Relution Signet Customer Hub

Built-In CA

Relution unterstützt die Nutzung integrierter Zertifikate. Diese Zertifikate werden in vielen Bereichen genutzt, zum Beispiel bei SSL/TLS-Verschlüsselung, E-Mail-Sicherheit, VPN- und WLAN-Verbindungen und Signierungen.

Die folgende Anleitung beschreibt das Anlegen einer integrierten Zertifizierungsstelle (CA) und einer Zertifikatsvorlage mit Variablen zur Zuweisung. Anschließend wird eine Richtlinie mit der Zertifikat-Konfiguration erstellt und den entsprechenden Geräten zugewiesen. Dadurch wird die Generierung des Zertifikats für die Endgeräte ermöglicht.

Built-In CA anlegen

In Relution wird hierfür unter Einstellungen → Zertifizierungsstellen → Hinzufügen eine Built-In CA erstellt. Im Bereich Allgemein wird ein Name vergeben (optional eine Beschreibung) und im Feld Art der Zertifizierungsstelle die Option Built In ausgewählt. Die Art der Zertifizierungsstelle lässt sich nach dem Speichern nicht mehr ändern.

Im Bereich Zertifikatseinstellungen wird über Generieren am Feld Zertifikat ein neues Root-Zertifikat erstellt. Alternativ lässt sich über Auswählen ein vorhandenes PKCS#12-Zertifikat verwenden, das zuvor unter Einstellungen → Zertifikate hochgeladen wurde (siehe Zertifikatsverwaltung →). Die Zertifizierungsstelle wird anschließend mit Speichern angelegt.

Die Option Built In steht nur mit der Berechtigung zum Lesen von Zertifikaten zur Verfügung, die Schaltfläche Generieren nur mit der Berechtigung zum Erstellen von Zertifikaten.

Built-in Root Zertifikat generieren

Generieren öffnet den Dialog Built-in Root Zertifikat generieren. Mit Bestätigen wird das Root-Zertifikat erstellt und in das Feld Zertifikat übernommen.

Pflichtfelder

  • Name: Name des Zertifikats.
  • Passwort: Passwort für das Root-Zertifikat.
  • Common name: Üblicherweise der Domainname.
  • Läuft ab am: Vorbelegt ist eine Laufzeit von 10 Jahren. Das früheste wählbare Datum ist der folgende Tag.

Optionale Felder

  • Organisation, Organisationseinheit, Bundesland, Lokalität: Weitere Angaben zum Inhaber, die in den Distinguished Name des Root-Zertifikats übernommen werden.
  • Land: Vorbelegt ist Deutschland.

Zertifikatsvorlage

Über die Zertifikatsvorlage Einstellungen → Zertifikatsvorlagen → Hinzufügen werden Parameter für das Zertifikat definiert.

Pflichtfelder

  • Name: Name der Vorlage.
  • Zertifizierungsstelle: Über Auswählen wird die zuvor erstellte Built-In CA gewählt.
  • Name des Inhabers: als Beispiel CN=MeinAnwendungsfall-${user.email}. Hier können Variablen wie z. B. ${user.name}, ${device.serialnumber} oder ${user.email} verwendet werden, siehe Erweiterte Platzhalter →. Sonderzeichen werden durch einen vorangestellten Backslash maskiert (z. B. CN=John\, Doe).

Der Freitext in CN=MeinAnwendungsfall sollte passend zur Verwendung gewählt sein, z. B. VPN oder WLAN.

