Serverzertifikate erstellen: Unterschied zwischen den Versionen

IMT HilfeWiki - das Wiki
K (Auswahl des Formulars entfällt nach Sectigo Update)
 
(26 dazwischenliegende Versionen von 5 Benutzern werden nicht angezeigt)
Zeile 7: Zeile 7:
 
}}
 
}}
 
{{ambox
 
{{ambox
|type=notice
+
|type=speedy
|text=Ab sofort führen die Links '''"Webinterface der CA der Universität Paderborn G2"''' zur '''"DFN-PKI Generation-2"'''
+
|text=„Ab 2023 werden Serverzertifikate für das DFN vom Anbieter Sectigo im Rahmen des GÉANT TCS Programms bereitgestellt“
siehe https://www.pki.dfn.de/faqpki/faq-generation-2/
 
 
}}
 
}}
 
Die Certification Authority (CA) der Universität Paderborn bietet Administratoren von Einrichtungen der Universität Paderborn die SSL-Zertifizierung von Servern.
 
Die Certification Authority (CA) der Universität Paderborn bietet Administratoren von Einrichtungen der Universität Paderborn die SSL-Zertifizierung von Servern.
Zeile 15: Zeile 14:
 
== Was ist zu tun? ==
 
== Was ist zu tun? ==
  
* Erstellen Sie für Ihren Server einen mindestens 2048 Bit großen Schlüssel. Sie können dazu unser Skript '''imt-cert-cli''' verwenden, das auf dem Rechner sshgate.uni-paderborn.de installiert ist.
+
* Erstellen Sie für Ihren Server einen mindestens 2048 Bit großen Schlüssel. Sie können dazu ein Skript verwenden, das auf dem Rechner sshgate.uni-paderborn.de installiert ist.
* Beantragen Sie mit Hilfe eines passenden Certificate Signing Request die Registrierung an der CA der Universität Paderborn. Dieser Schritt wird vom obigen Skript bereits mit erledigt.
+
* Beantragen Sie mit Hilfe eines passenden Certificate Signing Request die Registrierung über das Webformular von Sectigo.
* Erhalten Sie Ihr fertiges Zertifikat per E-Mail.
+
* Erhalten Sie Ihr fertiges Zertifikat nach der Freischaltung per E-Mail.
 +
 
  
 
== Voraussetzung ==
 
== Voraussetzung ==
 
* Da nur berechtigte Personen für einen angegebenen Bereich ein Serverzertifikat beantragen können, kontrollieren Sie zunächst, ob Sie die entsprechenden Berechtigungen haben. Die CA der Universität Paderborn führt dazu  eine Liste der Bereiche bzw. Abteilungen der Universität Paderborn und der jeweils für die Beantragung von <b><u>[[Zertifizierungsinstanz Verantwortliche für Serverzertifikate|Serverzertifikaten berechtigten Personen]]</u></b>. Um sich für Ihren Bereich auf der Liste zu registrieren, senden Sie bitte eine E-Mail mit Ihren Kontaktdaten an die [mailto:ca@uni-paderborn.de CA der Universität Paderborn]. Wir rufen dann zurück.
 
* Da nur berechtigte Personen für einen angegebenen Bereich ein Serverzertifikat beantragen können, kontrollieren Sie zunächst, ob Sie die entsprechenden Berechtigungen haben. Die CA der Universität Paderborn führt dazu  eine Liste der Bereiche bzw. Abteilungen der Universität Paderborn und der jeweils für die Beantragung von <b><u>[[Zertifizierungsinstanz Verantwortliche für Serverzertifikate|Serverzertifikaten berechtigten Personen]]</u></b>. Um sich für Ihren Bereich auf der Liste zu registrieren, senden Sie bitte eine E-Mail mit Ihren Kontaktdaten an die [mailto:ca@uni-paderborn.de CA der Universität Paderborn]. Wir rufen dann zurück.
  
