Dieser Artikel wurde automatisch übersetzt. Die Übersetzung kann Ungenauigkeiten enthalten.
Zur englischen Originalversion wechseln.
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Zwischen-CA

nur SCEPman Enterprise Edition

Wenn Sie eine andere Root-CA als primäre Instanz verwenden möchten, können Sie ein Zwischen-CA-Zertifikat erstellen, um SCEPman als untergeordnete Zertifizierungsstelle zu betreiben. Sie können das richtige Zertifikat direkt in Azure Key Vault erstellen und die CSR zum Signieren mit Ihrer Root-CA herunterladen. Die signierte Anfrage kann hochgeladen und in Azure Key Vault zusammengeführt werden. Dieser Artikel führt Sie im Detail durch die notwendigen Schritte.

Key Vault-Berechtigungen

Sie müssen Ihrem Benutzerkonto Zugriff auf den Azure Key Vault gewähren, um die CSR zu erstellen und das Zwischen-CA-Zertifikat zusammenzuführen. Die Art der Zuweisung der Berechtigungen hängt von der Zugriffskonfiguration Ihres Key Vault ab:

  1. Navigieren Sie in der Azure Portal zu Ihrem Azure Key Vault

  2. Klicken Sie auf Access control (IAM) im linken Navigationsbereich.

  3. Klicken Sie auf Rollen-Zuweisungen und fügen Sie eine neue Rollen-Zuweisung hinzu

Fügen Sie Ihrem Key Vault eine neue Rollen-Zuweisung hinzu

  1. Wählen Sie das Key Vault Certificate Officer Rolle und klicken Sie auf Weiter

  1. Suchen Sie nun nach Ihrem AAD-Administratorkonto und fügen Sie es im Mitglieder Abschnitt hinzu und fahren Sie mit der Rollenzuweisung fort

Nach dem Hinzufügen der Rollenzuweisung ist Ihr Azure AD-Konto berechtigt, eine CSR zu erstellen und das Zertifikat hochzuladen.

  1. Navigieren Sie in der Azure Portal zu Ihrem Azure Key Vault

  2. Klicken Sie auf Zugriffsrichtlinien im linken Navigationsbereich.

  3. Klicken Sie auf Erstellen und wählen Sie die Zertifikatsverwaltung Vorlage, dann Weiter

  1. Suchen Sie nun nach Ihrem AAD-Administratorkonto und fügen Sie es im Prinzipal Abschnitt, dann Weiter, Weiter und Erstellen

Nach dem Hinzufügen der Berechtigungen ist Ihr Azure AD-Konto berechtigt, eine CSR zu erstellen und das Zertifikat hochzuladen.

Key Vault-Netzwerk für das Admin-System öffnen

Wenn Sie einen Private Endpoint für Key Vault müssen Sie eine Ausnahme hinzufügen, die dem Client den Zugriff auf den Key Vault auf Netzwerkebene erlaubt. Wenn Sie keinen Private Endpoint verwenden, können Sie diesen Teil überspringen.

  • Gehen Sie in der Azure Portal zu Azure Key Vault.

  • Navigieren Sie im Bereich Einstellungen zum Blade Networking.

  • Wechseln Sie zu „Öffentlichen Zugriff von bestimmten virtuellen Netzwerken und IP-Adressen zulassen“, wenn derzeit „Öffentlichen Zugriff deaktivieren“ ausgewählt ist.

  • Fügen Sie die IP-Adresse des Clients hinzu, auf dem Sie das SCEPman PowerShell-Modul später ausführen möchten. Wenn Sie die Azure Cloud Shell verwenden und sie mit einem VNET verbunden ist, können Sie dieses VNET hinzufügen. Andernfalls ist der einfachste Weg, die öffentliche IP-Adresse der Cloud Shell vorübergehend zuzulassen, da eine starke Authentifizierung Ihren Key Vault schützt. Sie können beispielsweise einen Befehl wie (Invoke-WebRequest -UseBasicParsing -uri "http://ifconfig.me/ip").Content verwenden, um die öffentliche IP-Adresse der Sitzung zu ermitteln.

