[KB8274] Sertifitseerimisasutuse või sertifikaatide loomine ESET PROTECT On-Prem jaoks Windowsi käsurea abil

Väljaanne

• Eeldused
• Kasutage Windowsi käsurea, et luua sertifitseerimisasutus ja sertifikaadid

Lahendus

Eeltingimused

Installige OpenSSL (Windowsile). OpenSSL võimaldab luua allkirjastatud sertifikaate.

Kasutage Windowsi käsurea, et luua sertifitseerimisasutus ja sertifikaadid

1. Looge sertifitseerimisasutus ja selle privaatne võti. Käivita Command Promptis:

   openssl genrsa -out protect-custom-ca.key 2048 openssl req -x509 -new -nodes -key protect-custom-ca.key -sha256 -days 3650 -out protect-custom-ca.der -outform der -subj "/CN=PROTECT Custom CA"

   Te võite asendada protect-custom-ca failide .key ja .der failid enda valitud failinimedega.

2. Looge sertifikaadi laiendusfail(protect.ext).

   Sertifikaadi laiendusfail

   Laiendusfail määratleb atribuudid, mis on vajalikud serveri- ja agendisertifikaatide jaoks, et määratleda nende roll (lõpp-üksus, mitte sertifitseerimisasutus) ja identiteet Subject Alternative Name (SAN) kaudu, mis loetleb kehtivaid DNS-nimesid või domeene.

   Need atribuudid tagavad nõuetekohase valideerimise ja turvalise suhtluse ESET PROTECT On-Premiga.

   Käivitage Command Promptis järgmised käsud:

   • Ühe domeeni jaoks:

     echo authorityKeyIdentifier=keyid,issuer >protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext echo subjectAltName=DNS:*.example.com >>protect.ext

   • Mitme domeeni puhul:

     echo authorityKeyIdentifier=keyid,issuer >protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext echo "subjectAltName=DNS:example.com,DNS:*.example.com,DNS:api.example.net" >>protect.ext

   Asendada:

   • In authorityKeyIdentifier
     • keyid
     • issuer

     Asendage need tegelike väärtustega, mille OpenSSL genereerib teie sertifitseerimisasutuse jaoks.

   • SubjectAltName
     • näidisdomeenid teie keskkonnas kasutatavate DNS-nimede või domeenidega
   
   

   Ärge muutke järgmisi käske, sest need on ESET PROTECTi jaoks kohustuslikud:

   • basicConstraints=CA:FALSE
   • keyUsage=digitalSignature,keyEncipherment,dataEncipherment
     
     

3. Looge sertifikaat ja selle privaatne võti ning eksportige see .pfx faili.

   Üldine nimi string

   Common Name (CN) peab sisaldama serverit või agenti, sõltuvalt sertifikaadi tüübist.

   Käivitage Command Promptis järgmised käsud:

   • ESET PROTECT Serveri sertifikaadi jaoks:

     openssl genrsa -out protect-server.key 2048 openssl req -new -key protect-server.key -subj "/CN=PROTECT Server" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-server.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-server.pfx -inkey protect-server.key -in protect-server.crt -passout pass:password

     Asendage parool enda valitud tugeva parooliga.

   • ESET Management Agenti sertifikaadi puhul:

     openssl genrsa -out protect-agent.key 2048 openssl req -new -key protect-agent.key -subj "/CN=PROTECT Agent" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-agent.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-agent.pfx -inkey protect-agent.key -in protect-agent.crt -passout pass:password

     Asendage parool enda valitud tugeva parooliga.