17.6 Выпуск сертификата открытого ключа

Ваша корпоративная сертифицирующая организация (CA) работает так же, как и внешняя сертифицирующая организация (CA). Это означает, что она может издавать сертификаты на основе запросов на подпись сертификата (CSR). Когда пользователь отправит запрос на подпись сертификата (CSR), вы можете издать для него сертификат с использованием корпоративной сертифицирующей организации (CA). Пользователь, запрашивающий сертификат, может затем импортировать выданный сертификат непосредственно в приложение с активированным шифрованием.

Эта задача позволяет сгенерировать сертификаты для приложений, которые поддерживают шифрование, но не распознают объекты "Сертификат" сервера.

Порядок издания сертификата

На целевой странице щелкните Управление сертификатом > Издать сертификаты.
Найдите и выберите файл CSR.
В разделе "Спецификации использования ключа" задайте значение параметров "Тип ключа" и "Использование ключа". Эти параметры позволяют выбрать тип ключа. С каждым типом ключа сопоставлены предопределенные значения использования ключа:
1. Не определено. Этот параметр используется по умолчанию; он не активирует использование ключа в сертификате.
2. Сертифицирующая организация (CA). Этот параметр активирует использования ключа "Подпись сертификата" и "Подпись CRL".
3. Шифрование. Этот параметр включает использование ключа для шифрования ключом.
4. Подпись. Этот параметр включает использование ключа для цифровой подписи.
5. SSL или TSL. Этот параметр настраивает ключ для использования в транзакциях SSL или TLS.
6. Настраиваемый. Этот параметр позволяет вручную выбрать отдельный параметр использования ключа или все его параметры.
7. Задать критическое расширение использования ключа. При выборе любого типа ключа, кроме "Не определено", можно помечать продление использования ключа как критическое. Любое критическое расширение должно распознаваться получающей программой до начала использования сертификата с любой целью. Таким образом, пометка расширения как критического создает некоторый риск, поскольку не все приложения смогут работать с сертификатом. Но для хорошо известных расширений, таких как использование ключей, риск минимален. В общем случае, если указывается использование ключа, расширение должно быть помечено как критическое.
Можно определить в сертификате расширение Расширенное использование ключа. Для этого выберите параметр Активировать использование расширенных ключей:
1. Сервер. Этот параметр активирует расширенное использование ключа "Аутентификация сервера".
2. Пользователь. Этот параметр активирует расширенные использования ключа "Аутентификация пользователя" и "Защита электронной почты".
3. Настраиваемый. Этот параметр позволяет выбрать любое расширенное использование ключа или все из них.
4. Любой. Позволяет применять ключ для любого расширенного использования ключа.
5. Задайте расширение расширенного использования ключа как критическое. Любое критическое расширение должно распознаваться получающей программой до начала использования сертификата с любой целью. Таким образом, пометка расширения как критического создает некоторый риск, поскольку не все приложения смогут работать с сертификатом. Так как множество приложений не распознают расширение использования расширенных ключей, пометка данного расширения как критического создает значительный риск того, что сертификат не будет принят тем или иным приложением. Поэтому устанавливать критическое расширение следует только в случае необходимости.
Выберите значение для Базовые ограничения:
1. Тип сертификата
  1. Не определено. Выберите этот параметр, если не хотите добавлять к сертификату расширение основного ограничения.
  2. Сертифицирующая организация (CA). Выберите этот параметр, чтобы добавить к сертификату расширение основного ограничения "Сертифицирующая организация". Этот параметр необходимо установить, если сертификат относится к сертифицирующей организации (CA).
  3. Конечный объект. Выберите этот параметр, чтобы добавить к сертификату расширение основного ограничения, указывающее на то, что это сертификат конечного объекта (а не сертифицирующей организации). Если сертификат имеет тип "Конечный объект", для параметра "Длина пути" должно быть установлено значение "Не определено".
2. Длина пути.
  1. Не определено. Установите этот параметр, если не хотите указывать, сколько уровней подчиненных сертифицирующих организаций (CA) может быть создано для данной сертифицирующей организации (CA).
    
