Interne certifikater fra Windows CA

Kilden Windows CA henter certifikater fra jeres egen Active Directory Certificate Services (AD CS). Service-agenten på en Windows-server sender anmodningen til CA’en. Reglerne fornyer og installerer certifikaterne som alle andre certifikater.

Appliancen laver nøglen og CSR’en, og agenten får kun CSR’en. Den private nøgle sendes først til en server, når en regel installerer certifikatet (eksport af private nøgler).

Hvornår har I brug for det her

Servere og tjenester med interne navne, som en offentlig CA ikke udsteder til, skal have certifikater, som domænets maskiner stoler på.
I har en AD CS, og certifikaterne skal fortsat komme derfra, men fornyes og installeres automatisk.

Før I starter

Licensen Enterprise med tilkøbet Windows CA. Kontakt FairSSL for at få det slået til.
En godkendt service-agent på en Windows-server, der kan nå CA’en (Windows-servere).
En template, der er udgivet på CA’en under Certificate Templates og tillader “Supply in the request”. Computerkontoen for agentens server, DOMÆNE\SERVER$, skal have Read og Enroll på den.

Standardtemplaten WebServer giver kun Domain Admins og Enterprise Admins ret til Enroll. Lav en kopi af den, eller giv computerkontoen Enroll på den template, I bruger.

Opret kilden

Åbn Moduler, og klik på Hent licensmoduler og opdateringer. Klik på Aktiver ved Windows CA og derefter på Genstart og anvend (moduler). Kun programmet på appliancen genstarter, ikke den virtuelle maskine.
Åbn Kilder › Kilder, klik på Tilføj kilde, og vælg Windows CA.
Vælg agenten under Service-agent.
Klik på Find CA’er via agenten, og vælg CA’en. Svaret kommer, når agenten melder sig næste gang. Står CA’en ikke på listen, så vælg Anden CA (skriv selv), og skriv den som Server\CA-navn, fx DC19.corp.local\Corp CA.
Klik på Hent templates via agenten, og vælg templaten. Skriver I navnet selv med Andet template-navn (skriv selv), så brug templatens navn, ikke visningsnavnet.
Gem kilden.

Siden advarer, hvis templaten bygger subject ud fra Active Directory, ikke tillader SAN eller kræver godkendelse af en certificate manager. Kræver den godkendelse, venter kilden, til anmodningen er godkendt på CA’en.

Brug kilden i en profil

Åbn Profiler, og klik på Opret certifikatprofil (opret en profil).
Giv profilen et navn, fx Intern Windows CA, og klik på Tilføj ved Windows CA-kilden.
Vælg RSA 2048, 3072 eller 4096 bit som Default nøgletype, og klik på Opret profil. Kilden markerer kun RSA som klar til produktion.
Opret reglen som i trin 8, og vælg profilen under Profil.

Appliancen kigger efter svar fra CA’en hvert 5. minut. Kontroller nu sender anmodningen med det samme.

Kontrollér, at det virker

Kilden viser Windows CA-anmodning med status Udstedt og Request ID på CA’en. Samme Request ID står under Issued Certificates i Certification Authority-konsollen.
Certifikatet står under Certifikater › Styret af sslbrain.
Serveren leverer certifikatet (trin 8).

Hvis det fejler

Kilden viser årsagen under Sidste anmodning fejlede.

CA’en eller Active Directory nægtede agenten adgang: giv computerkontoen for agentens server Read og Enroll på templaten og ret til at anmode om certifikater på CA’en. Er serveren en domain controller, er kontoen medlem af Domain Controllers, ikke Domain Computers.
CA’en udsteder ikke fra denne template: tilføj templaten under Certificate Templates på CA’en, eller vælg en template, CA’en udsteder fra.
CA’en afviste anmodningen: årsagen står under Failed Requests på CA’en.
Anmodningen venter på godkendelse: godkend den på CA’en. Kilden tjekker hvert 15. minut i op til en uge.
Service-agenten har ikke meldt sig i over 15 minutter: kontrollér, at tjenesten sslbrainagent kører på serveren.
Service-agenten afviste opgaven, før scriptet kørte: agenten kan ikke verificere modulets scripts, eller dens version er for lav. Opdatér agenten.
Service-agenten melder sig, men har ikke rapporteret opgaven inden for et døgn: årsagen står i agentens log under C:\ProgramData\sslbrain\logs på serveren.

Efter en fejl venter kilden en time. Efter 3 fejl i træk går kilden i fejl, prøver én gang om dagen og udløser alarmen Fornyelse fejlet. Se Fornyelse fejler.