Weitere Optionen

  • Vorlagentyp des Zertifikats: Lässt sich nach dem Speichern nicht mehr ändern.
    • Zertifikat (Standard): Relution erzeugt Schlüssel und Zertifikat und stellt beides über die Richtlinie bereit.
    • SCEP auf dem Gerät: Für iOS, macOS und tvOS wird aus der Vorlage eine SCEP-Konfiguration erzeugt. Das Gerät erzeugt den Schlüssel selbst und fordert das Zertifikat per SCEP bei Relution an. Die zugehörigen Einstellungen (z. B. Wiederholungen, Wiederholungsverzögerung, Zugriff auf den privaten Schlüssel) stehen im Bereich SCEP-Konfiguration. Ab Relution 26.5.5 senden Apple-Geräte die Zertifikatsanforderung per HTTP POST und mit AES-Verschlüsselung. Ein Reverse Proxy vor Relution muss deshalb POST-Anfragen auf den SCEP-Pfaden (/api/device/v1/scep/…) zulassen.
  • Subject Alternative Name: Zusätzliche Namen im Zertifikat, jeweils mit einem der folgenden Typen (bei SCEP auf dem Gerät nur E-Mail, DNS, Benutzerprinzipalname und URI):
    • Verzeichnis-Name
    • DNS
    • E-Mail
    • IP-Adresse
    • Benutzerprinzipalname (UPN)
    • URI
  • Schlüsselalgorithmus: RSA (Standard) oder EC. EC steht nur bei einer Built-In CA mit dem Vorlagentyp Zertifikat zur Wahl.
  • Länge des Schlüssels: Vorbelegt sind 4096 Bit. Für den Vorlagentyp Zertifikat stehen bei RSA 3072 und 4096 Bit, bei EC 256, 384 und 521 Bit zur Wahl; für SCEP auf dem Gerät 2048 und 4096 Bit. Bereits gespeicherte Vorlagen behalten eine früher gewählte Schlüssellänge, bis sie geändert wird.
  • Verwendung von Zertifikatsschlüsseln: Mehrfachauswahl, z. B. Signatur, Schlüsselverschlüsselung, Datenverschlüsselung oder Nichtabstreitbarkeit.
  • Erweiterte Schlüsselverwendungen von Zertifikaten: Mehrfachauswahl, z. B. Client-Authentifizierung oder Server-Authentifizierung.
  • Automatische Verlängerung aktivieren: Ausgestellte Zertifikate werden automatisch verlängert. Der Schalter ist standardmäßig deaktiviert. Erst wenn er aktiv ist, lassen sich die beiden folgenden Felder bearbeiten:
    • Automatische Verlängerung (In Tagen): Ein Zertifikat wird automatisch verlängert, wenn sein Ablaufdatum in diesem Zeitraum liegt. Vorausgewählt ist 1 Tag. Der Wert muss kleiner sein als der Zeitraum, nach dem das Zertifikat abläuft (in Tagen).
    • Verhalten bei der Zertifikatserneuerung: Alte Zertifikate behalten ihre Gültigkeit (Standard) oder Alte Zertifikate direkt ungültig machen.
  • Zeitraum, nach dem das Zertifikat abläuft (in Tagen): Ein Zertifikat ist nach diesem Zeitraum nicht mehr gültig. Vorausgewählt sind 365 Tage.

Richtlinie mit Zertifikat-Konfiguration

Damit die Schritte greifen und ein Zertifikat erstellt wird, muss in Relution eine Richtlinie mit einer Zertifikat-Konfiguration erstellt werden. Hier ein Beispiel für iOS:

Unter Geräte → Richtlinien → Hinzufügen wird im Bereich Allgemein die Plattform (hier iOS) gewählt, ein Name für die Richtlinie vergeben und gespeichert.

In der erstellten Richtlinie wird die Konfiguration Zertifikat hinzugefügt. Nach Vergabe eines Namens wird im Feld Zertifikat über Auswählen der Dialog Zertifikat oder Zertifikatsvorlage auswählen geöffnet, im Reiter Zertifikatsvorlagen die zuvor erstellte Zertifikatsvorlage gewählt und mit Bestätigen übernommen.

Ebenso kann die Zertifikatsvorlage für VPN- und WLAN-Konfigurationen verwendet werden.

Validierung

In der Relution Gerätehistorie sollte nach dem Verteilen folgender Eintrag erstellt werden:

Ein Zertifikat für die Zertifikatsvorlage $Template wurde durch $Benutzer ausgestellt.

Zusätzlich ist das neue Zertifikat in den Geräteinformationen von Apple- und Linux-Geräten auf der Karte Installierte Zertifikate zu finden (sofern die Geräteinformationen aktuell sind).

Eine Übersicht aller über Zertifikatsvorlagen ausgestellten Zertifikate, einschließlich der Möglichkeit zum Widerruf, bietet Einstellungen → Ausgestellte Zertifikate (siehe Zertifikatsverwaltung →).