17.6 Wystawianie certyfikatu klucza publicznego

Wewnętrzny ośrodek certyfikacji działa w taki sam sposób jak zewnętrzny. Oznacza to, że ma możliwość wystawiania certyfikatów z żądań podpisania certyfikatu (CSR). Używając wewnętrznego ośrodka certyfikacji, można wystawiać certyfikaty, gdy użytkownik wysyła żądanie podpisania certyfikatu. Użytkownik żądający certyfikatu może następnie zaimportować wystawiony certyfikat bezpośrednio do aplikacji z włączoną obsługą kryptografii.

To zadanie umożliwia generowanie certyfikatów dla aplikacji obsługujących kryptografię, które nie rozpoznają obiektów certyfikatu serwera.

Aby wystawić certyfikat, wykonaj następujące czynności:

  1. Kliknij opcje Zarządzanie certyfikatami > Wystaw certyfikaty na stronie docelowej

  2. Znajdź i wybierz plik CSR.

  3. W obszarze Specyfikacje użycia klucza wybierz właściwy typ klucza i odpowiadający mu sposób wykorzystania klucza. Te opcje umożliwiają wybranie typu klucza. Z każdym typem klucza są skojarzone wstępnie zdefiniowane wartości użycia klucza:

    1. Nieokreślone: Ta opcja jest zaznaczona domyślnie i nie aktywuje żadnego sposobu wykorzystania klucza w certyfikacie.

    2. Ośrodek certyfikacji: Ta opcja aktywuje dwa sposoby wykorzystania klucza — podpisywanie certyfikatu i podpisywanie listy CRL.

    3. Szyfrowanie: Ta opcja aktywuje wykorzystanie klucza w celu szyfrowania kluczy.

    4. Podpis: Ta opcja aktywuje wykorzystanie klucza w roli podpisu elektronicznego.

    5. SSL lub TLS: Ta opcja konfiguruje klucz tak, aby można go było używać w transakcjach SSL lub TLS.

    6. Niestandardowy: Ta opcja umożliwia ręczne wybranie dowolnej lub wszystkich opcji użycia klucza.

    7. Ustaw rozszerzenie użycia klucza jako krytyczne: Rozszerzenie użycia klucza można oznaczyć jako krytyczne w przypadku każdego typu klucza z wyjątkiem typu Nieokreślone. Każde rozszerzenie krytyczne musi być zrozumiałe dla oprogramowania odbierającego, aby certyfikat mógł zostać użyty w jakimkolwiek celu. Z tego względu zaznaczenie rozszerzenia jako krytycznego wiąże się z pewnym ryzykiem, ponieważ nie wszystkie aplikacje mogą korzystać z tego certyfikatu. Jednak dla dobrze znanych rozszerzeń, takich jak użycie klucza, ryzyko to jest minimalne. Ogólnie rzecz biorąc, jeśli określone jest użycie klucza, to rozszerzenie powinno być ustawione jako krytyczne.

  4. Można określić zakodowanie rozszerzenia Użycie klucza rozszerzonego w certyfikacie. Aby aktywować tę funkcję, należy wybrać opcję Włącz użycie klucza rozszerzonego:

    1. Serwer: Ta opcja aktywuje użycie klucza rozszerzonego Uwierzytelnianie serwera.

    2. Użytkownik: Ta opcja aktywuje użycie klucza rozszerzonego Uwierzytelnianie użytkownika i Ochrona poczty e-mail.

    3. Niestandardowy: Ta opcja umożliwia wybór dowolnej lub wszystkich opcji użycia klucza rozszerzonego.

    4. Dowolny: Umożliwia użycie klucza w dowolnym rozszerzonym użyciu klucza.

    5. Ustaw rozszerzenie rozszerzonego użycia klucza jako krytyczne: Każde rozszerzenie krytyczne musi być zrozumiałe dla oprogramowania odbierającego, aby certyfikat mógł zostać użyty w jakimkolwiek celu. Z tego względu zaznaczenie rozszerzenia jako krytycznego wiąże się z pewnym ryzykiem, ponieważ nie wszystkie aplikacje mogą korzystać z tego certyfikatu. Ponieważ wiele aplikacji nie obsługuje rozszerzenia zaawansowanego użycia klucza, oznaczenie tego rozszerzenia jako krytycznego wiąże się ze znacznym ryzykiem braku akceptacji certyfikatu przez daną aplikację. Z tego względu ustawianie go jako krytycznego powinno mieć miejsce tylko w razie konieczności.

  5. Wybierz odpowiednie ograniczenia podstawowe:

    1. Typ certyfikatu:

      1. Nieokreślone: Tę opcję należy wybrać, jeśli do certyfikatu nie ma zostać dodane rozszerzenie ograniczenia podstawowego.

      2. Ośrodek certyfikacji: Tę opcję należy wybrać, aby dodać do certyfikatu rozszerzenie ograniczenia podstawowego ośrodka certyfikacji. Jeśli certyfikat jest przeznaczony dla ośrodka certyfikacji, wybór tej opcji jest konieczny.

      3. Jednostka końcowa: Tę opcję należy wybrać, aby dodać do certyfikatu rozszerzenie ograniczenia podstawowego określające, że jest to certyfikat jednostki końcowej (podmiot nie jest ośrodkiem certyfikacji). Uwaga: jeśli certyfikat jest typu Jednostka końcowa, długość ścieżki powinna zostać ustawiona na wartość Nieokreślone.

    2. Długość ścieżki:

      1. Nieokreślone: Tę opcję należy wybrać, jeśli liczba poziomów podrzędnych ośrodków certyfikacji, które można utworzyć poniżej danego ośrodka certyfikacji, nie ma być określana.

