Quelltext der Seite IIS SAN Zertifikat anfordern (Zertifikat mit mehreren Domänennamen)


[[Kategorie:IIS]]
[[Kategorie:Internet]]
[[Kategorie:Windows_Server_2008]]
Nachfolgend ist beschrieben wie man ein SAN SSL Zertifikat unter Windows anfordert.<br>
Ich zeige auch gleich wie man das mit einer eigenen Active-Directory Zertifizierungsstelle auch gleich genehmigt.<br>
Natürlich kann die Anforderung aber auch an jeder anderen Zertifikatsstelle eingereicht werden.<br>
<br>
Ein SAN Zertifikat ist ein SSL Zertifikat welches für mehr als einen DNS-Domänennamen gültig ist,<br>
z.B. für<br>
* znil.net
* mail.znil.net
* webmail.znil.net
aber auch<br>
* links.de
* rechts.com
wäre möglich.<br>
Zunächst sichtbar ist der erste DNS-Name - in den Details des Zertifikat sieht man dann die weiteren gültigen Namen. (Kommt weiter unten auch noch)<br>
Damit können alle halbwegs aktuellen Browser umgehen - nur sehr alte kennen das noch nicht.<br>
<br>
<br>
----
==Zertifikat anfordern==
Management Controll starten, z.B. über Start -> Ausführen oder <code>[WIN]</code> + <code>R</code> und dann <code>mmc</code> eingeben.<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-001.png]]<br>
<br>
<br>
<br>
Nun das Snap-In hinzufügen:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-002.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-003.png]]<br>
<br>
<br>
<br>
Wichtig: Es muss für das Computerkonto sein! (Wir wollen ja ein Webbrowser-Zertifikat)<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-004.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-005.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-006.png]]<br>
<br>
<br>
<br>
Jetzt kommt die eigentliche Anforderung:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-007.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-008.png]]<br>
<br>
<br>
<br>
Je nachdem was Ihr schon auf euren System habt können hier auch mehr Optionen stehen - nehmt den markierten Eintrag<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-009.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-010.png]]<br>
<br>
<br>
<br>
Nicht gleich zu erkennen - aber man kann diese kleinen weißen Kreise mit dem Doppelpfeil anklicken:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-011.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-012.png]]<br>
<br>
<br>
<br>
Der Anzeigename wird an anderer Stelle im Internet als <code>*.</code> empfohlen für den Namen der Hauptdomäne. Das bedeutet aber nicht das es ein Wildcard-Zertifikat wird - das müssten wir an anderer Stelle eintragen.<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-013.png]]<br>
<br>
<br>
<br>
Der Allgemeine Name ist der erste Namen in der Liste - es sollte der Name der Hauptdomäne sein. Dieser Name wird also mit auf die Lister der gültigen Domänennamen gesetzt! Bitte beachten falls Ihr ein gekauftes Zertifikat einsetzt - da ist ja in der Regel die Anzahl der DNS Namen begrenzt (5 oder 10 z.B.)<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-014.png]]<br>
<br>
<br>
<br>
Danach fügen wir unten bei den Alternativen Namen alle anderen DNS-Namen hinzu:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-015.png]]<br>
<br>
<br>
<br>
Weiter geht es auf dem Karteireiter <code>Erweiterungen</code>:
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-016.png]]<br>
<br>
<br>
<br>
Die <code>Serverauthentifizierung</code> muss es sein - es ist ja für einen Web'''server'''<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-017.png]]<br>
<br>
<br>
<br>
Weiter geht es auf dem Reiter <code>Privater Schlüssel</code>, hier müssen wir gleich 2.Punkte erweitern:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-018.png]]<br>
<br>
<br>
<br>
Ich würde unbedingt den privaten Schlüssel exportierbar machen - damit könnt Ihr das Zertifikat auch auf andere Server oder sogar auf Linux Server verschieben - sprich man hat eine Menge mehr Möglichkeiten:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-019.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-020.png]]<br>
<br>
<br>
<br>
Als Dateiendung könnt Ihr auch <code>.txt</code> nehmen - ich nehme hier wie viele andere <code>.req</code> für '''''Request''''':<br> 
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-021.png]]<br>
<br>
<br>
<br>
Wenn man diese Datei mit einem Text-Editor öffnet sieht diese z.B. so aus. Je nach dem wie eure Zertifizierungsstelle bzw. der Anbieter der SSL Zertifikate vorsieht müsst Ihr eine Datei einreichen oder den Text in ein Web-Formular kopieren.
