Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende ÜberarbeitungNächste ÜberarbeitungBeide Seiten der Revision | ||
de:services:it_security:pki:start [2020/03/16 09:23] – [Neuer Weg] thinder | de:services:it_security:pki:start [2024/03/15 11:32] – [Beantragung Server-Zertifikat] thinder | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
+ | ====== PKI ====== | ||
+ | |||
+ | ===== Public Key Infrastructure ===== | ||
+ | |||
+ | Im folgenden finden Sie Anweisungen zum Anfordern von Zertifikaten mit gängigen Web-Browsern sowie Anweisungen für die Verwendung dieser Zertifikate. Die Anweisungen für die Zertifizierung beziehen sich auf e-mail (S / MIME) Zertifikate. Das Erfordernis der anderen Arten von Zertifikaten ist jedoch weitgehend ähnlich konzipiert. Wenn Sie Vorschläge für weitere Anweisungen oder weitere Fragen haben, schicken Sie eine E-mail an [[support@gwdg.de? | ||
+ | |||
+ | ===== Beantragung persönliches E-Mail-Zertifikat... ===== | ||
+ | Neue Zertifikate erhalten Sie in Zukunft über den Dienst GÉANT TCS. Bitte wenden Sie sich für Informationen zu konkreten Beantragungsverfahren an Ihren lokalen Teilnehmerservice Ihrer Einrichtung. | ||
+ | Für Nutzerzertifikate für die Signierung und/oder optionale Verschlüsselung von E-Mails ist der Beantragungs-Weg der [[# | ||
+ | Nähere Informationen finden Sie auch in den unter " | ||
+ | |||
+ | |||
+ | ==== ...aus der GÉANT TCS PKI ==== | ||
+ | Zur Beantragung eines E-Mail-Zertifikats aus der GÉANT TCS PKI, die im Mandanten des DFN der GÉANT TCS PKI verankert ist, klicken Sie bitte auf die nachfolgende PDF-Anleitung. | ||
+ | <WRAP center round download 80%> | ||
+ | Auf Grund von häufigen Änderungen im Beantragungs- und Ausstellungsprozess des GÉANT TCS PKI Betreibers Sectigo sind diese zur leichtere Änderung und Anpassung als PDF-Datei erstellt worden. | ||
+ | * {{: | ||
+ | </ | ||
+ | Bei Fragen senden Sie eine E-mail an [[support@gwdg.de? | ||
+ | |||
+ | ===== Detaillierte Beschreibung der E-Mail-Verschlüsselung mit X.509-Zertifikaten ===== | ||
+ | |||
+ | Für weiterführende Schritte und eine detaillierte Anweisungen zur Installation und Nutzung des Zertifikats (die Datei mit der Dateiendung .p12 im Download-Verzeichnis des genutzten Webbrowsers) in verschiedene E-Mail-Clients lesen Sie bitte die Informationen in folgenden Dokumenten. | ||
+ | <WRAP center round info 100%> | ||
+ | ==== GÉANT TCS PKI ==== | ||
+ | - [[https:// | ||
+ | |||
+ | ==== Allgemeingültig für X.509-Zertifikate ==== | ||
+ | - [[https:// | ||
+ | - [[https:// | ||
+ | - [[https:// | ||
+ | - [[https:// | ||
+ | - [[https:// | ||
+ | </ | ||
+ | |||
+ | |||
+ | ===== Beantragung Server-Zertifikate... ===== | ||
+ | |||
+ | ==== ...aus der GÉANT TCS PKI ==== | ||
+ | Zur Beantragung von ACME External Account Binding Informationen für Server-Zertifikaten aus der GÉANT TCS PKI, die im Mandanten des DFN der GÉANT TCS PKI verankert ist, senden Sie eine E-mail an [[support@gwdg.de? | ||
+ | |||
+ | <WRAP center round download 80%> | ||
+ | Nachdem Sie die ACME External Account Binding Informationen erhalten haben, können Sie die Zertifikate für Ihre Server automatisiert erstellen. Eine Anleitung dazu finden Sie in dem folgenden GWDG-Nachrichten Artikel: | ||
+ | - [[https:// | ||
+ | </ | ||
+ | |||
+ | |||
+ | <WRAP center round info 80%> | ||
+ | OpenSSL mit folgenden Parametern aufrufen | ||
+ | |||
+ | </ | ||
