Como incluir todos os registros DNS e o endereço IP de um servidor no registro automático de certificado do Microsoft AD CS?

Question

Na minha empresa, há muitos servidores que os usuários acessam remotamente para executar suas tarefas. Nós habilitamos o registro automático de certificados de computador para garantir uma conexão segura. Mas, como temos alguns servidores com vários registros DNS, é provável que os usuários não usem o nome DNS principal do servidor ou usem o endereço IP dele para receberem um erro de certificado quando tentarem se conectar. Portanto, queremos uma maneira de incluir automaticamente todos os registros DNS e o endereço IP do servidor no Nome Alternativo de Assunto do certificado.

    

Answer 1

Como nem a CA nem o servidor sabem os nomes DNS que seus clientes estão usando para acessar o servidor, não há como fazer isso automaticamente. Você precisa especificar os nomes DNS que você gostaria de usar. Para fazer isso, você precisa criar uma solicitação personalizada para os servidores.

Crie um arquivo chamado requestSAN.inf com o conteúdo abaixo

[Version]                                                                   
Signature="$Windows NT$                                                     

[NewRequest]                                                                
Subject = "C=DE,O=YOUR-COMPANY-NAME,CN=SERVER.COMPANY.COM";                  
EncipherOnly = FALSE                                                        
Exportable = TRUE                                                           
KeyLength = 2048                                                            
KeySpec = 1                                                                 
KeyUsage = 0xA0     ; Digital Signature, Key Encipherment                   
MachineKeySet = True                                                        
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"              
ProviderType = 12                                                           
RequestType = CMC                                                           

[RequestAttributes]                                                         
;I assume you don't use a customer Template, otherwise use the proper template
CertificateTemplate = WebServer                                             
SAN="dns=SERVER.COMPANY.COM&dns=SERVER2.COMPANY.COM&dns=SERVER3.COMPANY.COM"

No servidor, execute o comando abaixo para gerar a solicitação de assinatura de certificado:

certreq -new requestSAN.inf certnew.req 

envie o certnew.req para sua CA e obtenha o certificado correspondente