[KB8274] Windows 명령줄을 사용하여 ESET PROTECT 온프레미스용 인증 기관 또는 인증서를 생성합니다

이슈

• 사전 요구 사항
• Windows 명령줄을 사용하여 인증 기관 및 인증서를 만듭니다

솔루션

사전 요구 사항

OpenSSL(Windows용)을 설치합니다. OpenSSL을 사용하면 서명된 인증서를 만들 수 있습니다.

Windows 명령줄을 사용하여 인증 기관 및 인증서를 만들려면 다음과 같이 하세요

1. 인증 기관 및 개인 키를 생성합니다. 명령 프롬프트에서 다음을 실행합니다:

   openssl genrsa -out protect-custom-ca.key 2048 openssl req -x509 -new -nodes -key protect-custom-ca.key -sha256 -days 3650 -out protect-custom-ca.der -outform der -subj "/CN=PROTECT 사용자 지정 CA"

   .key 및 .der 파일에 대한 protect-custom-ca를 원하는 파일 이름으로 바꿀 수 있습니다.

2. 인증서 확장 파일(protect.ext)을 만듭니다.

   인증서 확장 파일

   확장 파일은 서버 및 에이전트 인증서가 유효한 DNS 이름 또는 도메인을 나열하는 SAN(주체 대체 이름)을 통해 역할(인증 기관이 아닌 최종 엔터티) 및 ID를 정의하는 데 필요한 속성을 정의합니다.

   이러한 속성을 통해 ESET PROTECT On-Prem과의 적절한 유효성 검사 및 보안 통신을 보장합니다.

   명령 프롬프트에서 다음 명령을 실행합니다:

   • 한 도메인의 경우

     echo authorityKeyIdentifier=keyid,issuer >protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=디지털서명,키 암호화,데이터 암호화 >>protect.ext echo subjectAltName=DNS:*.example.com >>protect.ext

   • 여러 도메인의 경우

     echo authorityKeyIdentifier=keyid,발급자 >>protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext "subjectAltName=DNS:example.com,DNS:*.example.com,DNS:api.example.net" >>protect.ext

   바꾸기:

   • 권한 키 식별자에서
     • keyid
     • 발급자

     인증 기관에 대해 OpenSSL에서 생성한 실제 값으로 바꿉니다.

   • SubjectAltName
     • 사용자 환경에서 사용되는 DNS 이름 또는 도메인이 있는 예제 도메인
   
   

   다음 명령은 ESET PROTECT에 필수이므로 변경하지 마십시오:

   • 기본 제약 조건=CA:FALSE
   • 키 용도=디지털서명,키 암호화,데이터 암호화
     
     

3. 인증서 및 개인 키를 생성하고 .pfx 파일로 내보냅니다.

   일반 이름 문자열

   CN(일반 이름)은 인증서 유형에 따라 서버 또는 에이전트를 포함해야 합니다.

   명령 프롬프트에서 다음 명령을 실행합니다:

   • ESET PROTECT 서버 인증서의 경우:

     openssl genrsa -out protect-server.key 2048 openssl req -new -key protect-server.key -subj "/CN=PROTECT Server" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-server.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-server.pfx -inkey protect-server.key -in protect-server.crt -passout pass:password

     비밀번호를 원하는 강력한 비밀번호로 바꿉니다.

   • ESET 관리 에이전트 인증서의 경우:

     openssl genrsa -out protect-agent.key 2048 openssl req -new -key protect-agent.key -subj "/CN=PROTECT Agent" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-agent.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-agent.pfx -inkey protect-agent.key -in protect-agent.crt -passout pass:password

     비밀번호를 원하는 강력한 비밀번호로 바꾸세요.