1 votes

J'ai fait une erreur en renouvelant mon certificat, pouvez-vous m'aider à comprendre ce que j'ai fait de mal ? MS IIS 7 ISA

Désolé si cette question fait double emploi, mais je n'ai rien vu qui ressemble à mon problème. C'est également la première fois que je renouvelle un certificat.

Donc, un peu d'histoire. Nous avons un site Sharepoint, avec un pare-feu ISA qui redirige le trafic web. Notre serveur Sharepoint n'est pas destiné au public, nous avons donc installé un certificat pour un écouteur web afin d'utiliser SSL sur le trafic entrant, de sorte que lorsque les gens se connectent, leurs mots de passe ne sont pas en texte clair.

D'après les instructions figurant sur le site du vendeur, vous devez générer la demande de certificat à partir de la boîte IIS (sharepoint) mais installer le certificat sur ISA (pare-feu). OK, jusqu'ici tout va bien.

Je suis en mesure d'exporter le certificat, de l'importer dans le magasin de certificats personnel de l'ordinateur. Cependant, lorsque je consulte la règle d'écoute sur ISA, le nouveau certificat n'apparaît pas comme valide, et il est indiqué que la clé privée est invalide ou manquante.

Voici donc où j'ai fait une erreur quelque part. Selon la KB 292569

" Si vous n'avez pas la possibilité de cliquer sur Oui dans la fenêtre Exporter les clés privées, la clé privée a déjà été exportée vers un autre ordinateur ou la clé n'a jamais existé sur cet ordinateur. Vous ne pouvez pas utiliser ce certificat sur ISA Server. Vous devez demander un nouveau certificat pour ce site pour ISA Server."

Le certificat du vendeur, lorsque je fais un clic droit pour l'exporter, n'a pas d'option pour inclure la clé privée.

Donc, selon l'article de MS, dois-je recommencer avec un nouveau CSR ?

Qu'ai-je manqué pour que mon certificat n'ait pas de clé privée ?

0 votes

Vous avez dit que vous avez généré une demande de certificat (CSR). Qui a généré le certificat proprement dit ? Est-ce vous ou ce "vendeur" ? Si c'est vous, vous devez générer une clé privée basée sur la clé publique.

0 votes

Quel est ce "vendeur" auquel vous faites référence ?

3voto

user239895 Points 281

L'endroit où le certificat est généré n'est pas pertinent.

Vous pouvez générer le certificat à partir de votre poste de travail, du serveur Sharepoint ou d'un poste de travail/serveur totalement indépendant.

La clé (ha ! j'adore les jeux de mots) pour que tout cela fonctionne est la cohérence. Là où vous commencez est là où vous devez finir.

Par exemple :

  1. Créez le CSR à partir du serveur Sharepoint
  2. Soumettez le CSR à l'AC pour signature.
  3. L'autorité de certification signe le certificat et le renvoie. (Le certificat signé doit être réimporté sur la machine d'origine qui a généré la CSR via la demande en attente. (dans cet exemple, le serveur Sharepoint)
  4. Vous avez maintenant une clé/un certificat correspondant que vous pouvez exporter et installer sur le serveur ISA. (assurez-vous d'exporter la clé privée lorsque vous exportez le certificat).

1voto

ryangillis72 Points 21

OK, j'ai enfin compris ce qui s'est passé. Mon patron a commencé à le faire mais n'a pas réussi à le faire fonctionner, et il s'avère qu'il s'est embrouillé. k1DBLITZ avait raison, là où vous commencez est là où vous finissez, si seulement mon patron le savait :) Comme je l'ai dit plus haut, nous avons généré une demande de certificat dans une seule boîte, avec la redirection sécurisée du pare-feu ISA. C'est parce que c'est le serveur que le public verra. Ensuite, nous avons un autre serveur qui est l'hôte web.

Mon patron a généré une demande de certificat sur le serveur web, mais a ensuite essayé de terminer le certificat en installant la réponse au certificat sur le serveur ISA et non sur le serveur web. Une fois que j'ai compris ce qu'il avait fait, j'ai simplement installé la réponse sur le serveur qui avait généré la demande et terminé le certificat. Après cela, j'ai pu exporter le certificat, avec la clé privée, sur le boîtier du pare-feu ISA.

Bref, une fois que j'ai compris ce qu'il avait fait, c'était simple à réparer. 100% erreur humaine. Merci les gars !

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X