17.6 Emisión de un certificado de clave pública

La CA administrativa funciona del mismo modo que una CA externa. Es decir, puede emitir certificados desde peticiones de firma de certificados (CSR). Puede emitir certificados mediante la CA administrativa cuando un usuario le envíe una CSR para firmar. A continuación, el usuario que solicita el certificado puede utilizar el certificado emitido e importarlo directamente en la aplicación habilitada para el cifrado.

Esta tarea permite generar certificados para aplicaciones habilitadas para el cifrado que no reconocen objetos Certificado de servidor.

Para emitir un certificado, realice los siguientes pasos:

  1. Haga clic en las opciones Gestión de certificados > Emitir certificados de la página de destino.

  2. Busque y seleccione un archivo CSR.

  3. Seleccione el tipo de clave adecuado y el uso de clave correspondiente en Especificaciones de uso clave. Las opciones siguientes le permiten seleccionar un tipo de clave. Cada tipo de clave tiene valores del uso de la clave predefinidos y asociados:

    1. Sin especificar: esta opción está seleccionada por defecto y no activa ningún uso de clave en el certificado.

    2. Autoridad certificadora: esta opción activa los usos de clave Firma de CRL y Firma de certificado.

    3. Cifrado: Esta opción activa el uso de claves Cifrado de clave.

    4. Firma: Esta opción activa el uso de claves Firma digital.

    5. SSL o TSL: Esta opción configura la clave para que se pueda utilizar en transacciones SSL o TLS.

    6. Personalizado: esta opción permite seleccionar manualmente alguna o todas las opciones de uso de clave.

    7. Ajustar la extensión de uso de claves como crítica: Todos los tipos de clave seleccionados, salvo No especificado, permiten marcar la extensión de uso de clave como crítica. Para que el certificado se pueda usar con algún fin, el software receptor debe entender las extensiones críticas. Por tanto, marcar una extensión como crítica supone cierto riesgo, ya que no todas las aplicaciones pueden utilizar el certificado. Sin embargo, en el caso de las extensiones conocidas, como el uso de la clave, el riesgo es mínimo. En general, si se especifica el uso de la clave, la extensión se debe marcar como crítica.

  4. Puede optar por codificar una extensión Uso mejorado de clave en el certificado. Para activar esta función, seleccione Habilitar uso mejorado de clave:

    1. Servidor: esta opción activa el uso mejorado de clave Autenticación del servidor.

    2. Usuario: esta opción activa los usos mejorados de clave Autenticación de usuario y Protección de correo electrónico.

    3. Personalizado: esta opción permite seleccionar cualquiera de los usos mejorados de clave o todos ellos.

    4. Cualquiera: Permite utilizar la clave para cualquier uso de la clave extendida.

    5. Defina la extensión de uso mejorado de clave como crítica: Para que el certificado se pueda usar con algún fin, el software receptor debe entender las extensiones críticas. Por tanto, marcar una extensión como crítica supone cierto riesgo, ya que no todas las aplicaciones pueden utilizar el certificado. Como muchas aplicaciones no entienden la extensión del uso de la clave extendida, la marca de esta extensión como crítica supone el gran riesgo de que una aplicación dada no acepte el certificado; por consiguiente, sólo se debe definir como crítica cuando sea necesario.

  5. Seleccione las restricciones básicas adecuadas:

    1. Tipo de certificado:

      1. Sin especificar: Seleccione esta opción si no desea añadir ninguna extensión de límite básico al certificado.

      2. Autoridad certificadora: Seleccione esta opción para añadir al certificado una extensión de límite básico de la Autoridad certificadora. Si el certificado es para una Autoridad certificadora, debe seleccionar esta opción.

      3. Entidad final: Seleccione esta opción para añadir una extensión de límite básico al certificado que especifique que éste es un certificado de Entidad final (que no es una Autoridad certificadora). Nota: si un certificado es del tipo Entidad final, la longitud de la vía se debe establecer en No especificado.

    2. Longitud de vía:

      1. Sin especificar: Seleccione esta opción si no desea especificar el número de niveles de CA subordinadas que se pueden crear bajo esta CA.

        NOTA:Si un certificado es del tipo Entidad final, la longitud de la vía sólo se debe establecer en No especificado.

