বিদ্যমান সার্টিফিকেট স্বাক্ষর করার অনুরোধে (সিএসআর) সাবজেক্ট বিকল্প বিকল্প (SAN) যুক্ত করা হচ্ছে


9

কেউ কী আমাকে বলতে পারেন যে আমি কীভাবে বিদ্যমান সিএসআরটিতে বেশ কয়েকটি সাবজেক্ট বিকল্প নাম যুক্ত করব?

আমি সানদের সাথে একটি সিএসআর তৈরির বিষয়ে বা সাইন ইন করার সময় সান যোগ করার কথা বলছি না - এই দুটি জিনিস কীভাবে করতে হয় তা আমি জানি।

পটভূমি: আমাদের যে সমস্যাটি রয়েছে তা হ'ল এইচপি ব্লেড চ্যাসিস, আপনাকে সিএসআর তৈরি করতে দেয় তবে তারা কেবল একটি একক SAN অনুমতি দেয়। আমরা অন্য কোথাও উত্পন্ন সিএসআর ব্যবহার করতে পারি না কারণ ফলস্বরূপ শংসাপত্রটি ব্যবহার করতে না পারায় ব্লেড চেসিসে কীটি আপলোড করার কোনও উপায় নেই (যে আমি খুঁজে পেতে পারি)।

আমাদের সিএ এর স্ট্যান্ডার্ড প্রক্রিয়া স্যান সময় যোগ করতে যোগ করার অনুমতি দেয় না। তারা পরীক্ষায় আগ্রহী, তবে আমি আমাদের শেষের দিকে একটি সমাধান খুঁজতে চাইছি কারণ এর অর্থ হ'ল আমাদের জন্য একটি মানসম্মত প্রক্রিয়া থাকার কারণে তাদের উপর আমাদের নির্ভর করতে হবে না - আমার অভিজ্ঞতায় যদি তাদের কোনও মানসম্মত প্রক্রিয়া ব্যবহার করার প্রয়োজন হয় তবে জীবন অবশেষে কঠিন হয়ে উঠবে। উদাহরণস্বরূপ যখন কোনও স্টাফ সদস্য যিনি অ-মানক প্রক্রিয়া জানেন তাদের ছুটির কারণে ইত্যাদি উপস্থিত না হয় etc.

বর্তমান পদ্ধতিটি হ'ল ওয়েব গুইয়ের মাধ্যমে ব্লেডচেসিস অনবোর্ডের অ্যাডমিনের সাথে সংযোগ স্থাপন এবং একক সিএন দিয়ে সিএসআর তৈরি করা।

ওয়েব গুই কেবল সিএসআর-এ একক SAN- এর অনুমতি দেয়।

তারপরে আমরা ওপেনসেল কনফিগারেশনে নীচের স্তরের সাথে এটি স্বাক্ষর করি:

[ v3_ca ]
subjectAltName = "DNS:bladesystem8,DNS:bladesystem8.services.adelaide.edu.au,DNS:bladesystem8-backup,DNS:bladesystem8-backup.services.adelaide.edu.au"

ফলাফলের সার্টের অতিরিক্ত এসএএন রয়েছে।


আপনি বর্তমানে ব্লেড চেসিসে শংসাপত্রগুলি কীভাবে তৈরি করছেন? ইত্যাদি সংযোগ স্থাপনের জন্য আপনি কোন পদ্ধতিটি ব্যবহার করছেন? কোন মডেলের ফলক চ্যাসিস?
এলি

চ্যাসিস একটি সি 7000। হ্যাঁ আমরা বর্তমানে চ্যাসিসে সিএসআর তৈরি করছি এবং সাইন সময়ে এসএএন যোগ করছি, তবে এটি স্ব স্ব স্বাক্ষরিত শংসাপত্রগুলির জন্য।
জেসন টান

আপনি বর্তমানে এটির সাথে সংযোগ স্থাপনের জন্য কোন পদ্ধতিটি ব্যবহার করছেন এবং এর জন্য শংসাপত্র তৈরি করার জন্য আপনার প্রক্রিয়াটি কী?
এলি

আমি বর্তমান পদ্ধতিটি অন্তর্ভুক্ত করতে মূল প্রশ্নটি সম্পাদনা করেছি।
জেসন টান

1
আপনি যদি অন্য কোনও মেশিনে উত্পন্ন করে তা রফতানি করেন তবে সার্ট এবং ব্যক্তিগত কী আমদানি করতে পারবেন?
ক্লিন্ট

