[KB8274] Criar uma Autoridade de certificação ou certificados para o ESET PROTECT On-Prem usando a linha de comando do Windows

Emissão

• Pré-requisitos
• Use a linha de comando do Windows para criar uma autoridade de certificação e certificados

Solução

Pré-requisitos

Instale o OpenSSL (para Windows). O OpenSSL permite que você crie certificados assinados.

Use a linha de comando do Windows para criar uma autoridade de certificação e certificados

1. Gere uma autoridade de certificação e sua chave privada. No prompt de comando, execute:

   openssl genrsa -out protect-custom-ca.key 2048 openssl req -x509 -new -nodes -key protect-custom-ca.key -sha256 -days 3650 -out protect-custom-ca.der -outform der -subj "/CN=PROTECT Custom CA"

   Você pode substituir protect-custom-ca para os arquivos .key e .der por nomes de arquivos de sua escolha.

2. Crie um arquivo de extensão de certificado(protect.ext).

   Arquivo de extensão de certificado

   Um arquivo de extensão define os atributos necessários para que os certificados do Servidor e do Agente definam sua função (entidade final, não Autoridade de Certificação) e identidade por meio do Subject Alternative Name (SAN), que lista nomes ou domínios DNS válidos.

   Esses atributos garantem a validação adequada e a comunicação segura com o ESET PROTECT On-Prem.

   Execute os seguintes comandos no Prompt de Comando:

   • Para um domínio:

     echo authorityKeyIdentifier=keyid,issuer >protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext echo subjectAltName=DNS:*.example.com >>protect.ext

   • Para vários domínios:

     echo authorityKeyIdentifier=keyid,issuer >protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext echo "subjectAltName=DNS:example.com,DNS:*.example.com,DNS:api.example.net" >>protect.ext

   Substituir:

   • Em authorityKeyIdentifier
     • keyid
     • emissor

     Substitua esses valores pelos valores reais gerados pelo OpenSSL para sua autoridade de certificação.

   • Em subjectAltName
     • os domínios de exemplo com os nomes DNS ou domínios usados em seu ambiente
   
   

   Não altere os seguintes comandos, pois eles são obrigatórios para o ESET PROTECT:

   • basicConstraints=CA:FALSE
   • keyUsage=digitalSignature,keyEncipherment,dataEncipherment
     
     

3. Gerar o certificado e sua chave privada e exportá-lo para um arquivo .pfx.

   Cadeia de caracteres de nome comum

   O Common Name (CN) deve incluir um servidor ou agente, dependendo do tipo de certificado.

   Execute os seguintes comandos no prompt de comando:

   • Para um certificado do Servidor ESET PROTECT:

     openssl genrsa -out protect-server.key 2048 openssl req -new -key protect-server.key -subj "/CN=PROTECT Server" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-server.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-server.pfx -inkey protect-server.key -in protect-server.crt -passout pass:password

     Substitua a senha por uma senha forte de sua escolha.

   • Para um certificado do Agente ESET Management:

     openssl genrsa -out protect-agent.key 2048 openssl req -new -key protect-agent.key -subj "/CN=PROTECT Agent" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-agent.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-agent.pfx -inkey protect-agent.key -in protect-agent.crt -passout pass:password

     Substitua a senha por uma senha forte de sua escolha.