Zertifikatspool

Neben der Built-In CA →, die Zertifikate selbst ausstellt, unterstützt Relution Zertifizierungsstellen vom Typ Zertifikatspool. Dabei dient eine bereits vorhandene, externe PKI als Quelle: Die dort ausgestellten Zertifikate werden gesammelt als Archiv nach Relution importiert und als Pool vorgehalten. Wird ein Zertifikat für eine Konfiguration benötigt, erfolgt die Zuweisung aus diesem Pool, anstatt ein neues Zertifikat zu generieren.

Zertifizierungsstelle vom Typ Zertifikatspool anlegen #

Die Anlage erfolgt unter Einstellungen → Zertifizierungsstellen → Hinzufügen. Im Drop-down-Menü Art der Zertifizierungsstelle wird der Eintrag Zertifikatspool ausgewählt. Der Typ steht nur in regulären Organisationen zur Verfügung, nicht in der Global-Organisation oder einer Meta-Organisation.

Pflichtfelder

• Name: Bezeichnung der Zertifizierungsstelle in Relution.

Angaben zur Zertifikatsausstellung — etwa ein Passwort für das Root-Zertifikat, ein Common Name oder ein Ablaufdatum — sind nicht erforderlich, da ein Zertifikatspool selbst keine Zertifikate signiert.

Zertifikate in den Pool importieren #

Der Import erfolgt über die Bearbeitung der zuvor gespeicherten Zertifizierungsstelle; das Feld Zertifikatspool importieren erscheint erst nach dem ersten Speichern. Dort wird ein ZIP-Archiv mit den extern ausgestellten Zertifikatsdateien hochgeladen. Darunter listet Relution die bereits im Pool enthaltenen Zertifikate auf.

Optional lässt sich im Feld Standard-Zertifikatssubtyp ein Subtyp festlegen. Er bestimmt, für welche Funktion die Zertifikate später zur Verfügung stehen. Zur Auswahl stehen dieselben Funktionen wie bei Benutzerzertifikaten: Allgemeines Zertifikat, WLAN, Exchange, VPN und Apps, S/MIME-Verschlüsselung und S/MIME Signierung (siehe Benutzerzertifikate →). Ist ein Subtyp gewählt, gilt er für alle Zertifikate des Archivs; die Spalte #Zertifikatstyp der CSV-Datei wird dann ignoriert und darf fehlen. Bei der Voreinstellung Keine gilt der Subtyp aus der Spalte #Zertifikatstyp, Zeile für Zeile; Zeilen ohne gültigen Subtyp werden als Fehler gemeldet.

Aufbau des Archivs #

Das ZIP-Archiv enthält die extern ausgestellten Zertifikatsdateien sowie genau eine CSV-Datei (UTF-8), die für jedes Zertifikat einen Bezeichner und das Importpasswort angibt. Als Zertifikatsdateien werden PKCS#12-Container (.p12 oder .pfx) sowie PEM-Dateien (.pem mit privatem Schlüssel, Zertifikat und Zertifikatskette) akzeptiert. Als Trennzeichen dient das Semikolon, die Kopfzeile lautet:

#E-Mail-Adresse;#P12-Passwort;#Zertifikatstyp

Die Spalten werden über die Kopfzeile zugeordnet, ihre Reihenfolge ist daher beliebig. Eine Zeile pro Zertifikat, beispielhaft:

#E-Mail-Adresse;#P12-Passwort;#Zertifikatstyp
max.mustermann@example.com;geheimesPasswort;WIFI

Die Zuordnung zwischen CSV-Zeile und Zertifikatsdatei erfolgt über den Dateinamen: Die Zertifikatsdatei im Archiv trägt den Bezeichner aus der Spalte #E-Mail-Adresse als Namen, im Beispiel also max.mustermann@example.com.p12. Weicht der Dateiname vom Bezeichner ab, lässt sich das Zertifikat nicht zuordnen. Zertifikatsdateien ohne zugehörige CSV-Zeile werden ignoriert.

