17.1 Управление сертифицирующей организацией (CA)

По умолчанию в ходе установки Certificate Server для вас создается корпоративная сертифицирующая организация (CA). Вам будет предложено указать ее имя. После щелчка кнопки "Готово" корпоративная сертифицирующая организация (CA) будет создана (с использованием параметров по умолчанию) и помещена в контейнер безопасности. Чтобы получить более широкий контроль при создании корпоративной сертифицирующей организации (CA), можно создать ее вручную на портале OpenText Identity Console. Кроме того, если корпоративная сертифицирующая организация (CA) удалена, ее необходимо будет создать заново.

Модуль "Сертифицирующая организация (CA)" позволяет выполнить следующие задачи:

17.1.1 Создание сертификатов корпоративной сертифицирующей организации (CA)

Порядок создания объекта "Корпоративная сертифицирующая организация (CA)"

  1. На целевой странице щелкните Управление сертификатом > Управление серт. орг..

  2. При отсутствии объекта "Корпоративная сертифицирующая организация (CA)" откроется соответствующее диалоговое окно и мастер создания объекта "Корпоративная сертифицирующая организация (CA)". Следуйте инструкциям мастера по созданию объекта.

    ПРИМЕЧАНИЕ.Убедитесь, что указанный здесь путь к файлу списка аннулированных сертификатов соотносится с путем установки OpenText eDirectory.

  3. По окончании создания сертифицирующей организации (CA) мы рекомендуем создать резервную копию пары из открытого и закрытого ключей и сохранить ее в безопасном месте. Дополнительную информацию см. в разделе Резервное копирование сертификатов корпоративной сертифицирующей организации (CA).

17.1.2 Резервное копирование сертификатов корпоративной сертифицирующей организации (CA)

Рекомендуем создать резервную копию закрытого ключа и сертификатов корпоративной сертифицирующей организации (CA) на тот случай, если на ее хост-сервере произойдет неустранимый сбой. При возникновении сбоя можно использовать файл резервной копии для восстановления корпоративной сертифицирующей организации (CA) на любой сервер в дереве.

ПРИМЕЧАНИЕ.Возможность создать резервную копию корпоративной сертифицирующей организации (CA) доступна только для корпоративной сертифицирующей организации (CA), созданной Certificate Server версии 9.0 и более поздних. Если закрытый ключ корпоративной сертифицирующей организации (CA) создан в предыдущих версиях Certificate Server, его экспорт невозможен.

Файл резервной копии содержит закрытый ключ сертифицирующей организации (CA), самоподписанный сертификат, сертификат открытого ключа и несколько других сертификатов, необходимых для его работы. Эта информация сохраняется в формате PKCS #12 (также известен как PFX).

Выполнять резервное копирование корпоративной сертифицирующей организации (CA) нужно тогда, когда она работает должным образом.

Порядок создания резервной копии корпоративной сертифицирующей организации (CA)

  1. На целевой странице щелкните Управление сертификатом > Управление серт. орг..

  2. Откройте вкладку Сертификаты.

  3. Выберите Самоподписанный сертификат или Сертификат открытого ключа. При выполнении операции резервного копирования оба сертификата записываются в файл. Рекомендуем выбрать самоподписанный сертификат для RSA отдельно от сертификатов ECDSA.

  4. Щелкните значок .

  5. Выберите экспорт закрытого ключа, укажите пароль длиной не менее 6 символов (буквенно-цифровых), который будет использоваться для шифровки файла PFX, для формата экспорта выберите PKCS12 и щелкните ОК.

  6. Зашифрованный файл резервной копии будет записан в указанное расположение. Теперь он готов для сохранения в безопасном расположении для использования при возникновении аварийной ситуации.

17.1.3 Восстановление корпоративной сертифицирующей организации (CA)

Если объект "Корпоративная сертифицирующая организация (CA)" удален, поврежден или на хост-сервере произошел неустранимый сбой, корпоративную сертифицирующую организацию (CA) можно восстановить с помощью файла резервной копии. Дополнительные сведения о резервном копировании сертификатов сертифицирующей организации (CA) см. в разделе Резервное копирование сертификатов корпоративной сертифицирующей организации (CA).

