17.6 Émission d'un certificat de clé publique

Votre autorité de certification organisationnelle fonctionne de la même manière qu'une autorité de certification externe. Autrement dit, elle est capable d'émettre des certificats à partir de requêtes de signature de certificat (CSR). Vous pouvez émettre des certificats à l'aide de votre autorité de certification organisationnelle lorsqu'un utilisateur envoie une requête vous invitant à signer le certificat. L'utilisateur qui demande le certificat peut se servir du certificat émis et l'importer directement dans l'application qui prend en charge la cryptographie.

Cette tâche vous permet de générer des certificats destinés aux applications codées qui ne reconnaissent pas les objets Certificat de serveur.

Pour émettre un certificat, procédez comme suit :

  1. Sur la page de renvoi, cliquez sur Gestion des certificats > Émettre des certificats.

  2. Recherchez et sélectionnez un fichier CSR.

  3. Sélectionnez le type de clé approprié et l'utilisation de la clé correspondante sous Spécifications d'utilisation de la clé. Ces options vous permettent de sélectionner un type de clé. Des valeurs d'utilisation de clé sont prédéfinies pour chacun des types de clé:

    1. Non spécifié : il s'agit de l'option par défaut ; elle n'active pas d'utilisation de la clé dans le certificat.

    2. Autorité de certification : cette option active les utilisations de clé Signature de certificat et Signature CRL.

    3. Chiffrement : Cette option active l'utilisation de la clé Key Encipherment (Codage de la clé).

    4. Signature : Cette option active l'utilisation de la clé Signature digitale.

    5. SSL ou TSL : Cette option permet de configurer la clé de telle sorte qu'elle puisse être utilisée dans les transactions SSL (Secure Socket Layer) ou TLS.

    6. Personnalisé : cette option permet de sélectionner manuellement une ou toutes les options d'utilisation de la clé.

    7. Définir l'extension d'utilisation de la clé sur Critique: Vous pouvez définir l'extension d'utilisation de la clé sur Critique pour tous les types de clé, à l'exception de « Non spécifié ». Toute extension critique doit être comprise par le logiciel destinataire avant que le certificat puisse être utilisé dans un but quelconque. Dès lors, il peut être risqué de définir une extension comme critique, car toutes les applications ne pourront pas utiliser le certificat. Le risque est toutefois minime pour des extensions bien connues, telles que l'utilisation de la clé. En général, si l'utilisation de la clé est indiquée, l'extension est désignée comme critique.

  4. Vous pouvez décider de coder une extension d'utilisation de clés étendues dans le certificat. Pour activer cette fonction, sélectionnez Activer l'utilisation de clés étendues :

    1. Serveur : cette option active l'utilisation de clés étendues Authentification du serveur.

    2. Utilisateur : cette option active les utilisations de clés étendues Authentification de l'utilisateur et Protection des messages électroniques.

    3. Personnalisé : cette option permet de sélectionner une ou toutes les utilisations de clés étendues.

    4. N'importe laquelle : Permet d'utiliser la clé pour n'importe quelle utilisation de clé étendue.

    5. Définir l'extension de l'utilisation de clés étendues sur Critique : Toute extension critique doit être comprise par le logiciel destinataire avant que le certificat puisse être utilisé dans un but quelconque. Dès lors, il peut être risqué de définir une extension comme critique, car toutes les applications ne pourront pas utiliser le certificat. De nombreuses applications ne comprenant pas l'extension d'utilisation de clé étendue, si vous définissez cette extension comme critique, le certificat risque de ne pas être accepté par une application spécifique. Ne paramétrez donc cette extension sur Critique que si cela est vraiment nécessaire.

  5. Sélectionnez les contraintes de base appropriées :

    1. Type de certificat :

      1. Non spécifié : Sélectionnez cette option si vous ne souhaitez pas ajouter d'extension de contraintes de base au certificat.

      2. Autorité de certification : Sélectionnez cette option pour ajouter une extension de contraintes de base Autorité de certification au certificat. Si le certificat est destiné à une autorité de certification, vous devez sélectionnez cette option.

      3. Entité Fin : Sélectionnez cette option pour ajouter une extension de contraintes de base au certificat spécifiant qu'il s'agit d'un certificat Entité Fin (et non d'une autorité de certification). Remarque : s'il s'agit d'un certificat de type Entité Fin, la longueur du chemin doit être définie sur Non spécifié.

    2. Longueur du chemin :

      1. Non spécifié : Sélectionnez cette option si vous ne souhaitez pas spécifier le nombre de niveaux d'autorités de certification subordonnées qui peuvent être créés sous cette autorité de certification.

