Zertifikatspool

Neben der Built-In CA →, die Zertifikate selbst ausstellt, unterstützt Relution Zertifizierungsstellen vom Typ Custom Pool. Dabei dient eine bereits vorhandene, externe PKI als Quelle: Die dort ausgestellten Zertifikate werden gesammelt als Archiv nach Relution importiert und als Pool vorgehalten. Wird ein Zertifikat für eine Konfiguration benötigt, erfolgt die Zuweisung aus diesem Pool, anstatt ein neues Zertifikat zu generieren.

Zertifizierungsstelle vom Typ Custom Pool anlegen #

Die Anlage erfolgt unter Einstellungen → Zertifizierungsstellen → Hinzufügen. Im Drop-Down-Menü für die Art der Zertifizierungsstelle wird der Eintrag Custom Pool ausgewählt.

Pflichtfelder

• Name: Bezeichnung der Zertifizierungsstelle in Relution.

Angaben zur Zertifikatsausstellung — etwa ein Passwort für das Root-Zertifikat, ein Common Name oder ein Ablaufdatum — sind nicht erforderlich, da ein Zertifikatspool selbst keine Zertifikate signiert.

Zertifikate in den Pool importieren #

Der Import erfolgt über die Bearbeitung der zuvor angelegten Zertifizierungsstelle. Dort wird ein ZIP-Archiv mit den extern ausgestellten Zertifikatsdateien hochgeladen.

Für den Import wird zusätzlich der Subtyp festgelegt. Dieser bestimmt, für welche Funktion die Zertifikate später zur Verfügung stehen; vorausgewählt ist WIFI. Zur Auswahl stehen dieselben Funktionen, die auch für Benutzerzertifikate gelten: GENERAL_CERTIFICATE, WIFI, EXCHANGE, VPN, SMIME_ENCRYPTION und SMIME_SIGNING (siehe Benutzerzertifikate →).

Aufbau des Archivs #

Das ZIP-Archiv enthält die PKCS#12-Container der extern ausgestellten Zertifikate sowie eine CSV-Datei, über die jedes Zertifikat einem Benutzerkonto zugeordnet wird. Als Trennzeichen dient das Semikolon, die Kopfzeile lautet:

#E-Mail-Adresse;#P12-Passwort;#Zertifikatstyp

Eine Zeile pro Zertifikat, beispielhaft:

#E-Mail-Adresse;#P12-Passwort;#Zertifikatstyp
max.mustermann@example.com;geheimesPasswort;WIFI

Die Zuordnung zwischen CSV-Zeile und Zertifikat erfolgt über den Dateinamen: Die Zertifikatsdatei im Archiv trägt die E-Mail-Adresse aus der ersten Spalte als Namen, im Beispiel also max.mustermann@example.com.p12. Weicht der Dateiname von der E-Mail-Adresse ab, lässt sich das Zertifikat nicht zuordnen.

Importierte Zertifikate in der Zertifikatsverwaltung #

Die importierten Zertifikate erscheinen anschließend unter Einstellungen → Zertifikate, jeweils mit dem beim Import gewählten Subtyp — im beschriebenen Fall WIFI. Über diese Ansicht lassen sich die Zertifikate wie alle übrigen hinterlegten Zertifikate einsehen und verwalten, siehe Zertifikatsverwaltung →.

Zertifikatsvorlage für einen Zertifikatspool #

Damit die Zertifikate aus dem Pool in Richtlinien-Konfigurationen verwendet werden können, wird unter Einstellungen → Zertifikatsvorlagen → Hinzufügen eine Vorlage erstellt.

Für einen Zertifikatspool werden ausschließlich die folgenden Felder angezeigt:

• Name: Name der Vorlage.
• Zertifizierungsstelle: Die zuvor angelegte Custom-Pool-Zertifizierungsstelle.
• Automatische Verlängerung aktivieren (in Tagen): Ein Zertifikat wird automatisch verlängert, wenn das Ablaufdatum in diesem Zeitraum liegt.

Validierung #

Die Einrichtung ist vollständig, wenn

• die Zertifizierungsstelle vom Typ Custom Pool angelegt ist,
• der Import des ZIP-Archivs mit dem Subtyp WIFI ohne Duplikate und ohne Fehler abgeschlossen wurde,
• die importierten Zertifikate unter Einstellungen → Zertifikate mit dem Subtyp WIFI aufgeführt sind und
• die Zertifikatsvorlage für die Custom-Pool-Zertifizierungsstelle ohne Felder zur Zertifikatsgenerierung, aber mit den Verlängerungsoptionen angezeigt wird.

Die weitere Verwendung der Vorlage in einer Richtlinie entspricht dem Vorgehen bei der Built-In CA, siehe Built-In CA →.