উত্তর:


15

যদি আপনার চ্যাসিগুলি সান যোগ করতে সহায়তা করে না, আপনার চেসিসটি থেকে কীটি খুলতে হবে এবং ওপেনসেল দিয়ে সিএসআর তৈরি করতে হবে।

বিভাগে req_extensions = v3_reqনিরক্ষিত আছে তা নিশ্চিত করুন [ req ]

যোগ subjectAltNameকরার জন্য [ v3_req ]অধ্যায়।

একটি নতুন সিএসআর তৈরি করুন।

openssl req -new -key extracted_c7000.key -out your_new.csr

আপনি বিদ্যমান সিএসআর সম্পাদনা করতে পারবেন না।


কেকমক্স কী বলেছে। আপনি যদি স্বাক্ষর করার পরে কোনও শংসাপত্র (এটি স্বাক্ষরিত সিএসআর) সম্পাদনা করতে পারেন, তবে এটি কর্তৃপক্ষকে শংসাপত্র দেওয়ার পুরো উদ্দেশ্যকে পরাস্ত করবে।
ম্যাডহ্যাটার

আমি সিএসআরটি স্বাক্ষর করার পরে সম্পাদনা করতে চাই না - যা আপনি বলবেন পুপরোজকে পরাস্ত করবেন। আমি সিএসআরটি তৈরি হওয়ার পরে সম্পাদনা করতে চাই তবে এটি স্বাক্ষর করার আগে। ওপেনসেল ব্যবহার করে স্বাক্ষর করার আগে কোনও সিএসআরের অংশগুলি সম্পাদনা করা অবশ্যই সম্ভব possible
জেসন টান

আমি যদি চাবিটি ডাউনলোড করতে পারতাম, আমি চাই। দুঃখিত, আমি মূল প্রশ্নে এটি উল্লেখ করিনি, তবে কীটি ডাউনলোড করতে আমি খুঁজে পেলাম না। আমি কীভাবে কীটি কীভাবে ডাউনলোড করবেন তা আমাকে বলতে পারে এমন কাউকে অনুদান প্রদান করতে আমি ঠিক ততটা খুশি হব।
জেসন টান

এফওয়াইআই - নির্দিষ্ট করে ওপেনসেল ব্যবহার করে সাইন ইন করার আগে কোনও সিএসআর এর অংশগুলি সম্পাদনা করা অবশ্যই সম্ভব। এটি যাইহোক যতক্ষণ না আমি ভি 3 এসএএন এক্সটেনশন যুক্ত করতে বলতে পারি তা কেবল আপনাকে অতিরিক্ত সিএন সহ একটি নতুন বিষয় লাইন নির্দিষ্ট করার অনুমতি দেবে।
জেসন টান

2
সিএসআরটি মেশিনের ব্যক্তিগত কী দ্বারা স্বাক্ষরিত, সুতরাং এটি তৈরির পরে আপনি এটি সম্পাদনা করতে পারবেন না (না হলে এটি আর স্বাক্ষর করতে ব্যর্থ হবে)। এটি সম্ভব যে সিএ জনসাধারণের শংসাপত্রের মধ্যে রাখা ক্ষেত্রগুলি সম্পাদনা করে; এটি সান ফিল্ডটি পরিবর্তন করার একমাত্র উপায় (আপনি যদি এটি পাবলিক সিএতে প্রেরণ করেন তবে আপনার কোনও নিয়ন্ত্রণ নেই)।
ক্রিস এস

0

গুরুত্বপূর্ণ দ্রষ্টব্য: এগুলি কিছুটা কিছুটা অনুমানমূলক, সুতরাং যদি আপনি কোডটিতে গভীর থাকেন এবং আমি যা বলছি তার সাথে এটি একমত না হয় তবে কোডটি বিশ্বাস করুন। আমি সিএ বিশেষজ্ঞ নই, আমি কেবল টিভিতে একটি খেলি। বলেছিল:

সিএসআর এর বৈশিষ্ট্য হিসাবে এটি শক্ত হবে be প্রোগ্রামিয়ালি সিএসআর তৈরির চূড়ান্ত পদক্ষেপ হ'ল আপনার তৈরি করা সমস্ত কিছু হ্যাশ করা এবং তারপরে এটি ব্যক্তিগত কী দিয়ে সাইন ইন করুন। সুতরাং, আপনি সিএসআর এর পাঠ্যে এই বৈশিষ্ট্যগুলি যুক্ত করতে পারার সময় স্বাক্ষরটি সামগ্রীর সাথে মেলে না, তাই কোনও সিএ স্বাক্ষর করবে না।

