Zum Hauptinhalt gehen

Verbindungszertifikat wechseln und eigene Zertifikate verwenden

Marcus Bohn
Aktualisiert

Ziel

Sie ersetzen das Verbindungszertifikat des Password Secure Application Servers, zum Beispiel beim Übergang von der Einrichtung in den Produktivbetrieb. Das selbst signierte Zertifikat, das Password Secure ausstellt, ist nur für die Einrichtung gedacht. Ersetzen Sie es im Produktivbetrieb durch ein Zertifikat Ihrer eigenen CA.

Voraussetzungen

  • Zugriff auf das Anmeldefenster des Server Managers.
  • Wenn Sie ein Zertifikat Ihrer lokalen CA verwenden, muss es diese Anforderungen erfüllen:
    • Hostname des Servers im Zertifikat (zwingend): Das Zertifikat muss den Hostnamen, über den der Server erreicht wird, als DNS-Eintrag im SAN enthalten. Fehlt er, schlägt die automatische Erkennung des Zertifizierungsmodus fehl, und die Anmeldung am Server Manager ist nicht möglich.
    • Nur DNS-Namen, keine IP-Adressen: Tragen Sie keine IP-Adressen in das Zertifikat ein. Moderne Webbrowser lehnen Zertifikate mit IP-Adressen zunehmend ab. IP-Adressen können sich außerdem ändern, zum Beispiel durch DHCP, Loadbalancer oder Netzwerkkonfigurationen. Zertifikate validieren Hostnamen, da diese konsistente und auflösbare Identifikatoren sind.
    • Common Name (CN): Der vollständige Hostname des Servers, zum Beispiel server-passwordsecure.myorg.intern.
    • Subject Alternative Name (SAN): Jeder Name, über den eine Verbindung aufgebaut werden soll, muss unter SAN stehen. Die SAN-Erweiterung muss mindestens den Eintrag DNS: server-passwordsecure.myorg.intern enthalten, und der erste SAN-Eintrag muss identisch mit dem CN sein. Optional können Sie weitere Einträge ergänzen, zum Beispiel DNS: server-passwordsecure und DNS: passwordsecure.
    • Läuft ein Webserver, verwenden Sie auch in dessen Konfiguration den Hostnamen statt der IP-Adresse.

Hinweis: Von Password Secure ausgestellte selbst signierte Zertifikate sind 9999 Jahre gültig und laufen faktisch nicht ab. Sie lassen sich jederzeit neu ausstellen, aus Sicherheitsgründen empfehlen wir jedoch immer ein Zertifikat Ihrer eigenen CA mit kürzerer Laufzeit. Sicherheit hat Vorrang vor Komfort.

Schritte

  1. Öffnen Sie im Anmeldefenster des Server Managers die Grundkonfiguration.

  2. Aktivieren Sie in der Grundkonfiguration den Expertenmodus.

  3. Klicken Sie auf das Icon zum Erstellen eines neuen Zertifikats. Um stattdessen ein Zertifikat Ihrer lokalen CA zu verwenden, wählen Sie an dieser Stelle dieses Zertifikat aus. Prüfen Sie vorher, dass der Hostname des Servers als DNS-Eintrag im SAN enthalten ist.

  4. Stellen Sie sicher, dass die Clients dem neuen Zertifikat vertrauen. Bei einem Zertifikat Ihrer eigenen CA installieren Sie das Root-CA-Zertifikat (und gegebenenfalls Zwischenzertifikate) in den Zertifikatsspeicher Vertrauenswürdige Stammzertifizierungsstellen der Clients. Für viele Clients eignet sich die Verteilung per GPO oder Intune. Bei einem neu erstellten selbst signierten Zertifikat installieren Sie dieses Zertifikat auf den einzelnen Clients.

Verwandte Beiträge