looser27
May 26, 2021, updated at 11:40:49 (UTC)
view5546
view18
0
Goto Top

Microsoft-Active Directory-Zertifikatdienste Zusätzliche Attribute werden nicht berücksichtigt

GermansolvedQuestionEncryption, CertificatesSecurity
Guten Tag,

ich habe ein kleines Problem, bei dem ich nicht weiter komme:

Wir setzen eine Ubuntu-VM ein, auf der ein Unifi-Controller läuft.
Jetzt möchte ich diesem ein SSL-Zertifikat von unserer internen CA mitgeben, um die Warnungen im Browser zu umgehen.

Die Zertifikatanfrage über java funktioniert und ich will das Zertifikat über die internen Zertifikatdienste erzeugen.
Doch egal, was ich bei den Attributen eintrage, der SAN wird nicht ins Zertifikat eingetragen. Somit erscheint im Browser nach wie vor die Warnung, obwohl die Zertifikatkette als gültig angezeigt wird. (Meldung ist immer: NET::ERR_CERT_COMMON_NAME_INVALID).

Vorgabe Microsoft für die Attribute
san:dns=dns.name

Also habe ich eingetragen
san:dns=server.domain.intern

Gewähltes Zertifikat ist vom Typ "Webserver", welches für den Anwendungsfall ja wohl das richtige sein sollte.

Wo liegt mein Denkfehler.....?

Gruß

Looser
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 667093

Url: https://administrator.de/contentid/667093

Printed on: April 27, 2024 at 03:04 o'clock

18 Comments
Latest comment
Goto Top
Member: Dani
Solution Dani May 26, 2021 updated at 13:02:06 (UTC)
Goto Top
Moin,
das alleine reicht bei Microsoft nicht aus. Auch wenn der Microsoft Docs Artikel das erst einmal so beschreibt. Hintergrund ist in diesen Fall, dass die Schreiber davon ausgehen, dass die PKI nach Microsoft Docs installiert und konfiguriert wurde. face-smile

Hast du die Option ATTRIBUTESUBJECTALTNAME2 auf der CA gesetzt?


Gruß,
Dani
Member: Looser27
Looser27 May 26, 2021 at 13:33:24 (UTC)
Goto Top
Sehe ich mir morgen an. In einem anderen Zertifikat steht der SAN aber korrekt eingetragen im Zertifikat.....
Mitglied: 148121
148121 May 26, 2021 updated at 15:10:27 (UTC)
Goto Top
Ich mach das immer über die MMC
Kontextmenü in der Zertifikate MMC "Alle Aufgaben > Neues Zertifikat anfordern"

screenshot

Voraussetzung ist natürlich das das Template es überhaupt erlaubt weitere Angaben zu machen.

Gruß w.
Member: Looser27
Looser27 May 26, 2021 at 16:48:35 (UTC)
Goto Top
Das funktioniert aber nur, wenn der anfragende Server ein Windows ist. In diesem Fall ist es ein Linux Server.
Member: Dani
Dani May 26, 2021 at 17:10:58 (UTC)
Goto Top
Moin,
Sehe ich mir morgen an. In einem anderen Zertifikat steht der SAN aber korrekt eingetragen im Zertifikat.....
wurde das Zertifikat auf der selben PKI, mit der selben Vorlage ausgestellt?


Gruß,
Dani
Member: Looser27
Looser27 May 27, 2021 at 06:23:25 (UTC)
Goto Top
Moin,

ich bin einen Schritt weiter. Es scheint an der Vorlage zu liegen.
Ich habe nun die Vorlage Webserver-Linux aus der vorhandenen erstellt und verfügbar gemacht. Doch über den Webbrowser kann ich das noch immer nicht auswählen. Gibt es hier Einschränkungen?

Gruß

Looser
Mitglied: 148121
148121 May 27, 2021 updated at 06:48:59 (UTC)
Goto Top
Zitat von @Looser27:

Das funktioniert aber nur, wenn der anfragende Server ein Windows ist. In diesem Fall ist es ein Linux Server.
Nö. Das Zertifikat kannst du doch problemlos auf den FQDN des Linux Servers anpassen und dann inkl. Private Key auf den Linux Server exportieren ... überhaupt kein Problem.
Member: lcer00
lcer00 May 27, 2021 at 06:44:14 (UTC)
Goto Top
Zitat von @Looser27:

Moin,

ich bin einen Schritt weiter. Es scheint an der Vorlage zu liegen.
Ich habe nun die Vorlage Webserver-Linux aus der vorhandenen erstellt und verfügbar gemacht. Doch über den Webbrowser kann ich das noch immer nicht auswählen.
meinst Du den Aufruf der Zertifikatdienste über den Browser/certsrv?

Mach das doch über commandozeile:
certreq -attrib "CertificateTemplate:Webserver-linux" 192.168.100.2.csr 192.168.100.2.cer

Grüße

lcer
Member: Looser27
Looser27 May 27, 2021 at 07:37:47 (UTC)
Goto Top
Die Vorlage war es doch nicht....Mist.
Ich habe die VM nochmal aus ner Sicherung wiederhergestellt und somit alles nochmal auf Anfang.

meinst Du den Aufruf der Zertifikatdienste über den Browser/certsrv?

