Способы создания сертификатов

• На вкладке «Сертификаты» при нажатии на кнопку <Создать сертификат> доступен выпуск сертификата (см. Рисунок 258):
  • с закрытым ключом для существующего субъекта;
  • на основании запроса;
  • на ключевом носителе.

Рисунок 258 ‑ Кнопка «Создать сертификат» на вкладке «Сертификаты»

• На вкладке «Учётные записи» при выделении строки учётной записи и нажатии кнопки <Создать сертификат> доступен выпуск сертификата для учётной записи (см. Рисунок 259):
  • с закрытым ключом;
  • на основании запроса;
  • на ключевом носителе.

Сертификат будет создан с использованием внутреннего шаблона ECA‑Auth. Значение поля «Common Name» будет заполнено автоматически и соответствовать логину учетной записи, для которой выпускается сертификат.

Рисунок 259 ‑ Кнопка «Создать сертификат» на вкладке «Учётные записи»

• На вкладке «Субъекты» при выделении строки субъекта и нажатии кнопки <Создать сертификат> доступен выпуск сертификата (см. Рисунок 260):
  • с закрытым ключом;
  • на основании запроса;
  • на ключевом носителе.

Рисунок 260 ‑ Кнопка «Создать сертификат» на вкладке «Субъекты»

• В результате нажатия на кнопку создания сертификата появится окно создания сертификата.

Параметры криптографии сертификатов учётных записей пользователей и Центров сертификации

В таблице ниже определены комбинации сертификатов ЦС, к которому происходит подключение пользователя (оператора/администратора), и используемого для аутентификации сертификата учётной записи пользователя, при которых будет происходить успешная аутентификация пользователя Центра сертификации Aladdin еСА.

Таблица 27 – Успешные комбинации сертификатов ЦС и учётной записи пользователя при аутентификации

[1] Аутентификация пользователя Центра сертификации Aladdin еСА по сертификату с алгоритмом ключа ГОСТ Р 34.10-2012 доступна только при наличии подключения Центра сертификации Aladdin еСА к СКЗИ «КриптоПро CSP» и использовании «cpnginx» в качестве веб-сервера для Центра сертификации Aladdin еСА Aladdin еСА.

[2] Аутентификация пользователя Центра сертификации Aladdin еСА Aladdin еСА по сертификату с алгоритмом ключа ГОСТ Р 34.10‑2012 доступна только при наличии подключения Центра сертификации Aladdin еСА Aladdin еСА к СКЗИ «КриптоПро CSP» и использовании «cpnginx» в качестве веб-сервера для Центра сертификации Aladdin еСА Aladdin еСА.

[3] Аутентификация пользователя Центра сертификации Aladdin еСА по сертификату с алгоритмом ключа ГОСТ Р 34.10-2012 доступна только при наличии подключения Центра сертификации Aladdin еСА к СКЗИ «КриптоПро CSP» и использовании «cpnginx» в качестве веб-сервера для Центра сертификации Aladdin еСА Aladdin еСА.

[4] Аутентификация пользователя Центра сертификации Aladdin еСА по сертификату с алгоритмом ключа ГОСТ Р 34.10-2012 доступна только при наличии подключения Центра сертификации Aladdin еСА к СКЗИ «КриптоПро CSP» и использовании «cpnginx» в качестве веб-сервера для Центра сертификации Aladdin еСА Aladdin еСА.

[5] Аутентификация пользователя Центра сертификации Aladdin еСА по сертификату с алгоритмом ключа ГОСТ Р 34.10-2012 доступна только при наличии подключения Центра сертификации Aladdin еСА к СКЗИ «КриптоПро CSP» и использовании «cpnginx» в качестве веб-сервера для Центра сертификации Aladdin еСА Aladdin еСА.

Публикация сертификата в ресурсную систему

• После успешного создания сертификата при выполнении всех условий ниже происходит его публикация в ресурсную систему:
  • сертификат был создан для субъекта, подключенного к ресурсной системе;
  • сертификат создан по шаблону, в котором включена публикация сертификата в ресурсную систему (см. чек‑бокс «Публиковать сертификат в ресурсную систему» в разделе 7.12.3.1).

В случае успешной публикации сертификата в ресурсную систему отобразится всплывающее сообщение «Сертификат успешно опубликован в ресурсную систему». В журнал событий записывается событие с кодом CAENV048.

В случае ошибки публикации сертификата в ресурсную систему отобразится всплывающее сообщение «Ошибка публикации сертификата в ресурсную систему». В журнал событий записывается событие с кодом CAENV049. Также сертификат будет помечен, как требующий публикации.

