ESET PROTECT On-Prem

離線 | 上線

ESET PROTECT On-Prem – 目錄

# 搭配 ESET PROTECT On-Prem 的自訂憑證

複製目前文章 URL 透過電子郵件分享

如果您在環境內有自己的 PKI (公開金鑰基礎結構)，而且想要 ESET PROTECT On-Prem 使用您的自訂憑證在其元件之間進行通訊，請參閱以下範例。此範例會在 Windows Server 2025 上執行。螢幕擷取畫面可能因 Windows 版本而異，但一般程序維持不變。

|  | 請勿使用有效性短的憑證 (例如 Let's Encrypt 的有效性為 90 天)，以避開其頻繁替換的複雜過程。

|  | •您可以使用 OpenSSL 建立新的自我簽署憑證。如需詳細資訊，請參閱我們的知識庫文章。 •如需在 ESET PROTECT On-Prem 中使用自訂憑證的逐步指示，請參閱下一章節。

必要伺服器角色：

•Active Directory 網域服務。

•已安裝 Stand-Alone Root CA 的 Active Directory 憑證服務。

請遵循下列步驟以建立自訂憑證：

1.開啟管理主控台，然後新增憑證嵌入式管理單元

2.建立 [自訂憑證要求]：

3.匯入您的自訂憑證要求

4.將 [發出的自訂憑證] 匯出至 .tmp 檔案。

5.匯入 .tmp 檔案。

6.將包括私密金鑰的憑證匯出至 .pfx 檔案。

7.匯出憑證授權單位：

## 1.開啟管理主控台，然後新增憑證嵌入式管理單元

1.以本機管理員群組的成員身分登入伺服器。

2.執行 mmc.exe 來開啟管理主控台。

3.按一下 [檔案]，然後選取 [新增/移除嵌入式管理單元...] (或按 CTRL+M)。

4.在左窗格中選取 [憑證]，然後按一下 [新增]。

5.選取 [電腦帳戶]，再按 [下一步]。

6.確定已選取 [本機電腦] (預設值)，然後按一下 [完成]。

7.按一下 [確定]。

## 2.建立 [自訂憑證要求]：

1.按兩下 [憑證] (本機電腦) 來展開它。

2.用滑鼠右鍵按一下 [個人] 並選取 [所有工作] > [進階操作]，然後選擇 [建立自訂要求]。

3.憑證註冊精靈視窗即會開啟，請按一下 [下一步]。

4.選取 [在沒有註冊原則的情況下繼續]，再按一下 [下一步] 以繼續。

5.從下拉式清單中選擇 [(沒有範本) CNG 金鑰]，並確定已選取 [PKCS #10] 要求格式。按一下 [下一步]。

6.按一下箭號以展開 [詳細資料] 區段並按一下 [內容]。

7.在 [一般] 索引標籤中，為您的憑證輸入 [易記名稱]，您也可以輸入 [說明] (選用)。

8.在 [主體] 索引標籤的 [主體名稱] 區段中，從 [類型] 下的下拉式清單中選取 [常用名稱]，將 server 輸入 [值] 欄位，然後按一下 [新增]。CN=server 將出現在側邊的資訊方塊中。如果您針對 ESET Management 代理程式建立憑證要求，請在 [通訊名稱值] 欄位中輸入 agent。

|  | 通用名稱必須包含下列其中一個字串：server 或 agent，視您要建立的憑證要求而定。

9.在 [替代名稱] 區段中，從 [類型] 下的下拉清單中選擇 DNS，並將 * (星號) 輸入至 [值] 欄位，然後按一下 [新增] 按鈕。

|  | 對於 ESET PROTECT 伺服器和所有代理程式，主旨替代名稱 (SAN) 應該定義為「DNS:*」。

10. 在 [延伸模組] 索引標籤中，請執行下列操作：

a)按一下箭頭展開 [金鑰使用方法] 區段。

|  | 請務必從 [可用選項] 中選取並新增下列 3 個選項： •數位簽章 •金鑰合約 •金鑰加密 取消選取 [令這些金鑰使用方法成為關鍵] 選項。

b)按一下箭頭展開 [延伸的金鑰使用方法 (應用程式原則)] 區段。選取並新增 [伺服器驗證] 用於伺服器憑證，或 [用戶端驗證] 用於代理程式憑證。

11. 在 [私密金鑰] 索引標籤中，執行下列動作：

a)按一下箭頭展開 [密碼編譯服務提供者] 區段。會顯示所有密碼編譯服務提供者 (CSP)。

|  | 確保只選取 [RSA，Microsoft 軟體金鑰儲存提供者]。取消選取所有其他的 CSP。

b)展開 [金鑰] [選項] 區段。在 [金鑰大小] 功能表中，設定至少 2048 的值。選取 [可匯出私密金鑰]。

c)按一下 [套用]，並檢查您的設定。

12. 按一下 [確定]。將顯示憑證資訊。按一下 [下一步] 按鈕繼續。按一下 [瀏覽]，以選取用來儲存憑證簽署要求 (CSR) 的位置。輸入檔案名稱，並確定選取 [Base 64]。

