创建、请求和安装目录代理服务器的证书申请SSL/TLS

创建、请求和安装目次代理服务器的证书

要在目次代理服务器上运行安全套接字层 (Secure Sockets Layer, SSL)，必须使用自署名证书或公钥底子布局 (Public Key Infrastructure, PKI) 解决方案。

PKI 解决方案需要涉及到外部证书颁发机构 (Certificate Authority, CA)。要使用 PKI 解决方案，您需要包含公钥和私钥的 CA 署名服务器证书。此证书特定于一个目次代理服务器实例。别的，还需要包含公钥的 可信 CA 证书 。可信 CA 证书可确保来自 CA 的全部服务器证书都是可信的。此证书偶然称为 CA 根密钥或根证书。

有关怎样创建非默认的自署名证书，以及怎样请求和安装 CA 署名证书的信息，请拜见以下過逞。

创建非默认的目次代理服务器自署名证书

创建目次代理服务器实例时，将主动提供默认的自署名证书。假如要使用非默认设置创建自署名证书，请实行以下過逞。

此過逞将为服务器证书创建公钥/私钥对，此中公钥由目次代理服务器署名。自署名证书的有用期为三个月。

可以使用 DSCC 实行此使命。有关信息，请拜见 目次服务控制中心界面 和 DSCC 联机帮助。

要创建非默认的目次代理服务器自署名证书，请键入：




$ dpadm add-selfsign-cert instance-pathcert-alias

此中 cert-alias 是自署名证书的名称。

比方，可以创建名为 my-self-signed-cert 的证书，如下所示：




$ dpadm add-selfsign-cert /local/dps my-self-signed-cert

有关全部下令选项的描述，请拜见 dpadm(1M) 手册页，要么在下令行中键入 dpadm add-selfsign-cert --help 。

请求目次代理服务器的 CA 署名证书

自署名证书对于测试非常有效。但是在生产环境中，使用可信证书颁发机构 (Certificate Authority, CA) 颁发的证书会越发安全。

可以使用 DSCC 实行此使命。有关信息，请拜见 目次服务控制中心界面 和 DSCC 联机帮助。

1. 请求 CA 署名的服务器证书。

   
   

   $ dpadm request-cert instance-pathcert-alias

   此中 cert-alias 是要请求的证书的名称。证书颁发机构大概需要该下令的全部选项以辨认服务器。有关全部下令选项的描述，请拜见 dpadm(1M) 手册页。

   获取 CA 证书的過逞取决于所使用的 CA。某些贸易 CA 提供了容许您下载证书的 Web 站点。其他 CA 会以电子邮件的方法将证书发送给您。

   比方，可以请求一个名为 my-CA-signed-cert 的证书，如下所示：

   
   

   $ dpadm request-cert -S cn=my-request,o=test /local/dps my-CA-signed-cert -----BEGIN NEW CERTIFICATE REQUEST----- MIIBYDCBygIBADAhMQ0wCwYDVQQDEwRnZXJpMRAwDgYDVQQDEwdteWNlcnQ0MIGfMA0GCSqGSIb3 DQEBAQUAA4GNADCBiQKBgQC3v9ubG468wnjBDAMbRrEkmFDTQzT+LO30D/ALLXOiElVsHrtRyWhJ PG9cURI9uwqs15crxCpJvho1kt3SB9+yMB8Ql+CKnCQDHlNAfnn30MjFHShv/sAuEygFsN+Ekci5 W1jySYE2rzE0qKVxWLSILFo1UFRVRsUnORTX/Nas7QIDAQABoAAwDQYJKoZIhvcNAQEEBQADgYEA fcQMnZNLpPobiX1xy1ROefPOhksVz8didY8Q2fjjaHG5lajMsqOROzubsuQ9Xh4ohT8kIA6xcBNZ g8FRNIRAHCtDXKOdOm3CpJ8da+YGI/ttSawIeNAKU1DApF9zMb7c2lS4yEfWmreoQdXIC9YeKtF6 zwbn2EmIpjHzETtS5Nk= -----END NEW CERTIFICATE REQUEST-----

   使用 dpadm request-cert 下令请求证书时，此证书请求是保密性加强的电子邮件 (Privacy Enhanced Mail, PEM) 格式的 PKCS #10 证书请求。 PEM 是由 RFC 1421 至 1424 指定的格式。有关具体信息，请拜见 http://www.ietf.org/rfc/rfc1421.txt 。PEM 格式表现 ASCII 格式的 base64 编码的证书请求。

   请求 CA 署名的证书时，将创建一个暂时的自署名证书。收到并安装来自 CA 的 CA 署名证书时，新证书将代替暂时的自署名证书。

2. 根据程序将证书请求发送给 CA。

   发送请求之后，必须等候 CA 对您的证书做出相应。请求的相应时间会有所差别。比方，假如 CA 在您的公司内部，则相应时间大概很短。但是，假如 CA 在公司外部，则 CA 大概需要几个礼拜才能相应您的请求。

3. 保存从 CA 收到的证书。

   以文本文件的情势保存证书，并将此证书备份到安全位置。

安装目次代理服务器的 CA 署名服务器证书

要信托 CA 署名的服务器证书，必须在目次代理服务器实例上安装此证书。此過逞将 CA 证书的公钥安装到目次代理服务器上的证书数据库中。

可以使用 DSCC 实行此使命。有关信息，请拜见 目次服务控制中心界面 和 DSCC 联机帮助。

1. 察看是否已安装此 CA 的可信 CA 证书。

   要实行此操作，请列出全部已安装的 CA 证书，如 列出 CA 证书 中所述。

2. 假如未安装可信 CA 证书，请将其添加到目次代理服务器实例上的证书数据库中。

   
   

   $ dpadm add-cert instance-pathcert-aliascert-file

   此中 cert-alias 是可信 CA 证书的名称， cert-file 是包含可信 CA 证书的文件的名称。

3. 将 CA 署名的服务器证书安装到证书数据库中。

   
   

   $ dpadm add-cert instance-pathcert-aliascert-file

   此中 cert-alias 是 CA 署名服务器证书的名称， cert-file 是包含 CA 署名服务器证书的文件的名称。请留意， cert-alias 必须与证书请求中所使用的 cert-alias 相同。

   比方，可以将名为 CA-cert 的 CA 署名服务器证书添加到 /local/dps 上的证书数据库中，如下所示：

   
   

   $ dpadm add-cert /local/dps CA-cert /local/safeplace/ca-cert-file.ascii

SSL 证书领导让您可以为 Sophos Mobile EAS 代理创建 SSL/TLS 证书。

为了保证客户端和服务端通过HTTPS成功通讯，您在安装SSL证书时，也需要安装CA根证书和中间证书。本文介绍怎样获取CA根证书和中间证书。