=== Schritt-für-Schritt-Anleitung (mit Skript) ===
 
  
* Melden Sie sich mit ''ssh'' bzw. ''putty'' auf '''sshgate.uni-paderborn.de''' an.
+
=== Schritt-für-Schritt-Anleitung ===
  
* Rufen Sie das Skript '''imt-cert-cli''' ohne Parameter auf. Das Skript erzeugt eine Konfigurationsdatei '''.imtcert''', die Sie nun an Ihre Gegebenheiten anpassen müssen. Insbesondere muss das Feld '''organizationalUnitName''' exakt den Bereichsnamen enthalten, für den Sie berechtigt sind, Zertifikate zu beantragen. Das Feld '''afs_path''' muss den Pfad enthalten, in dem der Key, der Request und der Antrag als PDF gespeichert werden sollen.
+
* Melden Sie sich mit ssh bzw. putty auf <code>sshgate.uni-paderborn.de</code> an.
 +
* Rufen Sie das Skript <code>imt-certificate-manual</code> auf und geben Sie ihre gewünschten Daten ein:
  
* Rufen Sie nun das Skript erneut auf, diesmal mit dem zu zertifizierenden Hostnamen als Parameter. Wenn Sie dabei die Domäne "uni-paderborn.de" bzw. "upb.de" weglassen, beantragt das Skript automatisch ein Zertifikat für beide alternativen Namen. Sie können über Kommata getrennt noch weitere Aliasse mit aufnehmen, das geht auch mit IP-Adressen:
+
  odenbach@antares2:~$ imt-certificate-manual 
 
+
IMT Serverzertifikatsbeantragungsskript
  odenbach@antares:~$ imt-cert-cli servername,131.234.142.12
+
 +
Bei Fragen bitte zuerst hier gucken: https://hilfe.uni-paderborn.de/Serverzertifikate_erstellen
 +
 
   
 
   
 +
Bitte die Hostnamen eingeben, für die das Zertifikat gültig sein soll.
 +
Einen pro Zeile!
 +
Folgende Eingaben sind möglich:
 +
  - Hostname ohne Domain (dann werden uni-paderborn.de und upb.de automatisch angehängt)
 +
  - Hostname mit Domain (FQDN)
 +
Alle Eingaben werden über DNS Abfragen verifiziert.
 +
Der erste Name wird der CommonName des Zertifikats!
 +
Ein leerer Name beendet die Abfrage.
 +
Name: imt-infoboard
 +
Name: andromeda.ad
 +
Name: doku.dasi.nrw
 +
Name:
 
   
 
   
  countryName: DE
+
  Zu erstellendes Zertifikat:
  organizationName: Universitaet Paderborn
+
  CN: imt-infoboard.uni-paderborn.de
organizationalUnitName: Zentrum fuer Informations- und Medientechnologien (IMT)
+
  SubjectAlternativeNames: DNS:andromeda.ad.uni-paderborn.de, DNS:andromeda.ad.upb.de, DNS:doku.dasi.nrw, DNS:imt-infoboard.uni-paderborn.de, DNS:imt-infoboard.upb.de
stateOrProvinceName: Nordrhein-Westfalen
+
  Zielordner: /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY
  localityName: Paderborn
+
Soll das Zertifikat so erstellt werden? [n]j
commonName: servername.uni-paderborn.de  
+
Generating RSA private key, 4096 bit long modulus (2 primes)
emailAddress: webmaster@uni-paderborn.de  
+
  .........................................................................................................................++++
Alternate:  
+
  .......................++++
  DNS:servername.uni-paderborn.de
+
  e is 65537 (0x010001)
  DNS:servername.upb.de
+
  Ordner für die Zertifikate erstellt: /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY
  IP:131.234.142.12
+
CSR liegt jetzt unter /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY/imt-infoboard.uni-paderborn.de.csr
  purpose: Web Server
+
  Inhalt des CSR als PEM zum pasten:
  afs_path: /upb/groups/imt/data/Zertifikate/  
+
  -----BEGIN CERTIFICATE REQUEST-----
  username:
+
  MIIFSzCCAzMCAQAwgYkxCzAJBgNVBAYTAkRFMRwwGgYDVQQIExNOb3JkcmhlaW4t
  usermail: 
+
  V2VzdGZhbGVuMRIwEAYDVQQHEwlQYWRlcmJvcm4xHzAdBgNVBAoUFlVuaXZlcnNp
  userunit: IMT Webmaster
+
  dMOkdCBQYWRlcmJvcm4xJzAlBgNVBAMTHmltdC1pbmZvYm9hcmQudW5pLXBhZGVy
  userphone: (05251) 60-XXXX
+
  [...]
  passportDigits: 
+
  KZrj6yyCB6HgfZJrgpQ0
  pin: CVBL7FKM4A6L
+
  -----END CERTIFICATE REQUEST-----
  street: Warburgerstr. 100
 