Azure App Service-Einstellungen aktualisieren

Der nächste Schritt besteht darin, die Konfiguration des Azure App Service so zu aktualisieren, dass sie dem Subject-Namen der Zwischen-CA entspricht, die Sie im nächsten Schritt erstellen werden.

  1. Navigieren Sie in der Azure Portal zu Ihrem Azure App Service

  2. Klicken Sie auf Umgebungsvariablen im linken Navigationsbereich

  3. In Anwendungseinstellungen, müssen Sie die folgenden Einstellungen bearbeiten:

    1. AppConfig:KeyVaultConfig:RootCertificateConfig:CertificateName Ändern Sie dies in einen bevorzugten allgemeinen Namen (CN) für Ihre Zwischen-CA.

    2. AppConfig:KeyVaultConfig:RootCertificateConfig:Subject Ändern Sie nur den CN-Wert des Subject-Namens, damit er mit dem oben verwendeten allgemeinen Namen übereinstimmt.

  4. Klicken Sie auf Übernehmen und bestätigen.

  5. Starten Sie die Azure App Service neu, um die Änderungen anzuwenden, und navigieren Sie dann zu Ihrer SCEPman-URL.

Bitte beachten Sie, dass die Variable CertificateName direkt dem Zertifikatsobjekt entspricht, das im Azure Key Vault erstellt wird. Sie können daher nur Zertifikatsnamen verwenden, die alphanumerische Zeichen und Bindestriche enthalten

Erstellen eines Zwischen-CA-Zertifikats mit dem SCEPman PowerShell-Modul

Damit dieses Modul korrekt funktioniert, benötigen Sie einen Arbeitsplatzrechner mit Azure CLI (auch bekannt als az) installiert. Die Azure CLI ist vorinstalliert in der Azure Cloud Shell, was die empfohlene Umgebung für die Ausführung dieses Moduls ist.

Sie können die SCEPman PowerShell-Modulversion 1.9 und höher verwenden, um eine CSR für ein Zwischen-CA-Zertifikat zu erstellen. Sie können die neueste Version des Moduls aus der PowerShell Gallery mit dem folgenden Befehl installieren:

Dann können Sie dem Modul den Namen Ihrer Organisation mitteilen, der im Zertifikat erscheinen soll:

Konfigurieren Sie das Subject Ihrer Zwischen-CA so, dass es mit dem oben verwendeten in AppConfig:KeyVaultConfig:RootCertificateConfig:Subject übereinstimmt (optional können Sie einige zusätzliche Einstellungen ändern, um den CSR-Inhalt zu steuern):

Schließlich können Sie die CSR mit dem folgenden Befehl erstellen (oder einem ähnlichen gemäß Ihrer Umgebung):

Der Befehl gibt die CSR aus, die Sie bei Ihrer Root-CA zur Signierung einreichen.

Das Zwischen-CA-Zertifikat ausstellen

Reichen Sie nun Ihre CSR bei Ihrer Root-CA ein und rufen Sie Ihr ausgestelltes Zwischen-CA-Zertifikat ab. Speichern Sie das Zertifikat auf der Festplatte (.cer), damit Sie es im nächsten Schritt hochladen und mit dem privaten Schlüssel in Azure Key Vault zusammenführen können.

Sonderanweisungen für eine ADCS Enterprise Root CA

Wenn Sie Active Directory Certificate Services als AD-integrierte Root-CA verwenden und daher eine Zertifikatvorlage auswählen müssen, muss sie die folgenden Key Usages enthalten: "CRLSign", "DigitalSignature", "KeyEncipherment" und "KeyCertSign". KeyEncipherment fehlt in der Standardvorlage "Subordinate Certificate Authority" und kann außerdem in neuen Vorlagen nicht ausgewählt werden. Bitte sehen Sie unten nach einer Lösung, falls dieses Problem auftritt. Dies gilt nicht für eigenständige Root-CAs, auch bekannt als Offline Root CAs, da diese die Key Usages korrekt aus der CSR übernehmen.

