Quartz 5

CA - Центр сертификации

3 min read

Центр сертификации

Преднастройка сервера

  1. Папка где будет лежать сертификаты -> Properties -> Security -> ADD

    1. Добавляем Cert Publishers ( и SYSTEM если нет ) и даем им права на запись и modify

  2. Установить role для сервера Active Directory Certificate Services

    1. Галочки не ставить

  3. Нажать на флажок справа сверху и настроить сертификат

    1. При выборе enterprise и standart. Выбираем enterprise. ( по умолчанию )

  4. Заходим в mmc (win+r mmc)

    1. Добавляем оснастку Certification Authority и Enterprise PKI ( через ctrl + M )

    2. Certification Authority ПКМ по серверу -> Properties

      1. Заходим во вкладку Extensions

      2. CDP

        1. Добавляем file://C:\test\<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl и ставим галочки на:

          1. Publish CRLs to this location
          2. Publish Delta CRLs to this location

        2. Добавляем http://crl.skill39.kz/<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl и ставим галочки на:

          1. Include in CRLs. Clients use this to find Delta CRL Locations
          2. Include in the CDP extension of issued certificates

      3. AIA

        1. Добавляем http://cacerts.skill39.kz/<CaName><CertificateName>.crt и ставим галочки на:
          1. Include in the AIA extension of issued certificates

    3. Перемещаем сертификат из C:\Windows\System32\CertSrv\CertEnroll

      1. файл Cloud-DC.skill39.kz_Skill39-CA с типом Security Certificate в папку откуда будут качать этот сертификат

    4. Установить роль IIS(WEB SERVER) и настроить его

      1. Добавить сайт cacerts и crl или один с alias
      2. Указать путь до папки C:\test\
      3. Заходим на настройки сервера
        1. Directory Browsing -> Enable
        2. Request Filtering -> edit … -> поставить галочку на Allow double escaping
        3. перезапустить

    5. Зайти в папку C:\test\удалить все файлы crl если их нет, то ок

    6. Certification Authority -> “ВАШ СЕРВЕР” -> Revoked Certificates -> ПКМ -> All task -> Publish -> New CRL

    7. Enterprise PKI -> ПКМ -> Refresh -> всё должно быть ОК

Добавление сертификата

  1. Заходим в mmc (win+r mmc)
    1. Добавляем оснастку Certificates (При добавлении выбрать “computer account”) и certificate template ( через ctrl + M )
    2. В certificate template находим Web server, для других наверное потребуется другой
      1. Два раза лкм -> security
      2. Для authenticated users поставить все права
    3. В Certificates заходим по пути Personal/Certificates
      1. ПКМ по папке -> all task -> request new certificate
      2. При выборе template под Web server будет предупреждение тыкаем на него
        1. Сверху настраиваем Common name и прочее
        2. Снизу DNS указываем имя сайта т.е. Common name
      3. После настройки выбираем template и кнопку enroll

Подчиненный сервер сертификации

  1. В шаблонах Subordinate Certification Authority

Настройка срока crl

  1. Заходим в mmc (win+r mmc)
    1. Добавляем оснастку Certification Authority и Enterprise PKI ( через ctrl + M )
    2. Certification Authority -> Revoked Certificates ->Properties
      1. Заходим во вкладку CRL Publishing Parameters
      2. В разделе CRL publication interval установите: 7 Days
      3. В разделе Delta CRL publication interval установите: 1 Days.
      4. Нажмите Apply и OK.

Graph View