ใช่มันใช้งานได้ดี ผู้ออกใบรับรอง Windows ไม่มีคุณสมบัติเกี่ยวกับการทำงานในฐานะผู้ใต้บังคับบัญชาสำหรับผู้ที่ไม่ใช่ Windows
ทดสอบกับรูท OpenSSL และผู้ใต้บังคับบัญชาของ Windows 2008 R2 ในโหมด Enterprise
สองสิ่งที่น่าเล่นกับสิ่งที่ MS CA คาดหวังในการกำหนดค่า OpenSSL:
ตำแหน่ง AIA และ CDP ที่ถูกต้องควรนำไปใช้กับใบรับรองหลักในส่วนที่กำหนดค่าโดยx509_extensionsคุณสมบัติของ[req]ส่วนสำหรับรูตที่ลงนามด้วยตนเอง บางสิ่งบางอย่างตามสายเหล่านี้:
authorityInfoAccess = caIssuers;URI:http://test-rootca.test.local/root.pem
crlDistributionPoints = URI:http://test-rootca.test.local/root.crl
การกำหนดค่า OpenSSL ที่กำหนดอาจไม่อนุญาตให้ใช้ CA รองตามค่าเริ่มต้น เปลี่ยนสำหรับคำขอที่เซ็นชื่อ (ตรวจสอบให้แน่ใจว่าไม่ได้อยู่ในตำแหน่งสำหรับคำขอที่ไม่ควรเป็น CA) สิ่งนี้จะอยู่ในส่วนที่กำหนดค่าโดยx509_extensionsคุณสมบัติของ[ca]ส่วน:
basicConstraints=CA:TRUE
certificatePolicies=2.5.29.32.0
ดังนั้นเราจะทำ CA เพื่อทดสอบ
ทำให้รากของคุณ:
openssl req -new -x509 -keyout /etc/ssl/private/root.key -out /etc/ssl/certs/root.pem -nodes -extensions v3_ca
ซอกับการตั้งค่าของคุณและสร้างไฟล์และไดเรกทอรีที่จำเป็นใน[ca]ส่วนของการกำหนดค่า OpenSSL ของคุณ
พร้อมที่จะรับสิ่งต่างๆจากไมโครซอฟท์ สร้าง CA รองของ Windows ด้วยการลงชื่อด้วยตนเอง
อัพโหลดการร้องขอใบรับรองไปยังเซิร์ฟเวอร์ OpenSSL ในขณะที่คุณกำลังดาวน์โหลดใบรับรองรูท นำเข้ามาไว้ในที่เก็บรากที่เชื่อถือได้ - ของคอมพิวเตอร์ไม่ใช่ผู้ใช้ของคุณ!
ออกใบรับรองรอง:
openssl ca -in test-subca.req
(you might need to specify a permissive policy manually with -policy, check your config)
หากไม่ได้ผล CA ของคุณอาจมีปัญหากับการกำหนดค่า - ไดเรกทอรี certs ใหม่ไฟล์ดัชนีไฟล์อนุกรม ฯลฯ ตรวจสอบข้อความแสดงข้อผิดพลาด
ถ้ามันเป็นเช่นนั้น หากคุณยังไม่มีให้สร้าง CRL และวางไว้ใน CDP ที่คุณกำหนดค่าไว้ด้านบน ฉันเพิ่งติดตั้ง Apache และติดขัดใน webroot:
openssl ca -gencrl -out /var/www/root.crl
และวางใบรับรองของคุณในตำแหน่ง AIA หากยังไม่ได้ดำเนินการ:
cp /etc/ssl/certs/root.pem /var/www/root.pem
ดาวน์โหลดใบรับรองรองที่ออกใหม่และติดตั้งลงใน CA ด้วยสแน็ปอิน MMC ของหน่วยงานออกใบรับรอง มันจะจับเกี่ยวกับปัญหาใด ๆ ที่มีความน่าเชื่อถือหรือการตรวจสอบ แต่ไม่มีการคัดค้านทางศีลธรรมในการรับมัน
ผลลัพธ์สุดท้าย; Windows CA ที่ใช้งานได้โดยไม่มีการร้องเรียนจาก Enterprise PKI snap-in พร้อมด้วย telltale OpenSSL Generated Certificateในแอตทริบิวต์
