Hinzufügen von SAN (Subject Alternative Name) zu zusätzlichen Attributen

Alle durch das Zertifikat geschützten Domänennamen und IP-Adressen werden systematisch unter Verwendung des SAN (Subject Alternative Name) aufgelistet. Die Subject Alternate Names müssen auf einem SSL / TLS-Zertifikat wenn weitere Website-Aktionen abgesichert werden müssen, damit der DNS-Server die IP-Adresse dem Domänennamen zuordnen kann.

Die SAN-Informationen finden Sie in den SSL/TLS-Zertifikatsdaten, indem Sie in der Adressleiste der meisten Webbrowser auf das Schlosssymbol klicken. Der Begriff SSL SAN (Secure Socket Layer Subject Alternative Name) beschreibt die Fähigkeit eines SSL-Zertifikats, mehrere Hostnamen, einschließlich Domänen und Subdomänen, abzudecken. Das im Zertifikat integrierte Feld „Subject Alternative Name“ (SAN) schützt mehrere vollqualifizierte Domänennamen (FQDN) mit einem einzigen SAN-SSL-Zertifikat. Dies vereinfacht die Zertifikatsverwaltung und verbessert die Sicherheit über mehrere Domänen hinweg.

In diesem Blogbeitrag erfahren Sie, wie Sie einem Zertifikat, z. B. einer Webserver-Zertifikatregistrierung mit SAN-Erweiterung, Attribute für den alternativen Antragstellernamen hinzufügen. Außerdem behandeln wir einen Fehler: Das Hinzufügen von SAN (Alternativer Antragstellername) in das Feld „Zusätzliche Attribute“ im Microsoft CA-Zertifikatsanforderungsformular führt nicht automatisch zu einem Zertifikat mit dem Eintrag „Alternativer Antragstellername“.

Webserver-Zertifikatregistrierung mit SAN-Erweiterung

Die Registrierung eines Zertifikats mit einer benutzerdefinierten SAN-Erweiterung ist jetzt ganz einfach. Sie müssen nur bestimmte Anweisungen befolgen, um Ihr Zertifikat zu erhalten.

Festlegen einer Zertifikatvorlage

Die meisten Zertifikatvorlagen sind so eingerichtet, dass sie ein Thema aus Active DirectoryBei SSL-Zertifikaten wird jedoch „Supply“ in der Anfrage verwendet, da ein benutzerdefinierter Betreffname verwendet wird. Wenn Sie die Standard-Webservervorlage verwenden, müssen Sie nichts ändern. Für die benutzerdefinierte Zertifikatvorlage sollten Sie diese wie unten angegeben aktualisieren.

Außerdem müssen Sie Ihrem Konto auf der Registerkarte „Sicherheit“ die Berechtigung zum Lesen und Registrieren erteilen.

Festlegen der Zertifizierungsstelle

• Gehen Sie zur Certsrv-Konsole und erweitern Sie Issuing CA.
• Gehen Sie zur Zertifikatsvorlage und öffnen Sie sie.
• Prüfen Sie, ob die Vorlage im Fenster aufgeführt ist, falls nicht, klicken Sie mit der rechten Maustaste auf die Zertifikatsvorlage und wählen Sie dann Neu -> Zertifikatsvorlage ausstellen.
• Wählen Sie die gewünschte Vorlage aus und klicken Sie auf „Hinzufügen“.

Registrierungsprozess für Zertifikate

• Öffnen Sie die MMC-Konsole. Gehen Sie im Fenster „Konsole1“ zu „Datei“ -> „Snap-In hinzufügen/entfernen“.

  

• Klicken Sie im Dialogfeld „Snap-In hinzufügen/entfernen“ auf „Zertifikate“ und fügen Sie sie hinzu.

  

• Klicken Sie in Zertifikaten auf das Feld „In Zertifikate“, dann auf „Computerkonto“ und dann auf „Weiter“.

• Klicken Sie im Fenster „Computer auswählen“ auf „Lokaler Computer“ und dann auf „Fertig“.

  

• Klicken Sie auf „OK“ und schließen Sie das Snap-In.

• Klicken Sie mit der rechten Maustaste auf den persönlichen Knoten. Klicken Sie auf Alle Aufgaben -> Neues Zertifikat anfordern.

  

• Klicken Sie auf der Seite „Bevor Sie beginnen“ auf „Weiter“.

• Wählen Sie auf der Seite „Registrierungsrichtlinie auswählen“ die entsprechende Richtlinie aus und fahren Sie mit „Weiter“ fort.

