web-dev-qa-db-ja.com

ローカルSSL認証局のワイルドカード証明書？

これはうまくいくように思えますが、PKIは複雑なので、信頼できる答えを出せる人にお願いしたいと思います。

[〜＃〜]背景[〜＃〜]：

私は会社のネットワークエンジニアです。議論のために、ドメインをthatcompany.comと呼びます。

私はいくつかの [〜＃〜] byod [〜＃〜] ワイヤレスサービスを Cisco ISE （ただの空想RADIUSサーバー））を介して認証します。そして、この [〜＃〜] san [〜＃〜] フィールドを使用して90日間のComodoトライアルSSL証明書で構成しました 注1：

  • DNS:radius01.thatcompany.com
  • DNS:radius02.thatcompany.com
  • IP:192.0.2.1（radius01.thatcompany.comへのリバースマップ）
  • IP:192.0.2.2（radius02.thatcompany.comへのリバースマップ）

人生が単純だったら、対応するSSL証明書を購入してそれで済ませることができます。しかしながら...

  • ワイルドカード証明書が必要です 注2;これらは通常の証明書よりも約50％高価です（Comodoはこれをユニファイドコミュニケーション証明書と呼んでいます）。
  • 私たちが多額の費用を費やしているため、上司は私が購入した証明書を再利用して、まだ構築されていないローカルのthatcompany.com WindowsADローカルルートCAの信頼をComodoにチェーンバックしたいと考えています。そのサーバーのDNS名がpki01.thatcompany.comであると想定します。

問題は、私がすでにComodoに [〜＃〜] csr [〜＃〜] を与えていることですが、 [〜＃〜] csr [〜＃〜] は与えていませんSANにpki01.thatcompany.comがありません。ローカルルートCAにコミットするという決定は、 Cisco ISE サーバーを展開した後に行われました。Comodoに連絡して、更新されたサーバーに対してUC証明書を発行させる価値があるかどうかを理解したいと思います。 [〜＃〜] csr [〜＃〜] 。

[〜＃〜]質問[〜＃〜]：

前述のComodoユニファイドコミュニケーションワイルドカード証明書を購入した場合、将来のWindowsADローカルルートCADNSおよびIPを [〜＃〜] san [〜＃〜] フィールドに配置する正当な理由はありますか？ UC証明書？このComodoUCワイルドカード証明書を再利用してWindowsローカルルートCAを構築できなかった理由は他にありますか？

メモ

注1：シスコでは、RADIUSサーバの明示的なIP名とDNS名の両方をSAN]フィールドに入力することをお勧めします。

注2 ：一部のEAPサプリカントが壊れているため、ワイルドカード証明書の料金を支払うことをお勧めします（つまり、DNS:*.thatcompany.comを [〜＃〜] san [〜＃〜] に入れます）（CiscoLive BRKSEC-を参照）アーロンウォーランドによる3698ビデオ）。ただし、Comodoはトライアルワイルドカード証明書を発行しません。

sslcertificate-authoritypkicertificate
3
Mike Pennington

購入した証明書を再利用して、まだ構築されていないローカルのthatcompany.com WindowsADローカルルートCAの信頼をComodoにチェーンバックします...

...このComodoUCワイルドカード証明書を再利用してWindowsローカルルートCAを構築できなかった理由は他にありますか？

それは不可能です。発行されたエンドエンティティ証明書には、「基本的な制約」プロパティが含まれているため、中間の認証局として効果的に使用できなくなります。

したがって、完全にローカルに移行するか（ローカルルートを作成し、そこからRADIUS）の証明書を発行し、すべてのデバイスにそれを信頼させる）、またはすべての購入に固執する必要があります。 Comodoなどの公的証明書機関から必要な証明書。

ローカルCAは、独自のシステムからワイルドカードオプションのいずれかを発行するための追加コストがないため、ワイルドカードオプションもより快適になりますが、との互換性について心配する必要があるかどうかを判断するには、おそらくトライアル証明書でテストすると思います壊れたEAPクライアント。

5
Shane Madden