      2. Específicas: Seleccione esta opción si desea especificar el número de niveles de CA subordinadas que se pueden crear bajo esta CA. Para especificar la longitud de la vía, haga clic en las flechas arriba y abajo.

        NOTA:Si el certificado que se va a crear es una CA subordinada, la longitud de la vía debe ser coherente con la CA superior. Por ejemplo, si la longitud de vía de la CA superior es 3, la de la subordinada debe ser 2 o menos. Si la CA superior tiene una longitud de vía no especificada, la subordinada también puede tener una longitud de vía no especificada o cualquier longitud de vía concreta deseada.

    3. Definir la extensión de las restricciones básicas como crítica: En general, la extensión de las restricciones básicas se debe definir como crítica para los certificados de CA. Para que el certificado se pueda usar con algún fin, el software receptor debe entender las extensiones críticas. Por tanto, marcar una extensión como crítica supone cierto riesgo, ya que no todas las aplicaciones pueden utilizar el certificado. Sin embargo, en el caso de las extensiones conocidas, como las restricciones básicas, el riesgo es mínimo.

  6. Especifique los siguientes parámetros de certificado:

    1. Nombre de sujeto: muestra el nombre completo del árbol de OpenText eDirectory.

    2. Nombre de sujeto: muestra el nombre completo del árbol de OpenText eDirectory.

    3. Período de validez: Utilice la lista desplegable para especificar el período de validez del certificado. El rango va de seis meses al máximo, el año 2036 (una limitación de tiempo basada en un valor de tiempo de 32 bits). Si selecciona la opción Especificar fechas, puede editar los campos Entrada en vigor y Caducidad para crear un período de validez personalizado. La fecha máxima seleccionada debe encontrarse dentro de la fecha de validez de la CA.

      1. Fecha efectiva: Permite mostrar o editar la fecha y hora en las que el certificado adquiere validez.

      2. Fecha de caducidad: Permite mostrar o editar la fecha y hora en las que el certificado deja de ser válido.

    4. Extensiones personalizadas: Permite que el Servidor de certificados admita todas las extensiones estándar o personalizadas que desee incluir al crear certificados. Las extensiones se deben haber creado y almacenado previamente en un archivo (una extensión por archivo). Todas las extensiones deben tener la codificación ASN.1, tal como se define en la sección 4.2 de IETF RFC 2459/3280.

      Si desea incluir una o varias extensiones en el certificado que va a crear, haga clic en Nuevo, busque un archivo que contenga la extensión personalizada y añádalo al certificado. Para añadir varias extensiones, repita este proceso.

      Para suprimir un archivo de extensiones personalizadas, selecciónelo y haga clic en el icono .

  7. Seleccione el formato de certificado adecuado entre las opciones siguientes:

    1. Archivo en formato DER binario: esta opción permite guardar o exportar un certificado a un archivo que se muestra en el campo Nombre de archivo. Por defecto, el archivo de certificado se exporta con una extensión .DER en la raíz de la unidad C: de una estación de trabajo de OpenText Identity Console basada en Windows y en el directorio personal de una estación de trabajo de OpenText Identity Console basada en Linux.

    2. Archivo en formato Base64: esta opción permite guardar un archivo CSR o exportar un certificado a un archivo que se muestra en el campo Nombre de archivo. Por defecto, los archivos de certificado y CSR se exportan con una extensión .B64 en la raíz de la unidad C: de una estación de trabajo de OpenText Identity Console basada en Windows y en el directorio personal de una estación de trabajo de OpenText Identity Console basada en Linux.

    3. Archivo en formato CER: esta opción permite guardar un archivo CSR o exportar un certificado a un archivo que se muestra en el campo Nombre de archivo. Por defecto, los archivos de certificado y CSR se exportan con una extensión .CER en la raíz de la unidad C: de una estación de trabajo de OpenText Identity Console basada en Windows y en el directorio personal de una estación de trabajo de OpenText Identity Console basada en Linux.

  8. Revise el resumen del certificado en la pantalla siguiente y haga clic en Aceptar.

  9. Aparece un mensaje de confirmación que indica que el certificado se ha emitido correctamente.