Multiname Zertifikat mit eigener CA

[zeifang 10]

Hallo zusammen,

gibt es eine Möglichkeit mit einer eigenen CA ein Multiname Zertifikat zu erstellen. Ich möchte keine Wildecard (*.Beispieldom.de) sondern mehrere namen: serverxy.beispieldom.de und mail.beispieldom.de in einem Zertifikat.

mit selfssl.exe ja kein Problem. Aber geht sowas auch mit einer eigenen CA?

 

danke für eure Hilfe

 

Gruß

Martin

[olc 18]

Hi,

 

grundsätzlich geht das. Schau einmal nach dem Stichwort "Subject Alternatve Name" bzw. SAN. Je nach Client per Webenrollment, MMC oder certreq.exe möglich.

 

Die Frage ist jedoch oftmals, ob man das wirklich so einrichten sollte. Im besten Fall hat jede Domain ein eigenes Zertifikat.

 

Viele Grüße

olc

[NorbertFe 1.799]

Hi,

 

grundsätzlich geht das. Schau einmal nach dem Stichwort "Subject Alternatve Name" bzw. SAN. Je nach Client per Webenrollment, MMC oder certreq.exe möglich.

 

Die Frage ist jedoch oftmals, ob man das wirklich so einrichten sollte. Im besten Fall hat jede Domain ein eigenes Zertifikat.

 

Viele Grüße

olc

 

Für Exchange 2007/2010 ist SAN allerdings empfohlen soweit ich mich entsinne und für den internen Gebrauch stört die intere CA dann auch nicht. Extern hab ich persönlich auch lieber pro Name ein Zertifikat, aber nicht jeder hat ja so viele public IPs. ;)

 

Bye

Norbert

[olc 18]

Ja, da hast Du in jedem Fall Recht. Habe es daher auch ein wenig einschränkend mit "oftmals" umschrieben. ;)

 

Viele Grüße

olc

[NorbertFe 1.799]

Das muß ich wohl überlesen haben. ;) Da hast du dann 100% Recht. ;)

 

Bye

Norbert

[zeifang 10]

Hallo zusammen,

vielen Dank für die Infos!!

ich hab auf der Zertifizierungsstelle SAN jetzt aktiviert.

Leider schaffe ich es nicht auf dem Client ein Zertifikat mit 2 Namen zu erstellen. Was muss ich machen? ich hab die MS Seite schon gefunden:

How to add a Subject Alternative Name to a secure LDAP certificate

leider funktioniert es nicht. Was mach ich falsch?

 

DAnke für eure Hilfe!

 

Gruß

MZ

[olc 18]

Hi MZ,

 

was genau funktioniert nicht, wenn Du die Webseite dafür nutzt? Gibt es eine Fehlermeldung?

 

Viele Grüße

olc

[zeifang 10]

Guten Morgen,

Auf der Website wähle ich webzertifkat aus. Ich fülle die ganzen Felder aus und gemäß MS im Atribute Feld:

SAN:DNS=CORPDC1.fabrikam.com&DNS=mail.fabrikam.com

Das Zertfikat wird auch erfolgreich erstellt. Wenn ich mir das Zertifikat anschaue wird es aber nicht für die in Atribute eingetragenen Namen erstellt.

 

was mach ich falsch?

 

Danke!

[olc 18]

Hi,

 

das im Artikel genannte Vorgehen auf der CA hast Du umgesetzt?

 

certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2

Net Stop certsvc

Net start Certsvc

 

Poste doch einmal einen Dump des Zertifikats (mittels "certutil.exe -dump certificate.cer"). Aber bitte entferne / maskiere die Daten, die nicht in ein Forum gehören.

 

Viele Grüße

olc