• Центр сертификации Aladdin eCA выполняет автоматическую публикацию сертификатов, требующих публикации при включенном флаге ldap_automatically_certificates_publication_enable по расписанию, заданному в параметре ldap_automatically_certificates_publication_cron (в конфигурационном файле /opt/aecaCa/scripts/config.sh). Также для выполнения публикации необходимо, чтобы владельцем сертификата являлся подключенный к ресурсной системе субъект.

При успешной публикации с сертификата снимается пометка, что он требует публикации.

• Сертификат публикуется в формате LDIF в атрибут userCertificate (для ресурсных систем Samba DC, Альт Домен и MS AD) и userCertificate;binary (для ресурсных систем ALD Pro и FreeIPA) выбранного субъекта ресурсной системы, для которого выпущен сертификат, путём добавления, а не перезаписи атрибута.
• Для успешной публикации сертификатов в ресурсную систему ALD Pro и FreeIPA требуется подключение к ресурсной системе от имени пользователя, с минимальным набором прав пользователя:
  • наличие роли «Service Role» для подключения к ресурсной системе;
  • наличие роли «helpdesk» или роли «User Administrator» для публикации сертификатов пользователей;
  • наличие роли «Enrollment Administrator» для публикации сертификатов контроллеров домена.

Создание сертификата с закрытым ключом PKCS#12

• В появившемся окне (см. Рисунок 261):
  • при выпуске сертификата в разделе «Сертификаты» необходимо на шаге 1 ввести частичное или полное значение любого атрибута субъекта, для которого будет выпущен сертификат;
  • поиск субъектов выполняется по значениям в их атрибутах и является регистронезависимым;
  • в результате будут отображены найденные субъекты с указанием краткой информации:
    • «CN» – значение атрибута «Common Name» субъекта;
    • «ID» – идентификатор субъекта;
    • «UPN» – значение атрибута «MS UPN, User Principal Name» субъекта;
    • «DNS» – значение атрибута «DNS Name» субъекта;
    • пиктограммы наличия подключения субъекта к ресурсной системе (см. Рисунок 261).
  • в результате поиска в полях «CN», «UPN» и «DNS» отображаются все значения соответствующего полю атрибута субъекта, разделитель значений в поле – запятая с пробелом;
  • в результате поиска поля «CN», «UPN» и «DNS» не отображаются, если в соответствующем данному полю атрибуте у субъекта отсутствуют значения;
  • выберите субъект и нажмите кнопку <Продолжить> для перехода к шагу 1;
  • при выпуске сертификата в разделах «Субъекты» и «Учётные записи» шаг 1 не требуется и первым шагом будет выбор шаблона для выпуска сертификата (см. Рисунок 262).

Рисунок 261 ‑ Окно создания сертификата PKCS#12. Шаг 1. Поиск субъекта

• В открывшемся окне (см. Рисунок 262) необходимо выбрать шаблон из выпадающего списка в поле «Выберите шаблон» для выпуска сертификата. После выбора шаблона в окне отображается информация о ЦС, в котором будет выпущен сертификат. ЦС, в котором будет выпущен сертификат, определяется при создании шаблона (см. раздел 7.12 настоящего руководства). Если в шаблоне в качестве ЦС выбрано значение «Любой», то выпуск сертификатов по данному шаблону доступен в любом ЦС. При этом для выпуска сертификатов будет использован активный в данный момент ЦС.

При выпуске сертификата из раздела «Учётные записи» шаблон будет определён по умолчанию и выбору не подлежит. Переход на следующий шаг осуществляется по ставшей активной кнопке <Продолжить> после выбора шаблона.

Рисунок 262 ‑ Окно создания сертификата PKCS#12. Шаг 2. Выбор шаблона сертификата

• В окне Шага 3 указаны атрибуты в соответствии с выбранным (на предыдущем шаге) шаблоном сертификата (подробное описание полей предустановленных шаблонов см. в Приложении 2 «Описание полей предустановленных шаблонов сертификатов»). Значение атрибутов заполняется автоматически в соответствии с данными в карточке субъекта (см. раздел 7.8.4 настоящего руководства) и изменению не подлежит.

В случае если в атрибуте указано несколько значений, в выпадающем меню будет предложен выбор значения из существующих или возможно добавление значения атрибута по нажатию кнопки <Добавить> справа от соответствующего поля (если атрибут содержит несколько значений, то при наведении мышки на  кнопку <Добавить>, она становиться активной – красного цвета).  Также дополнительно добавленное значение атрибута можно удалить по кнопке справа от соответствующего поля атрибута (см. Рисунок 263).

• Если данные атрибутов отсутствуют, то необходимо ввести значения в соответствующие поля в карточке субъекта (см. раздел 7.8.4 настоящего руководства).
• Необязательные поля могут оставаться незаполненными.
• Нажмите ставшую активной кнопку <Продолжить> для перехода к следующему шагу.

