Hinzufügen von SAN (Subject Alternative Name) zu zusätzlichen Attributen

Alle durch das Zertifikat geschützten Domainnamen und IP-Adressen werden systematisch mithilfe des SAN (Subject Alternative Name) aufgelistet. Die Subject Alternative Names müssen in einem SSL/TLS-Zertifikat angegeben werden , wenn weitere Website-Aktionen abgesichert werden sollen, damit der DNS-Server die IP-Adresse dem Domainnamen zuordnen kann.

Die SAN-Informationen finden Sie in den SSL/TLS-Zertifikatsdaten, indem Sie in der Adressleiste der meisten Webbrowser auf das Schlosssymbol klicken. Der Begriff SSL SAN (Secure Socket Layer Subject Alternative Name) beschreibt die Fähigkeit eines SSL-Zertifikats, mehrere Hostnamen, einschließlich Domänen und Subdomänen, abzudecken. Das im Zertifikat integrierte Feld „Subject Alternative Name“ (SAN) schützt mehrere vollqualifizierte Domänennamen (FQDN) mit einem einzigen SAN-SSL-Zertifikat. Dies vereinfacht die Zertifikatsverwaltung und verbessert die Sicherheit über mehrere Domänen hinweg.

In diesem Blogbeitrag erfahren Sie, wie Sie einem Zertifikat, z. B. einer Webserver-Zertifikatregistrierung mit SAN-Erweiterung, Attribute für den alternativen Antragstellernamen hinzufügen. Außerdem behandeln wir einen Fehler: Das Hinzufügen von SAN (Alternativer Antragstellername) in das Feld „Zusätzliche Attribute“ im Microsoft CA-Zertifikatsanforderungsformular führt nicht automatisch zu einem Zertifikat mit dem Eintrag „Alternativer Antragstellername“.

Webserver-Zertifikatregistrierung mit SAN-Erweiterung

Die Registrierung eines Zertifikats mit einer benutzerdefinierten SAN-Erweiterung ist jetzt ganz einfach. Sie müssen nur bestimmte Anweisungen befolgen, um Ihr Zertifikat zu erhalten.

Festlegen einer Zertifikatvorlage

Die meisten Zertifikatvorlagen sind so konfiguriert, dass sie einen Betreff aus Active Directory generieren . Bei SSL-Zertifikaten wird jedoch die Anforderung „Supply“ verwendet, da diese einen benutzerdefinierten Betreffnamen nutzen. Wenn Sie die Standardvorlage des Webservers verwenden, sind keine Änderungen erforderlich. Für die benutzerdefinierte Zertifikatvorlage sollten Sie die folgenden Schritte ausführen.

Außerdem müssen Sie Ihrem Konto auf der Registerkarte „Sicherheit“ die Berechtigung zum Lesen und Registrieren erteilen.

Festlegen der Zertifizierungsstelle

• Gehen Sie zur Certsrv-Konsole und erweitern Sie Issuing CA.
• Gehen Sie zur Zertifikatsvorlage und öffnen Sie sie.
• Prüfen Sie, ob die Vorlage im Fenster aufgeführt ist, falls nicht, klicken Sie mit der rechten Maustaste auf die Zertifikatsvorlage und wählen Sie dann Neu -> Zertifikatsvorlage ausstellen.
• Wählen Sie die gewünschte Vorlage aus und klicken Sie auf „Hinzufügen“.

Registrierungsprozess für Zertifikate

• Öffnen Sie die MMC-Konsole. Gehen Sie im Fenster „Konsole1“ zu „Datei“ -> „Snap-In hinzufügen/entfernen“.

  

• Klicken Sie im Dialogfeld „Snap-In hinzufügen/entfernen“ auf „Zertifikate“ und fügen Sie sie hinzu.

  

• Klicken Sie in Zertifikaten auf das Feld „In Zertifikate“, dann auf „Computerkonto“ und dann auf „Weiter“.

• Klicken Sie im Fenster „Computer auswählen“ auf „Lokaler Computer“ und dann auf „Fertig“.

  

• Klicken Sie auf „OK“ und schließen Sie das Snap-In.

• Klicken Sie mit der rechten Maustaste auf den persönlichen Knoten. Klicken Sie auf Alle Aufgaben -> Neues Zertifikat anfordern.

  

• Klicken Sie auf der Seite „Bevor Sie beginnen“ auf „Weiter“.

• Wählen Sie auf der Seite „Registrierungsrichtlinie auswählen“ die entsprechende Richtlinie aus und fahren Sie mit „Weiter“ fort.