+ | |||
+ | ==== Unix/OS X ==== | ||
+ | Einfaches Bash-Skript... | ||
+ | <code bash createcsr.sh> | ||
+ | * Script createscr.sh herunterladen. | ||
+ | * Rechte ändern <code bash> | ||
+ | * Script wie folgt starten <code bash> | ||
+ | ==== Windows ==== | ||
+ | Einfaches PowerShell-Skript... | ||
+ | <code powershell createcsr.ps1> | ||
+ | Einfaches Batch-Skript... | ||
+ | <code powershell createcsr.bat> | ||
+ | |||
+ | Danach verfahren Sie weiter mit der [[# | ||
+ | ===== Beantragung Server-Zertifikat mittels OpenSSL.cnf ===== | ||
+ | |||
+ | OpenSSL mit folgenden Parametern aufrufen | ||
+ | |||
+ | ==== Unix/OS X ==== | ||
+ | Einfaches Bash-Skript... | ||
+ | <code bash createcsr.sh> | ||
+ | * Script createscr.sh herunterladen. | ||
+ | * Rechte ändern <code bash> | ||
+ | * Script wie folgt starten <code bash> | ||
+ | ==== Windows ==== | ||
+ | Einfaches PowerShell-Skript... | ||
+ | <code powershell createcsr.ps1> | ||
+ | Einfaches Batch-Skript... | ||
+ | <code powershell createcsr.bat> | ||
+ | |||
+ | Danach verfahren Sie weiter mit der [[# | ||
+ | ===== Beispieldateien für OpenSSL.cnf ===== | ||
+ | |||
+ | |||
+ | ==== MPG ==== | ||
+ | Das Wort **example** ist durch einen gültigen Servernamen und die E-Mail-Adresse **noreply@{mpg|uni-goettingen|gwdg}.de** durch eine gültige zu ersetzen. | ||
+ | <code bash example.cnf> | ||
+ | HOME = . | ||
+ | RANDFILE | ||
+ | |||
+ | #################################################################### | ||
+ | [ req ] | ||
+ | default_bits | ||
+ | default_keyfile | ||
+ | distinguished_name | ||
+ | req_extensions | ||
+ | string_mask | ||
+ | |||
+ | #################################################################### | ||
+ | [ server_distinguished_name ] | ||
+ | countryName | ||
+ | countryName_default | ||
+ | |||
+ | stateOrProvinceName | ||
+ | stateOrProvinceName_default = Niedersachsen | ||
+ | |||
+ | localityName | ||
+ | localityName_default | ||
+ | |||
+ | organizationName | ||
+ | organizationName_default | ||
+ | |||
+ | # Den Namen Ihrer der CA untergeordneten RA können Sie hier entnehmen | ||
+ | # https:// | ||
+ | # und ersetzen damit den Wert PKI | ||
+ | organizationalUnitName = Organizational Unit Name (eg, your Max-Planck-Institute) | ||
+ | organizationalUnitName_default = PKI | ||
+ | |||
+ | |||
+ | commonName | ||
+ | commonName_default | ||
+ | |||
+ | emailAddress | ||
+ | emailAddress_default | ||
+ | |||
+ | #################################################################### | ||
+ | [ server_req_extensions ] | ||
+ | |||
+ | subjectKeyIdentifier | ||
+ | basicConstraints | ||
+ | keyUsage | ||
+ | subjectAltName | ||
+ | nsComment | ||
+ | |||
+ | #################################################################### | ||
+ | [ alternate_names ] | ||
+ | |||
+ | DNS.1 = example-san-1.mpg.de | ||
+ | DNS.2 = example-san-2.mpg.de | ||
+ | </ | ||
+ | ==== Uni Göttingen ==== | ||
+ | Das Wort **example** ist durch einen gültigen Servernamen und die E-Mail-Adresse **noreply@{mpg|uni-goettingen|gwdg}.de** durch eine gültige zu ersetzen. | ||
+ | <code bash example.cnf> | ||
+ | HOME = . | ||
+ | RANDFILE | ||
+ | |||
+ | #################################################################### | ||
+ | [ req ] | ||
+ | default_bits | ||
+ | default_keyfile | ||
+ | distinguished_name | ||
+ | req_extensions | ||
+ | string_mask | ||
+ | |||