Рисунок 263 ‑ Окно создания сертификата PKCS#12. Шаг 3. Атрибуты сертификата

• Далее необходимо создать пароль с подтверждением (см. Рисунок 264) в соответствии с правилами ввода пароля:
  • для просмотра вводимых символов необходимо нажать кнопку на текущей строке;
  • пароль должен содержать не менее 8 символов с использованием цифр, заглавных и прописных букв, ввод осуществляется на латинице;
  • если в пароле используются запрещенные символы, то рамка поля ввода приобретает красный цвет;
  • если пароли не совпадают, то рамка поля подтверждения окрашивается в красный цвет.

Кнопка <Продолжить> доступна только после ввода и верного повторения пароля в соответствии с правилами ввода.

Рисунок 264 ‑ Окно создания сертификата PKCS#12. Шаг 4. Ввод пароля контейнера

• Далее необходимо выбрать параметры криптографии из выпадающего списка значений алгоритма ключа (см. Рисунок 265). По умолчанию выбрано значение «RSA‑2048».

• После выбора алгоритма нажмите кнопку <Создать сертификат>.

Рисунок 265 – Окно создания сертификата PKCS#12. Шаг 5. Выбор параметров криптографии

• Далее по нажатию кнопки <Создать сертификат> открывается финальное окно создания сертификата и отображается краткая информация о созданном сертификате (см. Рисунок 283).

Рисунок 266 – Окно создания сертификата PKCS#12. Информирование об успешном создании сертификата

• В результате выпуска сертификата с закрытым ключом PKCS#12 для существующего субъекта сгенерирована ключевая пара в соответствии с заданными параметрами криптографии.
• При успешном создании сертификата и выполнении всех условий ниже происходит его публикация в ресурсную систему (подробнее см. в разделе 1.3 Публикация сертификата в ресурсную систему настоящего приложения):
  • сертификат был создан для субъекта, подключенного к ресурсной системе;
  • сертификат создан по шаблону, в котором включена публикация сертификата в ресурсную систему.

[1] Выбор криптопровайдеров осуществляется при создании центра сертификации.

Создание сертификата субъекта по запросу

• Предварительные условия выполнения сценария:
  • файл‑запрос для субъекта должен быть подготовлен заранее в стороннем центре сертификации (например, при помощи ПО «Единый клиент JaCarta»);
  • расширение файл‑запроса должно быть ***.csr или ***.req;
  • файл‑запрос должен быть сформирован с учетом известных данных выбранного шаблона Центра сертификации Aladdin eCA. Например, для использования шаблона «Domain Controller» в запросе должны быть указаны параметры DNS Name и MS GUID;
  • по файлу‑запроса ранее не был выпущен сертификат.

Создание сертификата субъекта по запросу в разделе «Сертификаты»

В разделе «Сертификаты» после нажатия на кнопку «Создать сертификат» в выпадающем списке выберите функцию «На основании запроса».

• В открывшемся окне (см. Рисунок 267) загрузите файл‑запрос (загружается по кнопке <Выбрать файл>).

Рисунок 267 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 1. Загрузка запроса

• После выбора файла‑запроса на данном шаге автоматически выполняется поиск субъекта по CN, указанному в файле‑запроса:
  • Если найден всего один субъект, то на данном шаге под полем выбора файла отображается текст «По данным в запросе найден субъект CN (ID: subjectID)», где CN – значение атрибута CN субъекта, а subjectID – идентификатор данного субъекта. А также опции выбора субъекта, для которого будет создан сертификат (см. Рисунок 268):
    • «Создать сертификат для субъекта CN (ID: subjectID)», где CN – значение атрибута CN субъекта, а subjectID – идентификатор данного субъекта. Данная опция выбрана по умолчанию. Выберите данную опцию, чтобы создать сертификат для указанного субъекта;
    • «Создать сертификат для нового субъекта». Выберите данную опцию, чтобы создать сертификат для нового субъекта, который будет создан на основании данных запроса.

Рисунок 268 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 1. Загрузка запроса. Найден один субъект

• • Если найдено несколько субъектов, на данном шаге под полем выбора файла отображается текст «По данным в запросе найдено несколько субъектов». А также опции выбора субъекта, для которого будет создан сертификат (см. Рисунок 269):
    • «Выбрать субъект на следующем шаге». Данная опция выбрана по умолчанию. Выберите данную опции, чтобы на следующем шаге выбрать субъект, для которого будет создан сертификат[1];
    • «Создать сертификат для нового субъекта». Выберите данную опцию, чтобы создать сертификат для нового субъекта, который будет создан на основании данных запроса.

