CSR wygenerowanego w kroku 2.

4.Certyfikat zostanie dodany do obszaru Żądania oczekujące. Kliknij prawym przyciskiem myszy opcję CSR w panelu nawigacyjnym i wybierz Wszystkie zadania > Problem.

## 4. Wyeksportuj wystawiony certyfikat niestandardowy do pliku .tmp.

1.Wybierz pozycję Wystawione certyfikaty w okienku po lewej. Kliknij prawym przyciskiem myszy certyfikat, który chcesz wyeksportować, a następnie kliknij kolejno pozycje Wszystkie zadania > Eksportuj dane binarne.

2.W oknie dialogowym Eksportowanie danych binarnych wybierz z listy rozwijanej pozycję Certyfikat binarny. W obszarze Opcje eksportu kliknij przycisk Zapisz dane binarne do pliku i kliknij przycisk OK.

3.W oknie dialogowym Zapisywanie danych binarnych przejdź do lokalizacji plików, w której chcesz zapisać certyfikat, a następnie kliknij przycisk Zapisz.

## 5. Zaimportuj plik .tmp..

1.Przejdź do pozycji Certyfikat (komputer lokalny), a następnie kliknij prawym przyciskiem myszy pozycję Osobisty i wybierz kolejno pozycje Wszystkie zadania > Importuj.

2.Kliknij przycisk Dalej.

3.Znajdź zapisany plik binarny .tmp, klikając kolejno opcje Przeglądaj i Otwórz. Wybierz kolejno pozycje Umieść wszystkie certyfikaty w następującym magazynie > Osobisty. Kliknij przycisk Dalej.

4.Kliknij przycisk Zakończ, aby zaimportować certyfikat.

## 6. Wyeksportuj certyfikat wraz z kluczem prywatnym do pliku .pfx.

1.W sekcji Certyfikaty (komputer lokalny) rozwiń pozycję Prywatne i kliknij opcję Certyfikaty, kliknij prawym przyciskiem myszy nowy certyfikat, który chcesz wyeksportować, i wybierz opcje Wszystkie zadania > Eksportuj.

2.W Kreatorze eksportu certyfikatu kliknij pozycję Tak, eksportuj klucz prywatny. Ta pozycja jest wyświetlana tylko wtedy, gdy klucz prywatny jest oznaczony jako możliwy do eksportu i masz dostęp do klucza prywatnego.

3.W sekcji Format pliku eksportu wybierz Personal Information Exchange -PKCS #12 (.PFX) i zaznacz pole wyboru Jeżeli jest to możliwe, dołącz wszystkie certyfikaty do ścieżki certyfikacji, a następnie kliknij przycisk Dalej.

4.Zaznacz pole wyboru Hasło, wpisz hasło, aby zaszyfrować eksportowany klucz prywatny. W polu Potwierdź hasło ponownie wpisz to samo hasło, a następnie kliknij przycisk Dalej.

|  | •Hasło do certyfikatu nie może zawierać następujących znaków: " \ Te znaki powodują błąd krytyczny podczas inicjowania agenta. •Hasło musi zawierać co najmniej 14 znaków z trzech z tych kategorii: małe litery, wielkie litery, cyfry lub znaki specjalne. Zalecamy używanie hasła składającego się z nie mniej niż 17 znaków.

5.W polu Nazwa pliku wpisz nazwę pliku i ścieżkę do pliku .pfx, w którym będzie przechowywany wyeksportowany certyfikat i klucz prywatny. Kliknij przycisk Dalej, a następnie przycisk Zakończ.

|  | Powyższa procedura zawiera informacje o sposobie tworzenia certyfikatu agenta ESET Management. Te same czynności należy wykonać w przypadku certyfikatów serwera ESET PROTECT. Nie możesz użyć tego certyfikatu, aby podpisać inny nowy certyfikat w konsoli internetowej.

## 7. Exportuj urząd certyfikacji:

1.Otwórz Menedżera serwera. Kliknij kolejno pozycje Narzędzia > Urząd certyfikacji.

2.W drzewie Urząd certyfikacji (lokalny) wybierz kolejno pozycje Twój serwer (zwykle nazwa FQDN) > Właściwości i kartę Ogólne, a następnie kliknij opcję Wyświetl certyfikat.

3.Na karcie Szczegóły kliknij opcję Kopiuj do pliku. Zostanie otwarty Kreator eksportu certyfikatu.

4.W oknie Format pliku eksportu wybierz DER encoded binary X.509 (.CER) i kliknij przycisk Dalej.

5.Kliknij przycisk Przeglądaj, aby wybrać miejsce, w którym zostanie zapisany plik .cer, a następnie kliknij przycisk Dalej.

6.Kliknij przycisk Zakończ, aby wyeksportować urząd certyfikacji.

˄˅