Active Directory Zertifikat für Webserver erstellen

Question

Wir haben ADCS installiert und eine RootCA und eine EnterpriseIssuingCA in einer Active Directory PKI. Wie kann ich ein Zertifikat für einen Webserver erstellen?

Answer 1

Öffne die Zertifikatsverwaltung auf dem betreffenden Server.

mmc.exe -> SnapIn Zertifikate -> Lokaler Computer

In der linken Spalte wechsle in den Ordner 

Eigene Zertifikate -> Zertifikate

Mache einen Rechtsklick auf den leeren Bereich und wähle 

Alle Aufgaben -> Zertifikat anfordern

Wähle die Policy (Richtlinie) aus. Du solltest eine Active Directory Registrierungsrichtlinie angezeigt bekommen. Nachdem du diese gewählt hast wähle eine Zertifikatsvorlage (z.B Webserver).

Answer 2

Erstelle eine Datei, z.B webserver.inf 

[Version]
Signature="$Windows NT$"

[NewRequest]
Subject = "CN=www.domain.com"  ; Ändere auf deinen echten FQDN
KeySpec = 1
KeyLength = 2048
Exportable = TRUE
MachineKeySet = TRUE
SMIME = FALSE
PrivateKeyArchive = FALSE
UserProtected = FALSE
UseExistingKeySet = FALSE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = PKCS10
KeyUsage = 0xa0

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "dns=www.domain.com&"   ; SAN-Eintrag
_continue_ = "dns=domain.com"

[RequestAttributes]
CertificateTemplate = WebServer

Erzeuge einen CSR auf dem betreffenden Server.

certreq -new webserver.inf webserver.req

Die req Datei jetzt auf die CA kopieren und das Zertifikat erzeugen.

certreq -submit webserver.req webserver.cer

Das erzeugte Zertifikat wieder auf den Webserver kopieren und bestätigen.

certreq -accept webserver.cer