+ | #################################################################### | ||
+ | [ server_distinguished_name ] | ||
+ | countryName | ||
+ | countryName_default | ||
+ | |||
+ | stateOrProvinceName | ||
+ | stateOrProvinceName_default = Niedersachsen | ||
+ | |||
+ | localityName | ||
+ | localityName_default | ||
+ | |||
+ | organizationName | ||
+ | organizationName_default | ||
+ | |||
+ | # Bitte bei den übernächsten beiden Zeilen das Kommentarzeichen entfernen. Den Namen der CA untergeordneten RA | ||
+ | # können Sie hier entnehmen https:// | ||
+ | # | ||
+ | # | ||
+ | |||
+ | |||
+ | commonName | ||
+ | commonName_default | ||
+ | |||
+ | emailAddress | ||
+ | emailAddress_default | ||
+ | |||
+ | #################################################################### | ||
+ | [ server_req_extensions ] | ||
+ | |||
+ | subjectKeyIdentifier | ||
+ | basicConstraints | ||
+ | keyUsage | ||
+ | subjectAltName | ||
+ | nsComment | ||
+ | |||
+ | #################################################################### | ||
+ | [ alternate_names ] | ||
+ | |||
+ | DNS.1 = example-san-1.uni-goettingen.de | ||
+ | DNS.2 = example-san-2.uni-goettingen.de | ||
+ | </ | ||
+ | ==== GWDG ==== | ||
+ | Das Wort **example** ist durch einen gültigen Servernamen und die E-Mail-Adresse **noreply@{mpg|uni-goettingen|gwdg}.de** durch eine gültige zu ersetzen. | ||
+ | <code bash example.cnf> | ||
+ | HOME = . | ||
+ | RANDFILE | ||
+ | |||
+ | #################################################################### | ||
+ | [ req ] | ||
+ | default_bits | ||
+ | default_keyfile | ||
+ | distinguished_name | ||
+ | req_extensions | ||
+ | string_mask | ||
+ | |||
+ | #################################################################### | ||
+ | [ server_distinguished_name ] | ||
+ | countryName | ||
+ | countryName_default | ||
+ | |||
+ | stateOrProvinceName | ||
+ | stateOrProvinceName_default = NIEDERSACHSEN | ||
+ | |||
+ | localityName | ||
+ | localityName_default | ||
+ | |||
+ | organizationName | ||
+ | organizationName_default | ||
+ | |||
+ | # Bitte bei den übernächsten beiden Zeilen das Kommentarzeichen entfernen. Den Namen der CA untergeordneten RA | ||
+ | # können Sie hier entnehmen https:// | ||
+ | # | ||
+ | # | ||
+ | |||
+ | commonName | ||
+ | commonName_default | ||
+ | |||
+ | emailAddress | ||
+ | emailAddress_default | ||
+ | |||
+ | #################################################################### | ||
+ | [ server_req_extensions ] | ||
+ | |||
+ | subjectKeyIdentifier | ||
+ | basicConstraints | ||
+ | keyUsage | ||
+ | subjectAltName | ||
+ | nsComment | ||
+ | |||
+ | #################################################################### | ||
+ | [ alternate_names ] | ||
+ | |||
+ | DNS.1 = example-san-1.gwdg.de | ||
+ | DNS.2 = example-san-2.gwdg.de | ||
+ | </ | ||
+ | |||
+ | ===== Wichtige OpenSSL-Befehle ===== | ||
+ | Eine Sammlung wichtiger OpenSSL-Befehle für Server-Zertifikate | ||
+ | |||
+ | ==== Entfernung des Kennworts vom privaten Schlüssel ==== | ||
+ | <code bash> | ||
+ | ==== Erstellen einer PKCS# | ||
+ | <code bash> | ||
+ | |||
+ | ===== Detaillierte Beschreibung der Einsatzmöglichkeiten von X.509-Zertifikaten ===== | ||
+ | |||
+ | <WRAP center round info 100%> | ||
+ | ==== GÉANT TCS PKI ==== | ||
+ | - [[https:// | ||
+ | ==== DFN-Verein Community CA ==== | ||
+ | - [[https:// | ||
+ | - [[https:// | ||
+ | - [[https:// | ||
+ | |||
+ | </ | ||