Self-Signed Zertifikat für Windows / Linux Server verteilen

[Roscoe 10]

Hallo zusammen,

 

ich bin auf der Suche nach ner Möglichkeit zentral in unserer Domäne eine zentrale Ablage für unsere Zertifikate zu erstellen.

Eine eigene ein-/mehrstufige Microsoft PKI kommt nicht in Frage.

 

Die Funktionalität sollte so sein, dass wenn ein Windows / Linux Server feststellt, dass ein bestimmtes Zertifikat abgelaufen ist, es neu angefordert werden soll, bzw. auf einem Share o.ä. nach einem aktuelleren Zertifikat suchen soll und dieses dann installiert.

 

Jemand ne Idee?

 

 

[NorbertFe 2.175]

Ja nennt sich Zertifizierungsstelle, oder was stellst du dir jetzt hier grad als Lösung vor? ;)

[Roscoe 10]

Ja nennt sich Zertifizierungsstelle, oder was stellst du dir jetzt hier grad als Lösung vor? ;)

Kann von einer Microsoft Zertifizierungsstelle auch etwas von einem Linux-Server abrufen?

Oder darf das heterogen sein?

[Nobbyaushb 1.511]

Hallo zusammen,

 

 

Eine eigene ein-/mehrstufige Microsoft PKI kommt nicht in Frage.

 

Warum, was hast du dagegen?

 

:rolleyes:

 

Was verstehst du unter abrufen? ein Root-CA stellt aus, egal ob unter Windows oder was auch immer..

bearbeitet 9. Juli 2015 von Nobbyaushb

[NorbertFe 2.175]

Kann von einer Microsoft Zertifizierungsstelle auch etwas von einem Linux-Server abrufen?

 

Oder darf das heterogen sein?

Häh, wie meinen?

 

Bye

Norbert

bearbeitet 9. Juli 2015 von NorbertFe

[Roscoe 10]

Sorry, ich war wohl unterzuckert ;-)

 

Gegen eine Microsoft CA spricht meiner Ansicht nach nichts, nur ist das nicht gewünscht im Unternehmen.

Deswegen versuche ich eine Alternative zu finden mit der ich das Ganze realisiere. Aber so wie ichs im Netz lese bzw. hier lese/höre, komme ich wohl nicht um eine eigene CA rum?

[Nobbyaushb 1.511]

Sorry, ich war wohl unterzuckert ;-)

 

Gegen eine Microsoft CA spricht meiner Ansicht nach nichts, nur ist das nicht gewünscht im Unternehmen.

Deswegen versuche ich eine Alternative zu finden mit der ich das Ganze realisiere. Aber so wie ichs im Netz lese bzw. hier lese/höre, komme ich wohl nicht um eine eigene CA rum?

Wer will das nicht?

Einmal Gedanken dazu gemacht, sauber eingerichtet und für 10 Jahre Ruhe.

 

Muss man aber zu Enden denken, gibt hier einen Thread mit einem Link dazu.

 

Gerade weil PKI im Schnitt 10 Jahre (oder mehr...) läuft sollte man das sehr sorgfältig planen.

 

;)

[NorbertFe 2.175]

Na dann nimm halt ne andere CA. :rolleyes: Die würd ich dann aber von dem planen, implementieren und betreuen lassen, der sich gegen eine Windows-basierte/-integrierte PKI sträubt. ;)

 

Bye

Norbert

[Dunkelmann 96]

Moin,
 

Hallo zusammen,
 
ich bin auf der Suche nach ner Möglichkeit zentral in unserer Domäne eine zentrale Ablage für unsere Zertifikate zu erstellen.

Warum?
 

Eine eigene ein-/mehrstufige Microsoft PKI kommt nicht in Frage.

Man kann eine PKI auch mit OpenSSL aufbauen.
 

Die Funktionalität sollte so sein, dass wenn ein Windows / Linux Server feststellt, dass ein bestimmtes Zertifikat abgelaufen ist, es neu angefordert werden soll, bzw. auf einem Share o.ä. nach einem aktuelleren Zertifikat suchen soll und dieses dann installiert.

Also ein Zertifikat inkl. privatem Schlüssel irgentwo ins Netzwerk packen?
Dann kannst Du Dir das Verschlüsseln und Signieren gleich sparen. Bei einer PKI bzw. bei Zertifikaten geht es um Vertrauen; so einem Konstrukt würde ich definitiv nicht vertrauen.
 

Jemand ne Idee?

Beschäftige Dich mit den Grundlagen einer PKI bevor Du so ein Thema angehst.

[blub 115]

Deswegen versuche ich eine Alternative zu finden mit der ich das Ganze realisiere. Aber so wie ichs im Netz lese bzw. hier lese/höre, komme ich wohl nicht um eine eigene CA rum?

 

Wir haben in unserem Unternehmen mal die Kosten pro Zertifikat aus einer eigenen CA den Kosten eines Zertifikates aus einer externen CA gegenübergestellt. Die Kosten bei einer externen CA waren um einiges günstiger, wobei es nur um Userzertifikate ging.

Für interne Maschinenzertifikate führt wohl kaum ein vernünftiger Weg an einer MS-CA vorbei. Dafür muss man auch nicht die absolute High-Secure Lösung aufbauen, wie ggf. für Userzertifikate.

 

blub

[daabm 1.391]

Man kann eine PKI auch mit OpenSSL aufbauen.

Viel Spaß beim Implementieren der erforderlichen Automation, die einem bei einer AD-integrierten PKI quasi "geschenkt" wird - und ja, ich weiß, wovon ich rede... :D

bearbeitet 9. Juli 2015 von daabm