    ПРИМЕЧАНИЕ.Если сертификат имеет тип "Конечный пользователь", для параметра длины пути должно быть установлено значение "Не определено".
  2. Определенный. Выберите этот параметр, если необходимо указать, сколько уровней подчиненных сертифицирующих организаций (CA) может быть создано для данной сертифицирующей организации. Чтобы задать длину пути, воспользуйтесь стрелками вверх и вниз.
    
    ПРИМЕЧАНИЕ.Если созданный сертификат является подчиненной сертифицирующей организацией (CA), то его длина пути должна быть согласована с длиной пути вышестоящей сертифицирующей организации (CA). Например, если вышестоящая сертифицирующая организация (CA) имеет длину пути 3, то длина пути подчиненной сертифицирующей организации (CA) не должна быть больше 2. Если длина пути для вышестоящей сертифицирующей организации (CA) не определена, то подчиненная сертифицирующая организация (CA) может иметь любую длину пути, в том числе неопределенную.
3. Задать расширение основных ограничений как критическое. В общем случае расширение основных ограничений для сертификатов сертифицирующей организации (CA) должно быть установлено как критическое. Любое критическое расширение должно распознаваться получающей программой до начала использования сертификата с любой целью. Таким образом, пометка расширения как критического создает некоторый риск, поскольку не все приложения смогут работать с сертификатом. Но для хорошо известных расширений, таких как основные ограничения, риск минимален.
Укажите следующие параметры сертификата:
1. Имя субъекта. Отображает полнотиповое имя дерева OpenText eDirectory.
2. Имя субъекта. Отображает полнотиповое имя дерева OpenText eDirectory.
3. Период действия. С помощью раскрывающегося списка задайте период, в течение которого будет действовать сертификат. Минимальный срок действия сертификата — 6 месяцев, максимальный — до 2036 года (это ограничение определяется 32-разрядным значением времени). Если выбрать параметр "Определение дат", можно изменить значения полей "Действителен с" и "Дата завершения срока действия" и таким образом задать собственный срок действия сертификата. Максимальная заданная дата не должна превышать даты истечения срока действия сертифицирующей организации (CA).
  1. Дата вступления в действие. В этом поле указываются дата и время начала действия сертификата, которые можно изменить.
  2. Дата окончания срока действия. В этом поле указываются дата и время окончания действия сертификата, которые можно изменить.
4. Настраиваемые расширения. Эта функция позволяет задавать поддержку сервером сертификатов любых стандартных или настраиваемых расширений при создании сертификата. Расширения должны быть созданы заранее и храниться в файлах (одно расширение на файл). Все расширения должны быть закодированы по стандарту языка ASN.1, как определено в разделе 4.2 IETF RFC 2459/3280.
  
  Если в создаваемый сертификат необходимо включить поддержку одного или нескольких настраиваемых расширений, нажмите кнопку "Новый", укажите путь к файлу с настраиваемым расширением и добавьте его к сертификату. Повторяя эти действия, к сертификату можно добавить несколько расширений.
  
  Для удаления файла настраиваемых расширений выберите его и щелкните значок .
Выберите параметр для соответствующего формата сертификата:
1. Файл в двоичном формате DER. Этот параметр позволяет сохранить или экспортировать сертификат в файл, который отображается в поле "Имя файла". По умолчанию файл сертификата экспортируется с расширением .DER в корень диска C: рабочей станции OpenText Identity Console под управлением Windows или в личный каталог рабочей станции OpenText Identity Console под управлением Linux.
2. Файл в формате Base64. Этот параметр позволяет сохранить запрос на подпись сертификата (CSR) или экспортировать сертификат в файл, который отображается в поле "Имя файла". По умолчанию файлы сертификата и запроса на подпись сертификата (CSR) экспортируются с расширением .B64 в корень диска C: рабочей станции OpenText Identity Console под управлением Windows или в личный каталог рабочей станции OpenText Identity Console на базе Linux.
3. Файл в формате CER. Этот параметр позволяет сохранить запрос на подпись сертификата (CSR) или экспортировать сертификат в файл, который отображается в поле "Имя файла". По умолчанию файлы сертификата и запроса на подпись сертификата (CSR) экспортируются с расширением .CER в корень диска C: рабочей станции OpenText Identity Console под управлением Windows или в личный каталог рабочей станции OpenText Identity Console на базе Linux.
Просмотрите сводную информацию о сертификате на следующем экране и щелкните ОК.
Появится сообщение, подтверждающее выпуск сертификата.