Informationen zu HTTPS-Zertifikaten, die mit externen Tools in Active IQ Unified Manager Unified Manager generiert wurden
Änderungen vorschlagen
PDFs
Sie können selbstsignierte oder CA-signierte Zertifikate installieren, die mit einem externen Tool wie OpenSSL, BoringSSL oder LetsEncrypt generiert wurden.
Sie sollten den privaten Schlüssel zusammen mit der Zertifikatskette hochladen, da diese Zertifikate extern generierte Paare aus öffentlichem und privatem Schlüssel sind. Die zulässigen Schlüsselpaaralgorithmen sind „RSA“ und „EC“. Die Option „Install HTTPS Certificate“ ist auf der Seite „HTTPS Certificates“ im Abschnitt „General“ verfügbar. Die hochgeladene Datei sollte das folgende Eingabeformat aufweisen.
-
Privater Schlüssel des Servers, der zum Active IQ Unified Manager Host gehört
-
Zertifikat des Servers, das zum privaten Schlüssel passt
-
Zertifikate der Zertifizierungsstellen in umgekehrter Reihenfolge bis zur Root-CA, die zum Signieren des obigen Zertifikats verwendet werden
Format zum Laden eines Zertifikats mit einem EC Schlüsselpaar
Zulässige Kurven sind „prime256v1“ und „secp384r1“. Beispiel eines Zertifikats mit einem extern generierten EC-Paar:
-----BEGIN EC PRIVATE KEY----- <EC private key of Server> -----END EC PRIVATE KEY-----
-----BEGIN CERTIFICATE----- <Server certificate> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #1 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #2 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Root signing certificate> -----END CERTIFICATE-----
Format zum Laden eines Zertifikats mit einem RSA-Schlüsselpaar
Die zulässigen Schlüssellängen für das zum Host-Zertifikat gehörende RSA-Schlüsselpaar sind 2048, 3072 und 4096. Zertifikat mit einem extern generierten RSA-Schlüsselpaar:
-----BEGIN RSA PRIVATE KEY----- <RSA private key of Server> -----END RSA PRIVATE KEY----- -----BEGIN CERTIFICATE----- <Server certificate> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #1 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #2 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Root signing certificate> -----END CERTIFICATE-----
Nach dem Hochladen des Zertifikats sollte die Active IQ Unified Manager Instanz neu gestartet werden, damit die Änderungen wirksam werden.
Prüfungen beim Hochladen extern generierter Zertifikate
Das System führt beim Hochladen eines mit externen Tools erstellten Zertifikats Prüfungen durch. Wenn eine dieser Prüfungen fehlschlägt, lehnt das System das Zertifikat ab. Die Validierung umfasst auch Zertifikate, die innerhalb des Produkts aus dem CSR generiert werden, sowie Zertifikate, die mit externen Tools erstellt werden.
-
Der private Schlüssel in den Eingabedaten wird mit dem Host-Zertifikat in den Eingabedaten validiert.
-
Der Common Name (CN) im Hostzertifikat wird mit dem FQDN des Hosts verglichen.
-
Der Common Name (CN) des Hostzertifikats darf nicht leer sein oder nur Leerzeichen enthalten und darf nicht auf localhost gesetzt sein.
-
Das Gültigkeitsbeginndatum sollte nicht in der Zukunft liegen, und das Gültigkeitsablaufdatum des Zertifikats sollte nicht in der Vergangenheit liegen.
-
Falls Intermediate CA oder CA vorhanden ist, sollte das Gültigkeitsbeginn-Datum des Zertifikats nicht in der Zukunft liegen und das Gültigkeitsablaufdatum nicht in der Vergangenheit liegen.
|
Der private Schlüssel in den Eingabedaten darf nicht verschlüsselt sein. Falls private Schlüssel verschlüsselt sind, lehnt das System sie ab. |
Beispiel 1
----BEGIN ENCRYPTED PRIVATE KEY----- <Encrypted private key> -----END ENCRYPTED PRIVATE KEY-----
Beispiel 2
-----BEGIN RSA PRIVATE KEY----- Proc-Type: 4,ENCRYPTED <content here> -----END RSA PRIVATE KEY-----
Beispiel 3
-----BEGIN EC PRIVATE KEY----- Proc-Type: 4,ENCRYPTED <content here> -----END EC PRIVATE KEY-----
Falls die Zertifikatsinstallation fehlschlägt, finden Sie weitere Informationen im Wissensdatenbank-Artikel (KB): "ActiveIQ Unified Manager kann ein extern generiertes Zertifikat nicht installieren"