Yeni Almanca için ortak anahtar altyapısı (PKI) birlikte çalışabilirliği standart ISIS MTT var. ISIS MTT veri biçimlerini ve birlikte çalışabilen PKI tabanlı uygulamalarda kullanılan için bir iletişim protokolü tanımlar. Güvenlik Hizmetleri kimlik doğrulaması için standart odaklanır. Bu hizmetler, kullanıcı kimliği ve veri bütünlüğü ve gizliliği olmayan repudiation içerir. Standart banka endüstriyel ve akademik ilgi alanları ile birlikte Alman hükümeti tarafından geliştirilmiştir.
Windows sertifika yetkilisinin (CA) ISIS MTT sürüm 1.1 ile uyumlu hale getirmek için özel yapılandırma adımları tamamlamalısınız. Bu adım adım makalede, bir tek başına CA'ın ISIS MTT gereksinimleriyle uyumlu sertifikalarını kaydetmek açıklamaktadır.Not
CA, Microsoft Windows Server 2003 Service Pack 1 (SP1), Windows Server 2003 x 64 tabanlı sürümünü ve Windows'un sonraki bir sürümünü çalıştıran bir sunucu olması gerekir.Önemli
Bu makalede belgelenen yapılandırma değişikliklerini CA'YA sertifika için kaydolur uygulanması gerekir. PKI topolojisinde, üst CA'YA sertifika isteği gönderenin budur. CA sertifikası bağımlı CA'sından istendiyse, sertifikayı isteyen sertifika YETKILISI türü geçerli değildir.
Aşağıdaki koşullar doğruysa, bu makaledeki hakkında adım adım yönergeleri kullanın:
- Dağıtımcı CA ', koşullu sertifika CA'ları veya son varlıklara ISIS MTT-uyumlu bir sertifika verir.
- Dağıtımcı CA aşağıdaki roller birini alır:
- Tek başına kök CA'sı
- Tek başına sertifika CA'sı
Dağıtımcı CA doğru olarak yapılandırmak için <a0></a0>, aşağıdaki yöntemleri kullanın:
back to the topUTF8 Kodlaması zorla
- Dağıtımcı CA UTF8 Kodlaması zorlamak için yapılandırın.
- Sertifika gönderme işlemi sırasında anahtar kullanımı özniteliğini kritik olarak işaretle
- CA sertifikaları, anahtar kullanımı bölümünde <a1>dijital imza</a1> girişi yok sayın.
UTF8 Kodlaması zorlamak için bir sertifika YETKILISI yapılandırıldıktan sonra bu CA ile verilen tüm sertifikaların UTF8 ayarı uygulanır. ISIS MTT-uyumlu sertifikalar gerekir CA, aşağıdaki adımları izleyin:
- Başlat ' ı tıklatın, Çalıştır ' ı tıklatın, cmd yazın ve Tamam ' ı tıklatın.
- Aşağıdaki komutu yazın ve ENTER tuşuna basın:
certutil - setreg ca\forceteletex + 0x20Böylece, CA, her zaman UTF8 konuyla kodlar bu komut bayrağını ayarlar.
- Durdurun ve sertifika YETKILISI hizmetini durdurup yeniden başlatın hakkında bilgi için komut isteminde aşağıdaki yazın. Her komutun ardından ENTER tuşuna basın.
net stop "Sertifika Hizmetleri"
net start "Sertifika Hizmetleri"
Bu değişikliği geri almak için <a0></a0>, aşağıdaki adımları izleyin:
Not
- Komut isteminde aşağıdakini yazın ve ENTER tuşuna basın:
certutil - setreg ca\forceteletex - 0x20
- CA hizmetini yeniden durdurup yeniden yüklemek için aşağıdaki komutları yazın. Her komutun ardından ENTER tuşuna basın.
net stop "Sertifika Hizmetleri"
net start "Sertifika Hizmetleri"
Windows Server 2003 SP1 ' önceki Windows sürümleri "0x20" Kill bitini yorumlayamadığı ve göz ardı eder.back to the topSertifika isteği gönderme
Tek başına CA'lar desteklemez için sertifika şablonları, sertifika isteği işlenirken anahtar özellikleri ayarlanması gerekir. Bunu yapmak için şu adımları izleyin:
- Sertifikayı veren CA, Başlat ' ı tıklatın, Yönetimsel Araçlar ' ın üzerine gelin ve Sertifika yetkilisi</a1>'ı tıklatın.
- Sertifikanızı sağ tıklatın ve sonra da Özellikler ' i tıklatın.
- Ilke modülü sekmesini tıklatın ve sonra da Özellikler ' i tıklatın.
- <a1>Set</a1> için bekleyen sertifika isteğinin durumunu Ek Yardım düğmesini tıklatın. Yönetici sertifikayı açıkça kesmeniz gerekir ve sonra Tamam ' ı tıklatın.
- Son varlık veya sertifika CA'sı bir sertifika istek dosyası oluşturun.
- Bağımlı CA veya son varlık üzerinde tek başına CA'ya sertifika isteği gönderin. Bunu yapmak için aşağıdaki yöntemlerden birini kullanın.
Yöntem 1: CA, bir Web arabirimi kullanarak gönderCA, bir Web arabirimi kullanarak gönderme hakkında daha fazla bilgi için aşağıdaki Microsoft Web sitesini ziyaret edin ve sonra Bkz: "Windows bir sertifika istemek için Server 2003 CA kullanarak bir PKCS # 10 veya PKCS # 7 dosyası":
Yöntem 2: Certreq komutu kullanarak CA'YA Gönder
- Komut isteminde certreq - gönderme Path_To_Request_File\Certificate_Request_Filename ve sonra Tamam ' ı tıklatın.