Порядок восстановления корпоративной сертифицирующей организации (CA)

  1. На целевой странице щелкните Управление сертификатом > Управление серт. орг..

  2. Чтобы удалить существующую корпоративную сертифицирующую организацию (CA), щелкните в верхней части экрана (рядом с Управление сертифицирующей организацией (CA)).

  3. Будет предложено настроить новую корпоративную сертифицирующую организацию (CA). Откроется диалоговое окно создания объекта "Корпоративная сертифицирующая организация (CA)" и окно соответствующего мастера для создания этого объекта.

  4. В диалоговом окне создания укажите сервер для корпоративной сертифицирующей организации (CA) и имя объекта "Корпоративная сертифицирующая организация (CA)".

  5. Выберите Импорт.

  6. Выберите сертификаты RSA и ECDSA. Certificate Server требует, чтобы оба сертификата имели одно имя субъекта. Однако Certificate Server не поддерживает импорт внешних самоподписанных сертификатов сертифицирующей организации (CA). При этом он поддерживает импорт сертификатов подчиненной сертифицирующей организации (CA).

  7. На последующих экранах найдите и выберите имя файла для RSA и ECDSA.

  8. Введите пароль, использованный для шифрования файла при создании резервной копии, и щелкните ОК.

  9. Закрытый ключ и сертификаты корпоративной сертифицирующей организации (CA) будут восстановлены, а сертифицирующая организация станет полностью функциональной. Этот файл теперь можно сохранить для использования в будущем.

17.1.4 Проверка сертификатов сертифицирующей организации (CA)

Если есть подозрения, что сертификат имеет может быть недействительным, его можно легко проверить, используя OpenText Identity Console. Проверить можно любой сертификат в дереве OpenText eDirectory, включая сертификаты, изданные внешними сертифицирующими организациями (CA).

Процесс проверки сертификата включает в себя проверки данных в сертификате, а также данных в цепочке сертификатов. Цепочка сертификатов состоит из корневого сертификата сертифицирующей организации (CA) и (необязательно) сертификатов одной или нескольких промежуточных сертифицирующих организаций (CA).

Порядок проверки сертификата

  1. На целевой странице щелкните Управление сертификатом > Управление серт. орг..

  2. Откройте вкладку Сертификаты.

  3. Выберите Самоподписанный сертификат или Сертификат открытого ключа.

  4. Щелкните , чтобы проверить выбранные сертификаты сертифицирующей организации (CA).

17.1.5 Замена сертификатов корпоративной сертифицирующей организации (CA)

Если сертификаты по определенной причине повреждаются или становятся недействительными либо необходимо заменить имеющиеся сертификаты, выполните указанные ниже действия:

  1. На целевой странице щелкните Управление сертификатом > Управление серт. орг..

  2. Откройте вкладку Сертификаты.

  3. Выберите Самоподписанный сертификат или Сертификат открытого ключа.

  4. Щелкните , чтобы заменить выбранный сертификат сертифицирующей организации (CA).

  5. Импортируйте сертификат сертифицирующей организации в формат (CA) .pfx или .p12 и укажите пароль для шифрования закрытого ключа.

  6. Щелкните ОК.

ПРИМЕЧАНИЕ.OpenText Identity Console начнет отправлять уведомления об окончании срока действия сертификата центра сертификации за 60 дней до наступления этого срока. Это сообщение отображается после входа в OpenText Identity Console.

17.1.6 Отзыв сертификатов корпоративной сертифицирующей организации (CA)

Порядок отзыва сертификата

  1. На целевой странице щелкните Управление сертификатом > Управление серт. орг..

  2. Откройте вкладку Сертификаты.

  3. Выберите Самоподписанный сертификат или Сертификат открытого ключа.

  4. Щелкните значок .

  5. Внимательно ознакомьтесь с предупреждением о риске, связанном с отзывом сертификатов сервера.

  6. В раскрывающемся списке выберите подходящую причину отзыва, затем выберите дату истечения срока действия и укажите комментарии (если нужно).

  7. Щелкните ОК, чтобы завершить отзыв.