        REMARQUE :s'il s'agit d'un certificat de type Entité Fin, la longueur du chemin doit être définie sur Non spécifié.

      2. Spécifié : Sélectionnez cette option si vous souhaitez spécifier le nombre de niveaux d'autorités de certification subordonnées qui peuvent être créés sous cette autorité de certification. Cliquez sur les flèches haut et bas pour indiquer la longueur du chemin.

        REMARQUE :si le certificat en cours de création est une autorité de certification subordonnée, la longueur du chemin doit être cohérente avec celle de l'autorité de certification supérieure. Par exemple, si la longueur du chemin de l'autorité de certification supérieure est de 3, celle de la subordonnée doit être inférieure ou égale à 2. Si la longueur du chemin de l'autorité de certification supérieure est non spécifiée, celle de la subordonnée peut également être non spécifiée ou présenter n'importe quelle valeur spécifique.

    3. Définir l'extension des restrictions de base sur critique: En général, l'extension des contraintes de base doit être définie sur critique pour les certificats Autorité de certification. Toute extension critique doit être comprise par le logiciel destinataire avant que le certificat puisse être utilisé dans un but quelconque. Dès lors, il peut être risqué de définir une extension comme critique, car toutes les applications ne pourront pas utiliser le certificat. Le risque est toutefois minime pour des extensions bien connues, telles que des contraintes de base.

  6. Spécifiez les paramètres de certificat suivants :

    1. Nom du sujet: affiche le nom complet avec type de votre arborescence OpenText eDirectory.

    2. Nom du sujet: affiche le nom complet avec type de votre arborescence OpenText eDirectory.

    3. Période de validité: Utilisez la liste déroulante pour spécifier une période de validité pour le certificat. Elle peut varier de 6 mois au maximum, soit l'année 2036 (limite temporelle basée sur une valeur temporelle de 32 bits). Si vous sélectionnez l'option Indiquer les dates, vous pouvez modifier les champs Date d'entrée en vigueur et Date d'expiration pour créer une période de validité personnalisée. La date maximale choisie doit être comprise dans la période de validité de l'autorité de certification.

      1. Date d'entrée en vigueur : Permet d'afficher ou de modifier la date et l'heure de début de validité du certificat.

      2. Date d'expiration : Permet d'afficher ou de modifier la date et l'heure de fin de validité du certificat.

    4. Extensions personnalisées: Permet au serveur de certificats de prendre en charge toutes les extensions standard ou personnalisées que vous souhaitez inclure lors de la création d'un certificat. Les extensions doivent être préalablement créées et stockées dans un fichier (une extension par fichier). Elles doivent toutes être codées en ASN.1 comme défini dans l'IETF RFC 2459/3280 section 4.2.

      Si vous souhaitez inclure une ou plusieurs extensions personnalisées dans le certificat que vous créez, cliquez sur Nouveau, puis recherchez un fichier contenant l'extension personnalisée et ajoutez-la au certificat. Pour ajouter d'autres extensions, répétez la procédure.

      Pour supprimer un fichier d'extensions personnalisées, sélectionnez-le, puis cliquez sur l'icône .

  7. Sélectionnez le format de certificat approprié parmi les options suivantes :

    1. Fichier au format DER binaire : cette option permet d'enregistrer ou d'exporter un certificat vers le fichier indiqué dans le champ Nom du fichier. Par défaut, le fichier de certificat est exporté avec l'extension .DER à la racine du disque C: d'un poste de travail OpenText Identity Console Windows et dans le répertoire privé d'un poste de travail OpenText Identity Console Linux.

    2. Fichier au format Base64 : cette option permet d'enregistrer une requête de signature de certificat (CSR) ou d'exporter un certificat vers le fichier indiqué dans le champ Nom du fichier. Par défaut, les fichiers de certificat et de CSR sont exportés avec l'extension .B64 à la racine du disque C: d'un poste de travail OpenText Identity Console Windows et dans le répertoire privé d'un poste de travail OpenText Identity Console Linux.

    3. Fichier au format CER : cette option permet d'enregistrer une requête de signature de certificat (CSR) ou d'exporter un certificat vers le fichier indiqué dans le champ Nom du fichier. Par défaut, les fichiers de certificat et de CSR sont exportés avec l'extension .CER à la racine du disque C: d'un poste de travail OpenText Identity Console Windows et dans le répertoire privé d'un poste de travail OpenText Identity Console Linux.

  8. Consultez le résumé du certificat dans l'écran suivant, puis cliquez sur OK.

  9. Un message de confirmation s'affiche pour signaler que le certificat a été émis.