Frage zu erstelltem Zertifikat aus PKI

[CoolAce 17]

Hallo zusammen,

 

ich habe hier ein Problem das ich nicht verstehe weil ich nicht so tief im Thema PKI drin bin., ich habe mir für eine eigene Anwendung die ich unter dem IIS laufen habe

in der Zertifizierungsstelle unter Zertifikatsvorlagen ein neues Zertifikat angelegt mit beabsichtigter Zweck Serverauthentifzierung.

Die PKI ist die einzige in der Domäne interx.com.

 

Ich habe das Zertifikat angefordert in der PKI, exportiert und im IIS importiert. Rufe ich die Seite auf dem Server wo die PKI läuft

auf passt alles, keine Meldung. Ruf ich die Seite auf einem Client auf bekomme ich die  folgende Meldung im Browser.

 

"Dem Zertifikat wird nicht vertraut, weil keine Zertifikatsausstellerkette angegeben wurde. Das Zertifikat gilt nur für monitoring.interx.com. "

 

Was mache ich falsch, muss ich das ganze per GPO noch irgendwie puschen oder muss ich das selbsterstelle Zertifikat noch irgendwie von

meiner PKI signieren  lassen ?

 

 

Gruß

 

Coolace

[Dunkelmann 96]

Was mache ich falsch, ...

Moin,

 

ich behaupte mal 'Alles, was man bei einer PKI falsch machen kann' und verweise aus Bequemlichkeit auf diesen Post http://www.mcseboard.de/topic/196607-problme-bei-einer-enterprise-pki-in-einer-lab-umgebung/?p=1219660

 

Eine PKI, selbst eine einfache Zertifizierungsstelle, braucht etwas Planung und Vorbereitung. Mit 'Weiter-Weiter-Fertig Stellen' klicken ist das nicht erledigt.

[CoolAce 17]

Die PKI gab und gibt es schon seit 5 oder 8 Jahren. Die ist nicht neu gemacht worden. 

Danke für den Link, ich schau dort mal

Der Link hat mich leider nicht weiter gebracht. Warum sagt der Aufruf der Seite auf dem PKI Server kein Problem und auf dem Client schon,

obwohl ich das Zertifikat auf dem Client über den Browser in alle möglichen Zertifikatsspeicher hinzugefügt habe

bearbeitet 30. Januar 2014 von CoolAce

[Daniel -MSFT- 129]

Der Link hat mich leider nicht weiter gebracht. Warum sagt der Aufruf der Seite auf dem PKI Server kein Problem und auf dem Client schon,

obwohl ich das Zertifikat auf dem Client über den Browser in alle möglichen Zertifikatsspeicher hinzugefügt habe

 

Weil planloses Vorgehen meistens nicht hilft. Wie ist denn die PKI installiert? Standalone? Standard CA? Enterprise CA? Die CA muss am Client als vertrauenswürdig eingestuft sein (nicht das Zertifikat). Der Client muss das Zertifikat prüfen können (Certificate Revocation List). Die Certificate Chain muss entweder vom IIS komplett ausgeliefert werden oder am Client vorhanden sein.

[CoolAce 17]

OK, ich werde mich mal mit den Grundlagen beschäftigen und danach eine Lösung suchen. Danke für die Links !