  

• Klicken Sie im Feld „Zertifikat anfordern“ auf die gewünschte Vorlage, erweitern Sie deren Details und öffnen Sie deren Eigenschaften, um sie zu konfigurieren.

  

• Das Dialogfeld „Zertifikateigenschaften“ wird wie folgt angezeigt.

  

• Da Sie den Subject Alternate Name (SAN) verwenden, können Sie den Betreffnamen leer lassen. Wählen Sie in der Dropdown-Liste den passenden SAN-Typ aus. (Bei SSL-Zertifikaten ist DNS üblich.)

• Geben Sie im Wertefeld die Namen im entsprechenden Format ein und klicken Sie auf „Hinzufügen“. Wiederholen Sie diesen Schritt für alle Werte, die Sie hinzufügen möchten.

  

• Klicken Sie auf „OK“ und schließen Sie. Sie gelangen zurück zur Zertifikatsregistrierungsseite. Klicken Sie auf „Registrieren“.

  

• Klicken Sie auf „Fertig stellen“, wenn das Zertifikat erfolgreich installiert wurde.

  

• Hier können Sie die SAN-Details des Zertifikats anzeigen.

  

Problemlösung

Problem

Das generierte Zertifikat enthält keinen SAN-Eintrag (Subject Alternative Name), auch nicht nach dem Hinzufügen von SAN im Feld „Zusätzliche Attribute“.

Verursachen

Wenn die Ausstellungsrichtlinie der Microsoft-Zertifizierungsstelle nicht so eingerichtet ist, dass das Attribut „Alternative Antragstellernamen“ über die Webregistrierungsseite der Zertifizierungsstelle akzeptiert wird, kann die Ausführung der vorhergehenden Schritte nicht zu einem Zertifikat mit einem SAN-Eintrag führen.

Lösung

Um dieses Problem zu lösen, müssen wir diesen Befehl über die administrative Eingabeaufforderung ausführen:

certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2

Stellen Sie nach der Ausführung dieses Befehls sicher, dass Sie den ADCS Dienste durch Ausführen

net stop certsvc und net start certsvc

Jetzt können Sie das Zertifikat mit dem SAN-Eintrag über die Webregistrierungsseite der Zertifizierungsstelle erstellen.

Erstellen Sie eine Subject Alternative Name (SAN)-Zertifikatsanforderung (CSR)

Wir werden dies mit OpenSSL konfigurieren, daher müssen Sie von einer Eingabeaufforderung oder einer PowerShell-Sitzung aus aus Ihrem OpenSSL\bin-Verzeichnis arbeiten.
Die Schritte sind:

1. Erstellen Sie eine OpenSSL-Konfigurationsdatei, die alternative Antragstellernamen (.cnf) ermöglicht.
   Um CSR für SAN zu generieren, benötigen wir distinguished_name und req_extensions
   Bearbeiten Sie Ihre OpenSSL-CNF-Datei wie im folgenden Beispiel

[Anforderung]
Distinguished_Name = Req_Distinguished_Name
req_extensions = v3_req
countryName = Ländername (2-Buchstaben-Code
stateOrProvinceName = Name des Staates oder der Provinz (vollständiger Name)
localityName = Ortsname (z. B. Stadt)
organisatorischerUnitName = Name der Organisationseinheit (z. B. Abschnitt)
commonName = [beispiel.com]

[ v3_req ]

# Erweiterungen zum Hinzufügen zu einer Zertifikatsanforderung

subjectAltName = @alt_names
[alt_names]
DNS.1 = [beispiel.com]
DNS.2 = [beispiel.beispiel.com]
DNS.3 = [beispiel.com.edu]

2. Erstellen Sie eine Zertifikatsanforderungsdatei (.csr), indem Sie einen Befehl ausführen.

# openssl req -newkey [priv.key] -out [san.csr] -config [san.cnf]

Bitte ersetzen Sie [priv.key] durch Ihren privaten Schlüssel, [san.csr] durch Ihren gewünschten CSR-Namen und [san.cnf] durch den Namen Ihrer Konfigurationsdatei.

Fazit

Alle durch das Zertifikat geschützten Domänennamen und IP-Adressen sind in einem SAN (Subject Alternative Name) organisiert. Sie können den Zertifikaten ganz einfach SAN-Einträge hinzufügen, indem Sie den Anweisungen in diesem Blog folgen. Es gibt ein Problem, wenn das generierte Zertifikat ohne SAN-Eintrag ausgegeben wird, selbst nach dem Hinzufügen eines SAN Eintrag. Dies kann durch Ausführen eines einzelnen Befehls gelöst werden, der den Eintrag hinzufügt. Jetzt können Sie das Zertifikat erstellen.