Überblick

Sie können die SubCA-Vorlage duplizieren oder wie erforderlich verwenden. Dann stellen Sie einfach ein Zertifikat mit der Vorlage basierend auf der CSR aus. Dieses Zertifikat wird die falsche Key Usage (0x86) haben. Anschließend signieren Sie das Zertifikat mit einer angepassten Key-Usage-Erweiterung erneut mit certutil -sign.

Schritt für Schritt

  1. Fordern Sie ein SubCA-Zertifikat an und stellen Sie es aus.

  2. Exportieren Sie das neue SubCA-Zertifikat in eine Datei (z. B. c:\temp\SubCA.cer) auf der Root-CA. Wählen Sie Base-64 kodiertes X.509 Format.

  3. Erstellen Sie auf der Root-CA eine Datei "extfile.txt" mit dem unten gezeigten Inhalt (z. B. c:\temp\extfile.txt).

  4. Starten Sie die Befehlszeile und führen Sie aus: certutil -sign "c:\temp\SubCA.cer" "c:\temp\SubCAwithKeyEncipher.cer" @c:\temp\extfile.txt

  5. Das Zertifikat SubCAwithKeyEncipher.cer enthält nun die angeforderte Key Usage (0xA6). Der Fingerabdruck (Signatur) hat sich geändert, aber die Seriennummer nicht.

  6. Die Liste der ausgestellten Zertifikate in ADCS enthält das alte Zertifikat. Da sich die Seriennummer nicht geändert hat, können Sie das neue Zertifikat mit dem alten Handle verwalten, z. B. widerruft das Widerrufen des alten Zertifikats auch das neue Zertifikat. Wenn Ihnen das nicht gefällt, können Sie den alten Zertifikatseintrag löschen mit certutil -deleterow und dann das neue Zertifikat importieren mit certutil -importcert.

extfile.txt

Das Zwischen-CA-Zertifikat hochladen

  1. Klicken Sie in Azure Key Vault auf Ihr Zertifikat und drücken Sie Certificate Operation

  2. Jetzt können Sie die Optionen sehen Download CSR und Merge Signed Request

  1. Klicken Sie auf Merge Signed Request und Ihr Zwischen-CA-Zertifikat hochladen. Nachdem Sie die signierte Anfrage hochgeladen haben, können Sie das gültige Zertifikat in Ihrem Azure Key Vault im Bereich Completed

Das Zwischen-CA-Zertifikat muss im PEM-Format (Base64-kodiert) vorliegen. Wenn Sie das binäre DER-Format verwenden, sehen Sie in den Details eine Fehlermeldung mit dem Inhalt „Property x5c has invalid value X5C must have at least one valid item“.

CA-Eignung prüfen

Auf der SCEPman-Statusseite können Sie die neue Konfiguration sehen und das neue Zwischen-CA-Zertifikat herunterladen, um es über Endpoint Manager bereitzustellen.

Bitte prüfen Sie, ob das CA-Zertifikat alle Anforderungen erfüllt, indem Sie Ihre SCEPman-Homepage besuchen. Prüfen Sie, was die Homepage neben „CA Suitability“ anzeigt. Wenn dort beispielsweise steht CA Certificate is missing Key Usage "Key Encipherment", sollten Sie zu Schritt Das Zwischen-CA-Zertifikat ausstellen zurückgehen und die Zertifikatsausstellung korrigieren.

Zwischen-CAs und Intune SCEP-Profile

Auf der Android-Plattform müssen die SCEP-Konfigurationsprofile in Intune auf die Root-CA verweisen, nicht auf die Zwischen-CA. Andernfalls schlägt das Konfigurationsprofil fehl. Für Windows ist es umgekehrt: Die SCEP-Konfigurationsprofile in Intune müssen auf die Zwischen-CA verweisen, nicht auf die Root-CA. Für iOS und macOS liegen uns keine eindeutigen Informationen vor, ob die eine oder andere Vorgehensweise besser ist.

Zuletzt aktualisiert

War das hilfreich?