  

• Klicken Sie im Feld „Zertifikat anfordern“ auf die gewünschte Vorlage, erweitern Sie deren Details und öffnen Sie deren Eigenschaften, um sie zu konfigurieren.

  

• Das Dialogfeld „Zertifikateigenschaften“ wird wie folgt angezeigt.

  

• Da Sie den Subject Alternate Name (SAN) verwenden, können Sie den Betreffnamen leer lassen. Wählen Sie in der Dropdown-Liste den passenden SAN-Typ aus. (Bei SSL-Zertifikaten ist DNS üblich.)

• Geben Sie im Wertefeld die Namen im entsprechenden Format ein und klicken Sie auf „Hinzufügen“. Wiederholen Sie diesen Schritt für alle Werte, die Sie hinzufügen möchten.

  

• Klicken Sie auf „OK“ und schließen Sie. Sie gelangen zurück zur Zertifikatsregistrierungsseite. Klicken Sie auf „Registrieren“.

  

• Klicken Sie auf „Fertig stellen“, wenn das Zertifikat erfolgreich installiert wurde.

  

• Hier können Sie die SAN-Details des Zertifikats anzeigen.

  

Problemlösung

Problem

Das generierte Zertifikat enthält keinen SAN-Eintrag (Subject Alternative Name), auch nicht nach dem Hinzufügen von SAN im Feld „Zusätzliche Attribute“.

Verursachen

Wenn die Ausstellungsrichtlinie der Microsoft-Zertifizierungsstelle nicht so eingerichtet ist, dass das Attribut „Alternative Antragstellernamen“ über die Webregistrierungsseite der Zertifizierungsstelle akzeptiert wird, kann die Ausführung der vorhergehenden Schritte nicht zu einem Zertifikat mit einem SAN-Eintrag führen.

Lösung

Um dieses Problem zu lösen, müssen wir diesen Befehl über die administrative Eingabeaufforderung ausführen:

certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2

Nach Ausführung dieses Befehls müssen Sie die ADCS -Dienste neu starten, indem Sie folgenden Befehl ausführen:

net stop certsvc und net start certsvc

Jetzt können Sie das Zertifikat mit dem SAN-Eintrag über die Webregistrierungsseite der Zertifizierungsstelle erstellen.

Erstellen Sie eine Subject Alternative Name (SAN)-Zertifikatsanforderung (CSR)

Wir werden dies mit OpenSSL konfigurieren, daher müssen Sie von einer Eingabeaufforderung oder einer PowerShell-Sitzung aus aus Ihrem OpenSSL\bin-Verzeichnis arbeiten.
Die Schritte sind:

1. Erstellen Sie eine OpenSSL-Konfigurationsdatei, die alternative Antragstellernamen (.cnf) ermöglicht.
   Um CSR für SAN zu generieren, benötigen wir distinguished_name und req_extensions
   Bearbeiten Sie Ihre OpenSSL-CNF-Datei wie im folgenden Beispiel

[Anforderung]
Distinguished_Name = Req_Distinguished_Name
req_extensions = v3_req
countryName = Ländername (2-Buchstaben-Code
stateOrProvinceName = Name des Staates oder der Provinz (vollständiger Name)
localityName = Ortsname (z. B. Stadt)
organisatorischerUnitName = Name der Organisationseinheit (z. B. Abschnitt)
commonName = [beispiel.com]

[ v3_req ]

# Erweiterungen zum Hinzufügen zu einer Zertifikatsanforderung

subjectAltName = @alt_names
[alt_names]
DNS.1 = [beispiel.com]
DNS.2 = [beispiel.beispiel.com]
DNS.3 = [beispiel.com.edu]

2. Erstellen Sie eine Zertifikatsanforderungsdatei (.csr), indem Sie einen Befehl ausführen.

# openssl req -newkey [priv.key] -out [san.csr] -config [san.cnf]

Bitte ersetzen Sie [priv.key] durch Ihren privaten Schlüssel, [san.csr] durch Ihren gewünschten CSR-Namen und [san.cnf] durch den Namen Ihrer Konfigurationsdatei.

Fazit

Alle durch das Zertifikat geschützten Domainnamen und IP-Adressen sind in einem SAN (Subject Alternative Name) zusammengefasst. Sie können SAN-Einträge ganz einfach zu den Zertifikaten hinzufügen, indem Sie den Anweisungen in diesem Blog folgen. Es kann vorkommen, dass das generierte Zertifikat trotz hinzugefügtem SAN-Eintrag keinen enthält . Dieses Problem lässt sich beheben, indem Sie einen einzigen Befehl ausführen, der den Eintrag hinzufügt. Anschließend können Sie das Zertifikat erstellen.