13. 按一下 [完成] 以產生 CSR。

## 3.匯入您的自訂憑證要求

1.開啟 [伺服器管理員]並按一下 [工具] > [憑證授權單位]。

2.在 [憑證授權單位 (本機)] 樹狀結構中，選取 [您的伺服器] (通常為 FQDN) > [內容]，然後選取 [原則模組] 索引標籤。按一下 [內容 並選取 [將憑證要求的狀態設定為擱置。系統管理員必須明確發行憑證]。否則，其就無法正常運作。按一下 [確定]。如果您需要變更此設定，您必須重新啟動 Active Directory 憑證服務。

3.在 [憑證授權單位 (本機)] 樹狀結構中，以滑鼠右鍵按一下 [您的伺服器 (通常為 FQDN)] > [所有工作] > [提交新要求]，然後瀏覽至您先前在步驟 2 中產生的 CSR 檔案。

4.憑證將新增至 [擱置的要求] 下方。在瀏覽窗格中以滑鼠右鍵按一下 [CSR]，並且選取 [所有工作] > [問題]。

## 4.將 [發出的自訂憑證] 匯出至 .tmp 檔案。

1.選取左窗格中的 [發出的憑證]。用滑鼠右鍵按一下您要匯出的憑證，然後按一下 [所有工作] > [匯出二進位資料...]。

2.在 [匯出二進位資料] 對話方塊中，從下拉清單中選擇 [二進位檔案憑證]。在 [匯出] 選項中，按一下 [將二進位資料儲存到檔案]，然後按一下 [確定]。

3.在 [儲存二進位資料] 對話方塊中，移動至您要儲存憑證的檔案位置，然後按一下 [儲存]。

## 5.匯入 .tmp 檔案。

1.移至 [憑證 (本機電腦)] > 用滑鼠右鍵按一下 [個人]，選取 [所有工作] > [匯入...]。

2.按一下 [下一步]。

3.使用 [瀏覽] 找出儲存的 .tmp 二進位檔案，然後按一下 [開啟]。選取 [將所有憑證放入以下的存放區] > [個人]。按一下 [下一步]。

4.按一下 [完成] 匯入憑證。

## 6.將包括私密金鑰的憑證匯出至 .pfx 檔案。

1.在 [憑證授權單位 (本機)] 中展開 [個人]並且選取 [憑證]，以滑鼠右鍵按一下擊您想履匯出的新憑證，然後選取 [所有工作] > [匯出]。

2.在 [憑證匯出精靈] 中，按一下 [是，匯出私密金鑰]。(只在私密金鑰標示為可匯出，而且您有私密金鑰存取權時，此選項才會顯示。)

3.在 [匯出檔案格式] 下，選取 [Personal Information Exchange -PKCS #12 (.PFX)]、選取 [如果可能的話，包含憑證路徑中的所有憑證] 核取方塊，再按一下 [下一步]。

4.選取 [密碼] 核取方塊，輸入密碼以加密您正要匯出的私密金鑰。在 [確認密碼] 中，再次輸入相同密碼，然後按一下 [下一步]。

|  | •憑證密碼不得包含下列字元：" \ 這些字元在代理程式初始化期間會造成嚴重錯誤。 •密碼必須至少包含 14 個字元，且包含下列其中三個類別：小寫字母、大寫字母、數字或特殊字元。我們建議使用不少於 17 個字元的密碼。

5.在 [檔案名稱] 中，輸入 .pfx 檔案的名稱和路徑，而此檔案將儲存已匯出的憑證和私密金鑰。按一下 [下一步]，然後按一下 [完成]。

|  | 上面範例顯示如何建立 ESET Management 伺服器憑證。對 ESET PROTECT 伺服器憑證重複相同步驟。 您可以使用此憑證在 Web 主控台中簽署其他新憑證。

## 7.匯出憑證授權單位：

1.開啟 [伺服器管理員]並按一下 [工具] > [憑證授權單位]。

2.在 [憑證授權單位 (本機)] 樹狀結構中，選取 [您的伺服器] (通常為 FQDN) > [內容] > [一般]，然後選取 [檢視憑證] 索引標籤。

3.在 [詳細資料] 索引標籤中按一下 [複製到檔案]。[憑證匯出精靈] 將會開啟。

4.在 [匯出檔案格式] 視窗中，選取 [DER 加密二進位檔案 X.509 (.CER)] 並按一下 [下一步]。

5.按一下 [瀏覽]，以選取用來儲存 .cer 檔案的位置並按一下 [下一步]。

6.按一下 [完成] 匯入憑證授權單位。

˄˅