Interna certifikat från Windows CA

Källan Windows CA hämtar certifikat från er egen Active Directory Certificate Services (AD CS). Serviceagenten på en Windows-server skickar begäran till CA:n. Installationsplanerna förnyar och installerar certifikaten precis som alla andra certifikat.

Appliancen skapar nyckeln och CSR:en, och agenten får bara CSR:en. Den privata nyckeln skickas till en server först när en installationsplan installerar certifikatet (export av privata nycklar).

När behöver ni det här

Servrar och tjänster med interna namn, som en publik CA inte utfärdar för, ska ha certifikat som domänens datorer litar på.
Ni har en AD CS, och certifikaten ska fortsätta komma därifrån, men förnyas och installeras automatiskt.

Innan ni börjar

Licensen Enterprise med tillägget Windows CA. Kontakta FairSSL för att få det aktiverat.
En godkänd serviceagent på en Windows-server som når CA:n (Windows-servrar).
En mall som är publicerad på CA:n under Certificate Templates och tillåter “Supply in the request”. Datorkontot för agentens server, DOMÄN\SERVER$, måste ha Read och Enroll på den.

Standardmallen WebServer ger bara Domain Admins och Enterprise Admins behörighet till Enroll. Gör en kopia av den, eller ge datorkontot Enroll på den mall ni använder.

Skapa källan

Öppna Moduler och klicka på Hämta licensmoduler och uppdateringar. Klicka på Aktiver vid Windows CA och sedan på Starta om och tillämpa (moduler). Knappen Aktiver visas på danska. Bara programmet på appliancen startas om, inte den virtuella maskinen.
Öppna Källor › Källor, klicka på Lägg till källa och välj Windows CA.
Välj agenten under Serviceagent.
Klicka på Hitta CA:er via agenten och välj CA:n. Svaret kommer när agenten hör av sig nästa gång. Finns CA:n inte i listan, välj Annan CA (skriv själv) och skriv den som Server\CA-namn, till exempel DC19.corp.local\Corp CA.
Klicka på Hämta mallar via agenten och välj mallen. Skriver ni namnet själva med Annat mallnamn (skriv själv), använd mallens namn, inte visningsnamnet.
Spara källan.

Sidan varnar om mallen bygger subject från Active Directory, inte tillåter SAN eller kräver godkännande av en certificate manager. Kräver den godkännande väntar källan tills begäran är godkänd på CA:n.

Använd källan i en profil

Öppna Profiler och klicka på Skapa certifikatprofil (skapa en profil).
Ge profilen ett namn, till exempel Intern Windows CA, och klicka på Lägg till vid Windows CA-källan.
Välj RSA 2048, 3072 eller 4096 bitar som Default nyckeltyp och klicka på Skapa profil. Källan markerar bara RSA som redo för produktion.
Skapa installationsplanen enligt steg 8 och välj profilen under Profil.

Appliancen letar efter svar från CA:n var femte minut. Kontrollera nu skickar begäran direkt.

Kontrollera att det fungerar

Källan visar Windows CA-begäran med status Utfärdad och Request ID på CA:n. Samma Request ID står under Issued Certificates i Certification Authority-konsolen.
Certifikatet står under Certifikat › Styrs av sslbrain.
Servern levererar certifikatet (steg 8).

Om det inte fungerar

Källan visar orsaken under Senaste begäran misslyckades.

CA:n eller Active Directory nekade agenten åtkomst: ge datorkontot för agentens server Read och Enroll på mallen och rätt att begära certifikat på CA:n. Är servern en domänkontrollant är kontot medlem i Domain Controllers, inte i Domain Computers.
CA:n utfärdar inte från den här mallen: lägg till mallen under Certificate Templates på CA:n, eller välj en mall som CA:n utfärdar från.
CA:n avslog begäran: orsaken finns under Failed Requests på CA:n.
Begäran väntar på godkännande: godkänn den på CA:n. Källan kontrollerar var femtonde minut i upp till en vecka.
Serviceagenten har inte hört av sig på över 15 minuter: kontrollera att tjänsten sslbrainagent körs på servern.
Serviceagenten avvisade uppgiften innan skriptet körde: agenten kan inte verifiera modulens skript, eller dess version är för låg. Uppdatera agenten.
Serviceagenten hör av sig men har inte rapporterat uppgiften inom ett dygn: orsaken finns i agentens logg under C:\ProgramData\sslbrain\logs på servern.

Efter ett fel väntar källan en timme. Efter 3 fel i rad går källan till fel, försöker en gång om dagen och utlöser larmet Förnyelse misslyckades. Se Förnyelsen misslyckas.