        UWAGA:Jeśli certyfikat jest typu Jednostka końcowa, długość ścieżki powinna zostać ustawiona na wartość Nieokreślone.

      2. Określona: Tę opcję należy wybrać, jeśli określona ma zostać liczba poziomów podrzędnych ośrodków certyfikacji, które można utworzyć poniżej tego ośrodka certyfikacji. Klikając strzałkę w górę i strzałkę w dół, można określić długość tej ścieżki.

        UWAGA:Jeśli tworzony certyfikat jest podrzędnym ośrodkiem certyfikacji, długość ścieżki musi być spójna z ustawieniami nadrzędnego ośrodka certyfikacji. Jeśli na przykład długość ścieżki w nadrzędnym ośrodku certyfikacji została ustawiona na wartość 3, to w podrzędnym ośrodku certyfikacji długość ścieżki musi mieć wartość 2 lub mniejszą. Jeśli nadrzędny ośrodek certyfikacji nie ma określonej długości ścieżki, podrzędny ośrodek może również nie mieć określonej długości ścieżki lub też mieć dowolną żądaną długość ścieżki.

    3. Ustaw rozszerzenie ograniczeń podstawowych jako krytyczne: Zwykle rozszerzenie ograniczeń podstawowych musi być ustawione jako krytyczne dla certyfikatów ośrodków certyfikacji. Każde rozszerzenie krytyczne musi być zrozumiałe dla oprogramowania odbierającego, aby certyfikat mógł zostać użyty w jakimkolwiek celu. Z tego względu zaznaczenie rozszerzenia jako krytycznego wiąże się z pewnym ryzykiem, ponieważ nie wszystkie aplikacje mogą korzystać z tego certyfikatu. Jednak dla dobrze znanych rozszerzeń, takich jak ograniczenia podstawowe, ryzyko to jest minimalne.

  6. Określ następujące parametry certyfikatu:

    1. Nazwa podmiotu: W tym polu jest wyświetlana wpisana w pełnej formie nazwa drzewa OpenText eDirectory.

    2. Nazwa podmiotu: W tym polu jest wyświetlana wpisana w pełnej formie nazwa drzewa OpenText eDirectory.

    3. Okres ważności: Korzystając z listy rozwijanej, należy określić okres, w którym certyfikat będzie ważny. Zakres może wahać się od sześciu miesięcy aż do terminu w roku 2036 (jest to maksymalna wartość wynikająca z zastosowania liczb 32-bitowych do zapisu czasu). Po wybraniu opcji Określ daty można utworzyć niestandardowy okres ważności, edytując pola Data efektywna i Data wygaśnięcia. Najpóźniejsza wybrana data musi przypadać w okresie ważności ośrodka certyfikacji.

      1. Data efektywna: Umożliwia wyświetlanie lub edycję daty i godziny określających moment, w którym certyfikat nabierze ważności.

      2. Data wygaśnięcia: Umożliwia wyświetlanie lub edycję daty i godziny wygaśnięcia ważności certyfikatu.

    4. Rozszerzenia niestandardowe: Ta funkcja umożliwia serwerowi certyfikatów obsługiwanie dowolnych standardowych lub niestandardowych rozszerzeń, które można dołączać podczas tworzenia certyfikatu. Rozszerzenia należy wcześniej utworzyć i zapisać w pliku (jedno rozszerzenie w jednym pliku). Wszystkie rozszerzenia muszą być zakodowane w standardzie ASN.1 zgodnie z definicją w sekcji 4.2 dokumentu IETF RFC 2459/3280.

      Aby dołączyć jedno lub więcej rozszerzeń niestandardowych do tworzonego certyfikatu, należy kliknąć przycisk Nowy, a następnie odszukać plik zawierający rozszerzenie niestandardowe i dodać go do certyfikatu. Powtarzając ten proces, można dodać kolejne rozszerzenia.

      Aby usunąć plik rozszerzeń niestandardowych, należy go zaznaczyć, a następnie kliknąć ikonę .

  7. Wybierz odpowiedni format certyfikatu spośród następujących opcji:

    1. Plik w formacie binarnym DER: Ta opcja umożliwia zapisanie lub wyeksportowanie certyfikatu do pliku wyświetlanego w polu Nazwa pliku. Domyślnie plik certyfikatu jest zapisywany z rozszerzeniem DER w katalogu głównym dysku C: stacji roboczej OpenText Identity Console z systemem Windows i w katalogu domowym użytkownika stacji roboczej OpenText Identity Console z systemem Linux.

    2. Plik w formacie Base64: Ta opcja umożliwia zapisanie pliku CSR lub wyeksportowanie certyfikatu do pliku wyświetlanego w polu Nazwa pliku. Domyślnie plik certyfikatu jest zapisywany z rozszerzeniem B64 w katalogu głównym dysku C: stacji roboczej OpenText Identity Console z systemem Windows i w katalogu domowym użytkownika stacji roboczej OpenText Identity Console z systemem Linux.

    3. Plik w formacie CER: Ta opcja umożliwia zapisanie pliku CSR lub wyeksportowanie certyfikatu do pliku wyświetlanego w polu Nazwa pliku. Domyślnie plik certyfikatu jest zapisywany z rozszerzeniem CER w katalogu głównym dysku C: stacji roboczej OpenText Identity Console z systemem Windows i w katalogu domowym użytkownika stacji roboczej OpenText Identity Console z systemem Linux.

  8. Przejrzyj podsumowanie certyfikatu na następnym ekranie i kliknij przycisk OK.

  9. Zostanie wyświetlone potwierdzenie informujące o pomyślnym wystawieniu certyfikatu.