  plz: 33098 Paderborn
 
 
   
 
   
 
   
 
   
  Zertifikatsantrag erstellen und senden? [Y|n]
+
  Hier der Link zur CA Seite: https://cert-manager.com/customer/DFN/ssl/upb
 
 
* Bei Bestätigung mit ''Enter '' erstellt das Skript einen Schlüssel und einen zugehörigen Certificate Signing Request (CSR). Dieser wird automatisch zur CA übermittelt, daraufhin wird ein PDF '''antrag.pdf''' zurückgeliefert, das im gleichen Verzeichnis wie Key und CSR gespeichert wird.
 
 
 
* Den Antrag drucken Sie bitte aus und geben ihn persönlich bei einer der Registrierungsstellen der CA der Universität Paderborn ab (siehe unten).
 
 
 
* Das Zertifikat bekommen Sie dann per Mail zugeschickt.
 
 
 
=== Schritt-für-Schritt-Anleitung (manuell) ===
 
 
 
* Erstellen Sie für Ihren Server einen (mindestens 2048 Bit großen) Schlüssel und einen dazu passenden Certificate Signing Request (CSR). Informationen dazu finden Sie in den [https://www.pki.dfn.de/index.php?id=faqpki DFN-PKI-FAQ] und in der [https://www.pki.dfn.de/fileadmin/PKI/anleitungen/Anleitung_Nutzung_OpenSSL.pdf Anleitung zur Nutzung von OpenSSL in der DFN-PKI].
 
 
 
* Laden Sie den CSR mit dem neuen(!) [https://pki.pca.dfn.de/uni-paderborn-ca-g2/pub Webinterface der CA der Universität Paderborn G2] unter "Serverzertifikat" hoch und füllen Sie das Web-Formular entsprechend aus. ''' Die Angaben zu Kontaktdaten und Abteilung im Web-Formular müssen den Daten aus der [[Zertifizierungsinstanz Verantwortliche für Serverzertifikate|Liste]] für verantworliche Personen entsprechen'''.<br/>
 
 
 
Bei der Beantragung von Serverzertifikaten <b>*muss*</b> einer Veröffentlichung zugestimmt werden.
 
Siehe: https://blog.pki.dfn.de/2018/01/certificate-transparency-in-der-dfn-pki/
 
  
* Drucken Sie die Teilnehmererklärung aus und vereinbaren Sie per E-Mail einen Termin mit einer der Registrierungsstellen der CA der Universität Paderborn. Am Campus können Sie sich beim IMT registrieren (schreiben Sie an [mailto:imt@uni-paderborn.de IMT@uni-paderborn.de]), in der Fürstenallee betreibt der Informatik Rechnerbetrieb (IRB) eine Registrierungsstelle (schreiben Sie an die [mailto:irb-support@uni-paderborn.de IRB-Support-Adresse]). Bringen Sie Ihren gültigen Personalausweis oder Reisepass zur Registrierung mit.
+
* Kopieren sie die Ausgabe inkl. der Zeilen „'''-----BEGIN CERTIFICATE REQUEST-----'''“ und „'''-----END CERTIFICATE REQUEST-----'''".
 +
* Öffnen Sie ausgegebene Webadresse: https://cert-manager.com/customer/DFN/ssl/upb
 +
* Klicken Sie den Button „'''Your Institution'''“.
 +
* Suchen Sie per „'''Add your Institution'''“ nach '''Paderborn''' und wählen Sie die Universität aus.
 +
* '''Melden Sie sich mit ihrem IMT Account und Passwort an.'''
 +
* Fügen Sie die CSR Zeichenfolge aus Ihrer Zwischenablage in das Feld „CSR“ ein und überprüfen Sie, dass nach verlassen des Feldes darunter alle Hostnamen für das Zertifikat erscheinen (.uni-paderborn.de und .upb.de Varianten).
 +
* Senden Sie zum Abschluss das Formular per „'''Submit'''“ ab.  
 +
<br>
  