আপনার ক্ষেত্রে যদিও আপনি সিএ নিয়ন্ত্রণ করেন (বা কমপক্ষে যোগাযোগ করছেন)। এটি আপনাকে দুটি বিকল্প দেয়:

  1. আপনি সিএসআর-তে স্বাক্ষরটি নির্দ্বিধায় উপেক্ষা করার জন্য এবং যাইহোক একটি শংসাপত্র জারি করতে সিএকে নির্দেশ দিতে পারেন।
  2. আপনি সিএ ইস্যু করার অনুরোধের চেয়ে আলাদা সার্টিফিকেট পেতে পারেন (উদাহরণস্বরূপ গুণাবলী যুক্ত করে)।

এর মধ্যে # 1 এটিকে সবচেয়ে সহজ বলে মনে হচ্ছে। এটি করতে এটির জন্য আপনাকে ওপেনএসএসএলে সাম্প্রতিক স্পষ্ট সিলটি ভেঙে ফেলতে হবে, তবে এর কিছু ফাংশন রয়েছে যা কিছুটা সহজ করা উচিত should আমি asn1 পার্স দিয়ে শুরু করব, যা আপনাকে সিএসআর কীভাবে বিচ্ছিন্ন করবে তা দেখায়।


আরও গবেষণায়, বিকল্প # 2 আসলে বেশ সহজ, খুব সিএ এর বেশিরভাগ দ্বারা সম্পন্ন হয়েছে (উদাহরণস্বরূপ স্যান হিসাবে কোনও সারিতে যোগ site.comকরা www.site.com)।
বিএমডান 24'11

0

আপনি যদি কোনওভাবে প্রাইভেট কীটির অনুলিপি পেতে পারেন তবে কেকম্যাক্সের উত্তর অবশ্যই সহজতম, আপনি যদি অন্যভাবে "এনরোলমেন্ট এজেন্ট" শংসাপত্র ব্যবহার করে সিএসআরটিতে পুনরায় স্বাক্ষর না করতে পারেন তবে অন্য উপায় আছে।

এই সিএসএস-সুরক্ষা ডটকম ব্লগ পোস্টে সমস্ত কৌতুকপূর্ণ বিবরণ রয়েছে। তবে প্রক্রিয়াটির উচ্চ স্তরের ওভারভিউটি দেখতে এটির মতো দেখাচ্ছে:

  • একটি তালিকাভুক্তি এজেন্ট শংসাপত্র অর্জন করুন
  • জারির জন্য একটি EA শংসাপত্র প্রয়োজন একটি SSL শংসাপত্র টেমপ্লেট পরিবর্তন করুন
  • এমন একটি সিএসআর অর্জন করুন যার SAN তথ্য দরকার
  • এসএএন তথ্য যুক্ত করার সময় সিএসআর পদত্যাগ করতে ইএ শংসাপত্রটি ব্যবহার করুন

আমি যখন ব্যক্তিগতভাবে এটি চেষ্টা করেছি তখন আমি নিশ্চিত যে আমি শংসাপত্রের টেম্পলেটটি সংশোধন করার অংশটি এড়িয়ে গেছি। অনুমান করে আপনি নিজের জন্য একটি এনরোলমেন্ট এজেন্ট শংসাপত্র তৈরি করতে পারেন, আসল প্রক্রিয়াটি এরকম কিছু দেখাচ্ছে।

এতে সান এক্সটেনশান তথ্য দিয়ে একটি সান.ইন.এফ তৈরি করুন

[Extensions]
2.5.29.17="{text}dns=mysan1.example&dns=mysan2.example"

অনুরোধটি পুনরায় স্বাক্ষর করুন

certreq -policy -config "myca.example\CA" orig-request.csr san.inf corrected-request.csr

সংশোধিত অনুরোধ জমা দিন

certreq -submit -config "myca.example\CA" -attrib "CertificateTemplate:MyTemplate" corrected-request.csr

এবং তারপরে জারি প্রক্রিয়াটি স্বাভাবিক হিসাবে এগিয়ে যান।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.