CA do domínio do usuário para criar um certificado UCC

2

Temos mais de 30 servidores RDS e usamos um balanceador de carga de hardware. Eu estou tentando descobrir como gerar um certificado UCC da nossa CA em casa.

Alguém me aponta na direção certa para fazer isso? Precisa aliasar todos os nomes de servidores RDS para que, quando os usuários rejeitarem servidores, eles não continuem vendo a tela cert confiável porque o servidor ao qual eles se conectam não é o mesmo nome para o qual eles são apontados (balanceador de carga)

    
por Tsukasa 05.05.2015 / 20:42

1 resposta

4

Um certificado UCC é mais um termo de marketing do que um tipo de certificado tecnicamente diferente. Um certificado UCC é realmente apenas um certificado X509 regular com um grupo de SANs (nomes alternativos de assunto) nele. Dessa forma, você pode imitar facilmente a funcionalidade de um certificado desse tipo com sua própria autoridade de certificação interna. Se você é o proprietário da CA, pode emitir certificados com literalmente qualquer combinação de CNs e SANs com os quais você possa sonhar.

"UCC certs" e "SAN certs" são essencialmente a mesma coisa.

Se eu fosse você, eu duplicaria um Server Auth. modelo de certificado da sua CA e dê permissões de inscrição manuais ao seu grupo de servidores RDS. Certificaria-me de modificar o modelo para solicitar informações adicionais para que você tenha a oportunidade de inserir SANs adicionais (como nomes DNS, provavelmente) no momento em que você se inscrever. Eu também faria a chave privada exportável, para que você possa compartilhar esse certificado entre todos os seus servidores RDS ou enviá-lo para o balanceador de carga de hardware, conforme o caso.

Esta é uma tela como o seu cliente veria (semelhante a - apenas um exemplo) quando ele está tentando se inscrever em um certificado da sua CA corporativa. Você chega aqui indo para mmc - > Adicionar snap-in - > certificados, clique com o botão direito e escolha se inscrever.

OqueoclientevênessatelaédeterminadoporquaismodelosdecertificadosuaCAcorporativafoiconfiguradaparaoferecer(eparaoqueeletempermissão).

SeasuaCAeosseusclientesnãotiveremingressadonomesmodomínio,vocêprecisarápassarpeloRegistronaWebdosServiçosdeCertificados.Eleforneceumainterfacedawebantigaparasolicitarcertificados.

EmvezdeumEKUdeautenticaçãodeservidor,vocêpodeprecisardeumEKUdeautenticaçãodeservidordeáreadetrabalhoremota.Vejaosdetalhesaqui: link

    
por 05.05.2015 / 20:59