* Nach erfolgter Registrierung wird Ihnen das fertige Zertifikat per E-Mail zugesandt.
+
: '''Sobald Ihr Antrag freigegeben wurde, erhalten Sie Ihr Zertifikat per eMail in allen Varianten mit und ohne integrierte Zertifikatskette.'''
 +
: Für die meisten Dienste benötigen Sie das Zertifikat mit Chain in korrekter Reihenfolge. In der E-Mail, die Sie vom System erhalten, ist es über den Link hinter dem Eintrag "''as Certificate (w/ issuer after), PEM encoded:''" zu laden.

Aktuelle Version vom 28. Juni 2023, 10:54 Uhr

Allgemeine Informationen
Anleitung
Informationen
BetriebssystemAlle
ServiceZertifizierungsinstanz
Interessant fürBereiche
HilfeWiki des IMT der Uni Paderborn

no displaytitle found: Serverzertifikate erstellen

Die Certification Authority (CA) der Universität Paderborn bietet Administratoren von Einrichtungen der Universität Paderborn die SSL-Zertifizierung von Servern.

Was ist zu tun?[Bearbeiten | Quelltext bearbeiten]

  • Erstellen Sie für Ihren Server einen mindestens 2048 Bit großen Schlüssel. Sie können dazu ein Skript verwenden, das auf dem Rechner sshgate.uni-paderborn.de installiert ist.
  • Beantragen Sie mit Hilfe eines passenden Certificate Signing Request die Registrierung über das Webformular von Sectigo.
  • Erhalten Sie Ihr fertiges Zertifikat nach der Freischaltung per E-Mail.


Voraussetzung[Bearbeiten | Quelltext bearbeiten]

  • Da nur berechtigte Personen für einen angegebenen Bereich ein Serverzertifikat beantragen können, kontrollieren Sie zunächst, ob Sie die entsprechenden Berechtigungen haben. Die CA der Universität Paderborn führt dazu eine Liste der Bereiche bzw. Abteilungen der Universität Paderborn und der jeweils für die Beantragung von Serverzertifikaten berechtigten Personen. Um sich für Ihren Bereich auf der Liste zu registrieren, senden Sie bitte eine E-Mail mit Ihren Kontaktdaten an die CA der Universität Paderborn. Wir rufen dann zurück.


Schritt-für-Schritt-Anleitung[Bearbeiten | Quelltext bearbeiten]

  • Melden Sie sich mit ssh bzw. putty auf sshgate.uni-paderborn.de an.
  • Rufen Sie das Skript imt-certificate-manual auf und geben Sie ihre gewünschten Daten ein:
odenbach@antares2:~$ imt-certificate-manual   
IMT Serverzertifikatsbeantragungsskript

Bei Fragen bitte zuerst hier gucken: https://hilfe.uni-paderborn.de/Serverzertifikate_erstellen


Bitte die Hostnamen eingeben, für die das Zertifikat gültig sein soll.
Einen pro Zeile!
Folgende Eingaben sind möglich:
 - Hostname ohne Domain (dann werden uni-paderborn.de und upb.de automatisch angehängt)
 - Hostname mit Domain (FQDN)
Alle Eingaben werden über DNS Abfragen verifiziert.
Der erste Name wird der CommonName des Zertifikats!
Ein leerer Name beendet die Abfrage.
Name: imt-infoboard
Name: andromeda.ad
Name: doku.dasi.nrw
Name: 