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-022.png]]<br>
<br>
<br>
<br>
-----
==Zertifikatsanforderung bei einem Actice Directory-Zertifikatsdienst einreichen und genehmigen==
Im einem Webbrowser (nehmt doch ausnahmsweise den '''''Internet Explorer''''', bei Problemen lokal auf dem Server auf der Zertifikatsdienst installiert ist. Der Link ist
 https://[Servername]/certsrv/
Dort folgt Ihr den Links wie folgt:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-023.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-024.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-025.png]]<br>
<br>
<br>
<br>
Hier müsst Ihr nun den Text aus der zuvor erzeugten Datei hineinkopieren:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-026.png]]<br>
<br>
<br>
<br>
Er hat die Anfrage angenommen - je nachdem wie euerer Zertifikatsdienst konfiguriert ist kann es sein das diese auch sofort genehmigt und euch zum Download zur Verfügung stellt.<br>
Hier sehen wir das die Anforderungsnummer '''9''' ist:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-027.png]]<br>
<br>
<br>
<br>
Lokal auf dem Server auf der Zertifizierungsdienst installiert ist findet Ihr die Verwaltungskonsole unter<br>
 Start -> Verwaltung -> Zertifizierungsstelle
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-028.png]]<br>
Wir sehen unsere Anforderung, hier '''9''', und können diese per Rechtsklick genehmigen.<br>
<br>
<br>
<br>
Wieder Zurück auf die Start-Webseite und den Status abfragen:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-029.png]]<br>
<br>
<br>
<br>
Treffer - weiter geht es:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-030.png]]<br>
<br>
<br>
<br>
Je nach Konfiguration gibt es diese Warnung - JA!<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-031.png]]<br>
<br>
<br>
<br>
Nein, ich kann nicht sagen welches Format besser geeignet ist - für die weiteren Schritte kommen wir aber prima mit <code>DER-codiert</code> klar:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-032.png]]<br>
Die Anforderung speichern wir nun an einem Ort unserer Wahl.<br>
<br>
Wenn Ihr das Zertifikat bei einem Anbieter von SSL Zertifikaten einreicht läuft es im Prinzip genauso - Ihr sollten an dieser Stelle eine entsprechende Datei in Händen halten (sinngemäß)<br>
<br>
<br>
<br>
----
==Genehmigte Zertifikatsanforderung importieren==
Wir gehen wieder in das Management Control (siehe ersten Abschnitt von der Anforderung) und wählen diesmal den Importieren-Vorgang:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-033.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-034.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-035.png]]<br>
<br>
<br>
<br>
Ja, "Eigene Zertifikate" ist richtig - es sind hier die Eigenen des Servers auf dem wir sind (Zur Erinnerung: Wir hatten ja '''Computerkonto''' bei der Einrichtung des MMC ausgewählt)<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-036.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-037.png]]<br>
<br>
<br>
<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-038.png]]<br>
<br>
<br>
<br>
Und da ist es - nun kann es z.B. im IIS für Webseiten genutzt werden.<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-039.png]]<br>
<br>
<br>
<br>
Wenn wir die Details aufrufen sehen wir zum einen das wir einen privaten Schlüssel besitzen (also der Computer):<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-040.png]]<br>
<br>
<br>
<br>
Zum anderen sehen wir die weiteren DNS-Namen für die dieses Zertifikat gültig ist:<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-041.png]]<br>
<br>
<br>
<br>
Wenn wir mit selbst signierten Zertifikaten arbeiten (also eigene Zertifizierungsstelle) müssen wir den Rechner dann nur das obere Zertifikat importieren (hier <code>DC</code>) - das ist auch länger gültig. Das lässt sich natürlich auch per GPO verteilen.<br>
[[Datei:IIS-SAN-Zertifikat-Windows-anfordern-und-importieren-042.png]]<br>
<br>
<br>
<br>
--[[Benutzer:BLinz|Bernhard Linz]] 16:36, 10. Jan. 2013 (CET)
----
<comments />