- Bir sertifika yetkilisi (CA) kullanmak istediğiniz Seç listesinden, dağıtımcı CA sertifika isteği dosyasını tıklatıp seçin ve Tamam ' ı tıklatın.
- Sertifika isteği döndürülen KIMLIĞI unutmayın.
Anahtar kullanımını değiştirme ve bunu önemli olarak işaretlemek için "Anahtar kullanımı değiştirin ve sonra kritik olarak işaretle" bölümüne bakın. Varsayılan anahtar kullanımı bırakır, ancak anahtar kullanımı kritik olarak işaretlemek için bkz: “ varsayılan anahtar kullanımı bırak, ancak kritik olarak işaretlemesi ” bölümü.Not
Bir CA'ın adını aşağıdaki ayırt edici ad özniteliklerini içeren ISIS MTT standart gerektirir:
- countryName (c)
- organizationName (o)
Istekte bulunan CA, CA'ın uygun bir ad seçmeniz gerekir.back to the topAnahtar kullanımını değiştirme ve sonra kritik olarak işaretle
Varsayılan olarak, Windows CA sertifikaları, anahtar kullanımı ayarı ISIS MTT CA sertifikaları, anahtar kullanımı ayarı farklıdır. CA sertifikası ISIS MTT ile uyumlu olan, aşağıdaki anahtar kullanımı gerçekleştirir:
Sertifika imzalama, Çevrimdışı CRL imzalama, CRL imzalama
CA sertifikası istendiyse, bu anahtar kullanımı uygulamak için <a0></a0>, komut isteminde aşağıdakini yazın ve ENTER tuşuna basın:
03 Yankı 02-01 06 >File_Name .txt
Bu komutta kullanılan onaltılık sayıları bir açıklaması için “ yorumlama anahtar kullanımı ” bölümüne bakın.
Anahtar kullanımı için ve bunu önemli olarak işaretlemek için bekleyen CA sertifikası isteğinde değiştirmek için <a0></a0>, komut isteminde aşağıdakini yazın ve ENTER tuşuna basın:
certutil - setextension Request_ID_Noted_ In_Step_7_Of_The_Submit_The_Certificate_Request_Section 22.214.171.124 1 @File_Name.txtback to the topVarsayılan anahtar kullanımı bırakın; ancak, kritik olarak işaretle
Anahtar kullanımı değiştirilmiş olan ve kritik olarak ayarlanmalı, bu yöntemi kullanın.
Bunu yapmak için <a0></a0>, bir komut istemi ve ENTER tuşuna basın aşağıdakileri yazın:
certutil - setextension Request_ID_Noted_ In_Step_7_Of_The_Submit_The_Certificate_Request_Section 126.96.36.199 1
Bu komutta kullanılan onaltılık sayıları bir açıklaması için “ yorumlama anahtar kullanımı ” bölümüne bakın.back to the topSertifika ve sertifika doğrulayın.
back to the topAnahtar kullanımı yorumlaması
- Bekleyen isteği sorun.
- Sertifika doğru şekilde oluşturulduğunu doğrulamak için <a0></a0>, komut isteminde aşağıdaki komutu yazın ve ENTER tuşuna basın:
certutil - v Path_Of_File / Certificate_File
- Ortak ad CERT_RDN_UTF8_STRING biçimlendirildiğinden emin olmak için çıktı dosyasını görüntüleyin.
- Anahtar kullanımı doğru olarak ayarlandığından emin olun.
- Anahtar kullanımı Nesne tanımlayıcısı 188.8.131.52 kritik bayrağının ayarlandığından emin olun.
Anahtar kullanımı, bir bit dizesi olarak temsil edilir. Ilk bayt dize türü bit kodlama ' dir. Bu statik 03 olur. Ikinci bit değer uzunluğunu ve 02 için ayarlanır. Aşağıdaki bit gerçek 01 giderilmiştir <a1>bit</a1> dize değerini temsil eder. Içerme dosyası gibi değerler Wincrypt.h içinde tanımlanan bir anahtar kullanımı:
# define CERT_DIGITAL_SIGNATURE_KEY_USAGE 0x80
# define CERT_NON_REPUDIATION_KEY_USAGE 0x40
# define CERT_KEY_ENCIPHERMENT_KEY_USAGE 0x20
# define CERT_DATA_ENCIPHERMENT_KEY_USAGE 0x10
# define CERT_KEY_AGREEMENT_KEY_USAGE 0x08
# define CERT_KEY_CERT_SIGN_KEY_USAGE 0x04
# define CERT_OFFLINE_CRL_SIGN_KEY_USAGE 0x02
# define CERT_CRL_SIGN_KEY_USAGE 0x02
# define CERT_ENCIPHER_ONLY_KEY_USAGE 0x01
Örneğin, <a1>Değer</a1> 03 02 01 86 kümeleri bir mantıksal VEYA
işleci ile aşağıdaki olarak anahtar kullanımlarını:
cert_digital_signature_key_usage |
cert_key_cert_sign_key_usage |
cert_offline_crl_sign_key_usage |
cert_crl_sign_key_usage
Sertifika iptal listesi (CRL) imzalamak ve yalnızca imza sertifikası isterseniz, onaltılık değeri 03 olmalıdır 02-01 06.back to the top