Zu erstellendes Zertifikat:
CN: imt-infoboard.uni-paderborn.de
SubjectAlternativeNames: DNS:andromeda.ad.uni-paderborn.de, DNS:andromeda.ad.upb.de, DNS:doku.dasi.nrw, DNS:imt-infoboard.uni-paderborn.de, DNS:imt-infoboard.upb.de
Zielordner: /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY
Soll das Zertifikat so erstellt werden? [n]j
Generating RSA private key, 4096 bit long modulus (2 primes)
.........................................................................................................................++++
.......................++++
e is 65537 (0x010001)
Ordner für die Zertifikate erstellt:  /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY
CSR liegt jetzt unter /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY/imt-infoboard.uni-paderborn.de.csr
Inhalt des CSR als PEM zum pasten:
-----BEGIN CERTIFICATE REQUEST-----
MIIFSzCCAzMCAQAwgYkxCzAJBgNVBAYTAkRFMRwwGgYDVQQIExNOb3JkcmhlaW4t
V2VzdGZhbGVuMRIwEAYDVQQHEwlQYWRlcmJvcm4xHzAdBgNVBAoUFlVuaXZlcnNp
dMOkdCBQYWRlcmJvcm4xJzAlBgNVBAMTHmltdC1pbmZvYm9hcmQudW5pLXBhZGVy
[...]
KZrj6yyCB6HgfZJrgpQ0
-----END CERTIFICATE REQUEST-----


Hier der Link zur CA Seite: https://cert-manager.com/customer/DFN/ssl/upb
  • Kopieren sie die Ausgabe inkl. der Zeilen „-----BEGIN CERTIFICATE REQUEST-----“ und „-----END CERTIFICATE REQUEST-----".
  • Öffnen Sie ausgegebene Webadresse: https://cert-manager.com/customer/DFN/ssl/upb
  • Klicken Sie den Button „Your Institution“.
  • Suchen Sie per „Add your Institution“ nach Paderborn und wählen Sie die Universität aus.
  • Melden Sie sich mit ihrem IMT Account und Passwort an.
  • Fügen Sie die CSR Zeichenfolge aus Ihrer Zwischenablage in das Feld „CSR“ ein und überprüfen Sie, dass nach verlassen des Feldes darunter alle Hostnamen für das Zertifikat erscheinen (.uni-paderborn.de und .upb.de Varianten).
  • Senden Sie zum Abschluss das Formular per „Submit“ ab.


Sobald Ihr Antrag freigegeben wurde, erhalten Sie Ihr Zertifikat per eMail in allen Varianten mit und ohne integrierte Zertifikatskette.
Für die meisten Dienste benötigen Sie das Zertifikat mit Chain in korrekter Reihenfolge. In der E-Mail, die Sie vom System erhalten, ist es über den Link hinter dem Eintrag "as Certificate (w/ issuer after), PEM encoded:" zu laden.

Bei Fragen oder Problemen wenden Sie sich bitte telefonisch oder per E-Mail an uns:

Tel. IT: +49 (5251) 60-5544 Tel. Medien: +49 (5251) 60-2821 E-Mail: imt@uni-paderborn.de

Das Notebook-Café ist die Benutzerberatung des IMT

Das IMT:Notebook-Café (Raum I0.401) bietet in der vorlesungsfreien Zeit nur eingeschränkten Support

Mo Di-Do Fr
Vor-Ort-Support - 09-13 Uhr -
Telefonsupport 08:30-13 Uhr & 13:30-15 Uhr 08:30-13 Uhr

Das IMT:Servicecenter Medien auf H1 hat aktuell von Montag bis Freitag von 08:00-13:00 Uhr geöffnet.


Cookies helfen uns bei der Bereitstellung des IMT HilfeWikis. Bei der Nutzung vom IMT HilfeWiki werden die in der Datenschutzerklärung beschriebenen Cookies gespeichert.