Nach dem Upload zeigt das Formular das Ergebnis an: Anzahl der importierten Zertifikate, der übersprungenen Duplikate und der Fehler. Unter Fehlgeschlagene Importe werden die betroffenen Bezeichner aufgeführt. Fehlerhafte Zeilen brechen den Import nicht ab; die übrigen Zertifikate werden trotzdem importiert. Als Duplikat gilt ein Zertifikat, dessen Seriennummer in der Organisation bereits im Pool vorhanden ist.

Importierte Zertifikate in der Zertifikatsverwaltung #

Die importierten Zertifikate erscheinen anschließend unter Einstellungen → Zertifikate mit dem Verwendungszweck Built-in Pool-Zertifikat, jeweils mit dem beim Import gewählten oder in der CSV-Datei angegebenen Subtyp — im beschriebenen Fall WLAN. Über diese Ansicht lassen sich die Zertifikate wie alle übrigen hinterlegten Zertifikate einsehen und verwalten, siehe Zertifikatsverwaltung →.

Zertifikatsvorlage für einen Zertifikatspool #

Damit die Zertifikate aus dem Pool in Richtlinien-Konfigurationen verwendet werden können, wird unter Einstellungen → Zertifikatsvorlagen → Hinzufügen eine Vorlage erstellt.

Ist als Zertifizierungsstelle ein Zertifikatspool ausgewählt, entfallen die Felder zur Zertifikatserzeugung (Name des Inhabers, Subject Alternative Name, Schlüsselalgorithmus, Länge des Schlüssels, Verwendung von Zertifikatsschlüsseln, Erweiterte Schlüsselverwendungen von Zertifikaten). Angezeigt werden:

• Name: Name der Vorlage.
• Vorlagentyp des Zertifikats und Beschreibung (optional).
• Zertifizierungsstelle: Die zuvor angelegte Zertifizierungsstelle vom Typ Zertifikatspool.
• Automatische Verlängerung aktivieren mit Automatische Verlängerung (In Tagen): Liegt das Ablaufdatum eines zugewiesenen Zertifikats in diesem Zeitraum, wird es durch ein freies Zertifikat desselben Subtyps aus dem Pool ersetzt. Das bisherige Zertifikat wird als gelöscht markiert und nicht erneut vergeben.
• Verhalten bei der Zertifikatserneuerung und Zeitraum, nach dem das Zertifikat abläuft (in Tagen) (Pflichtfeld, Standardwert 365).

Welcher Subtyp benötigt wird, ergibt sich aus der Konfiguration, in der die Vorlage verwendet wird, z. B. WLAN bei einer WLAN-Konfiguration. Enthält der Pool kein freies Zertifikat dieses Subtyps mehr, kann kein Zertifikat zugewiesen werden, und Relution meldet einen Compliance-Verstoß; der Pool muss dann um weitere Zertifikate ergänzt werden. Steht lediglich eine fällige Verlängerung an, bleibt das bisherige Zertifikat bis zu seinem Ablauf zugewiesen, und Relution erzeugt einen Compliance-Hinweis.

Validierung #

Die Einrichtung ist vollständig, wenn

• die Zertifizierungsstelle vom Typ Zertifikatspool angelegt ist,
• der Import des ZIP-Archivs (im Beispiel mit dem Subtyp WLAN) ohne Duplikate und ohne Fehler abgeschlossen wurde,
• die importierten Zertifikate unter Einstellungen → Zertifikate mit dem Subtyp WLAN aufgeführt sind und
• die Zertifikatsvorlage für die Zertifizierungsstelle vom Typ Zertifikatspool ohne Felder zur Zertifikatserzeugung, aber mit den Optionen zu Verlängerung und Ablauf angezeigt wird.

Die weitere Verwendung der Vorlage in einer Richtlinie entspricht dem Vorgehen bei der Built-In CA, siehe Built-In CA →.