Genau das meine ich....denn dafür ist es schließlich da.
Member: lcer00
lcer00 May 27, 2021 at 07:59:15 (UTC)
Goto Top
Hallo,
Zitat von @Looser27:

Die Vorlage war es doch nicht....Mist.
Ich habe die VM nochmal aus ner Sicherung wiederhergestellt und somit alles nochmal auf Anfang.

meinst Du den Aufruf der Zertifikatdienste über den Browser/certsrv?

Genau das meine ich....denn dafür ist es schließlich da.
Ich nutze die gar nicht. Für die meisten Windows-Szenarien kann man das über automatisches ausrollen oder über das mmc-Snapin machen. Für Linux nehme ich immer die Kommandozeile. Dazu erzeugt man den Zertifikatsreqest auf dem Linux-System (oder bei Geräten ggf. auf der GUI), transportiert den auf das Windows-System und ergänzt die Zertifikatsvorlage wie oben beschrieben. Das ist (für mich) der zuverlässigere Weg. Natürlich muss man die Sicherheit des privaten Schlüssels gewährleisten, aber das ist ein anderer Punkt.

Grüße

lcer
Member: Looser27
Looser27 May 27, 2021 at 08:30:05 (UTC)
Goto Top
Hab ich auch versucht.

Hiermit
java -jar lib/ace.jar new_cert unifi.domain.intern Company City State CC

eine Anfrage erzeugt und versucht über die CA als Anfrage einzulesen. Gibt leider eine Fehlermeldung weil in der Anforderung keine Zertifikatvorlage drin steht.....wie bekomme ich die da rein?
Member: lcer00
lcer00 May 27, 2021 at 08:48:53 (UTC)
Goto Top
Zitat von @Looser27:

Hab ich auch versucht.

Hiermit
java -jar lib/ace.jar new_cert unifi.domain.intern Company City State CC

eine Anfrage erzeugt und versucht über die CA als Anfrage einzulesen. Gibt leider eine Fehlermeldung weil in der Anforderung keine Zertifikatvorlage drin steht.....wie bekomme ich die da rein?
Gar nicht. Wie es geht, hab ich doch oben geschrieben!

Grüße

lcer
Member: Looser27
Looser27 May 27, 2021 updated at 09:29:23 (UTC)
Goto Top
Anforderung habe ich, wie von Dir angegeben an der CA eingereicht.
Er fragt noch die CA ab, jedoch habe ich keine Möglichkeit den SAN einzutragen.....
Was muss ich da in der Zertifikatvorlage noch ändern?

Edit: Wenn ich in der Vorlage angebe, er soll die Infos aus dem AD ziehen, bekomme ich die Fehlermeldung, dass der DNS-Name nicht verfügbar sei (der Host ist im DNS eingetragen und sowohl ping als auch nslookup liefern korrekte Ergebnisse).
Member: lcer00
lcer00 May 27, 2021 at 09:42:21 (UTC)
Goto Top
Hallo,
Zitat von @Looser27:

Anforderung habe ich, wie von Dir angegeben an der CA eingereicht.
Er fragt noch die CA ab, jedoch habe ich keine Möglichkeit den SAN einzutragen.....
Was muss ich da in der Zertifikatvorlage noch ändern?
nix, das SAN sollte in der Anfrage enthalten sein. Erstellst Du die Anfrage auf dem Linux-System? Wie?

Edit: Wenn ich in der Vorlage angebe, er soll die Infos aus dem AD ziehen, bekomme ich die Fehlermeldung, dass der DNS-Name nicht verfügbar sei (der Host ist im DNS eingetragen und sowohl ping als auch nslookup liefern korrekte Ergebnisse).
Du könntest versuchen, den Server als Computerobjekt im AD anzulegen. Das ist aber nicht erforderlich und oft nicht üblich, da Webserver-Zertifikate sowieso oft "benutzerdefiniert" werden.

Lektüre:
https://docs.microsoft.com/de-de/previous-versions/windows/it-pro/window ...
https://www.thomas-krenn.com/de/wiki/Openssl_Multi-Domain_CSR_erstellen


Grüße

lcer
Member: lcer00
lcer00 May 27, 2021 at 09:48:35 (UTC)
Goto Top
Hallo,

ich sehe gerade, dass das offenbar ein UniFi System ist. Da müßte eigentlich der SAN in der Anfrage enthalten sein.

https://help.ui.com/hc/en-us/articles/212500127-UniFi-SSL-certificate-er ...

Grüße

lcer

PS: Wenn Du "UniFi" in den Titel geschrieben hättest, hätte hier vermutlich noch mehr Leute helfen können, wollen ....
Member: Dani
Dani May 27, 2021 at 14:10:33 (UTC)
Goto Top
Moin,
Sehe ich mir morgen an.
Bist du mit meinem Hinweis weitergekommen?


Gruß,
Dani
Member: Looser27
Looser27 May 27, 2021 at 14:33:29 (UTC)
Goto Top
Jep. Nachdem ich das kontrolliert und geändert habe, musste ich nur noch das richtige Export-Format finden.
Jetzt, wo alles läuft habe ich eine Anleitung für Nachahmer geschrieben.
Member: Dani
Dani May 27, 2021 at 16:10:01 (UTC)
Goto Top
Jep. Nachdem ich das kontrolliert und geändert habe, musste ich nur noch das richtige Export-Format finden.
Freut mich.

Jetzt, wo alles läuft habe ich eine Anleitung für Nachahmer geschrieben.
Unifi mit SSL-Zertifikat aus interner CA


Gruß,
Dani
GermansolvedQuestionEncryption, CertificatesSecurity