Рисунок 269 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 1. Загрузка запроса. Найдено несколько субъектов

• • Если не найден ни один субъект, то на данном шаге под полем выбора файла отображается текст «По данным в запросе не найдены субъекты. Сертификат будет создан для нового субъекта» (см. Рисунок 270). Далее по сценарию сертификат будет создаваться для нового субъекта, который будет создан на основании данных запроса;

Рисунок 270 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 1. Загрузка запроса. Не найден ни один субъект

• • Если по данному запросу ранее уже был выпущен сертификат, в поле загрузки файла отображается сообщение об ошибке «По данному запросу уже был выпущен сертификат». При этом кнопка «Продолжить» недоступна для нажатия, и необходимо либо выбрать другой файл‑запроса, либо отменить создание сертификата.
• Переход на шаг 2 возможен только при условии, что на шаге 1 была выбрана опция «Выбрать субъект на следующем шаге», иначе шаг 2 будет пропущен и произойдет переход сразу к шагу 3[2]. Нажмите кнопку <Продолжить> для перехода к следующему шагу.
• (Шаг 2/5) В появившемся окне (см. Рисунок 271):
  • отображается поисковая строка, в которой автоматически указан CN из импортированного на предыдущем шаге запроса, а также субъекты, соответствующие критерию поиска;
  • при этом указанное автоматически значение в поисковой строке может быть изменено, и можно ввести частичное или полное значение любого атрибута субъекта, для которого будет выпущен сертификат;
  • поиск субъектов выполняется по значениям в их атрибутах и является регистронезависимым;
  • в списке субъектов для каждого субъекта отображается краткая информация, содержащая:
    • «CN» – значение атрибута «Common Name» субъекта;
    • «ID » – идентификатор субъекта;
    • «UPN» – значение атрибута «MS UPN, User Principal Name» субъекта;
    • «DNS» – значение атрибута «DNS Name» субъекта;
    • пиктограммы наличия подключения субъекта к ресурсной системе CN, UPN (при наличии), ID и пиктограмму, отображающая наличие подключения субъекта к ресурсной системе .
  • в результате поиска в полях «CN», «UPN» и «DNS» отображаются все значения соответствующего полю атрибута субъекта, разделитель значений в поле – запятая с пробелом;
  • в результате поиска поля «CN», «UPN» и «DNS» не отображаются, если в соответствующем данному полю атрибуте у субъекта отсутствуют значения;
  • выберите субъект и нажмите кнопку <Продолжить> для перехода к следующему шагу;

Рисунок 271 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 2. Выбор субъекта

• (Шаг 2/4 или 3/5) В появившемся окне (см. Рисунок 272) выберите шаблон, на основании которого будет создан сертификат (предполагается, что администратор заранее знает какой шаблон необходимо выбрать). После выбора шаблона в окне отображается информация о ЦС, в котором будет выпущен сертификат. ЦС, в котором будет выпущен сертификат, определяется при создании шаблона (см. раздел 7.12 настоящего руководства). Если в шаблоне в качестве ЦС выбрано значение «Любой», то выпуск сертификатов по данному шаблону доступен в любом ЦС. При этом для выпуска сертификатов будет использован активный в данный момент ЦС.

Рисунок 272 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 3. Выбор шаблона

• После выбора шаблона нажмите кнопку <Продолжить> для перехода к следующему шагу.
• (Шаг 3/4 или 4/5) Программа проверяет запрос на соответствие полей запроса на сертификат и атрибутов субъекта по правилам, приведённым в таблице ниже (Таблица 28). Проверка является регистронезависимой.

При этом в случае, если в процессе выпуска сертификата по запросу создается новый субъект, то валидация значений из полей запроса на соответствие атрибутам субъекта не выполняется (возможность возникновения ошибки №4 (Таблица 28) исключена).

Если во время обработки запроса произошла ошибка, в окне результата обработки запроса отображаются сообщения об ошибках в полях запроса, где они были обнаружены, с цветовой (красной) индикацией и предупреждающей иконкой (см. Рисунок 273 и Рисунок 274).

Перечень возможных ошибок представлен в таблице ниже (Таблица 29).

Таблица 28 – Соответствие полей запроса шаблону выпускаемого сертификата

Рисунок 273 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 4. Результат обработки запроса с ошибкой в поле различающегося имени субъекта

Рисунок 274 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 4. Результат обработки запроса с ошибками в полях альтернативного имени субъекта

Таблица 29 – Перечень возможных ошибок обработки запроса

Если создание сертификата невозможно, то существует две возможности:

• • вернуться на предыдущий шаг и сменить шаблон на подходящий;
  • пересоздать файл‑запрос с учетом выявленных при сверке ошибок и перезагрузить файл‑запрос, вернувшись на предыдущие шаги по нажатию кнопки <Назад>.

В результате успешной обработки запроса на сертификат субъекта на следующем шаге отображается (см. Рисунок 275):

• • таблица, содержащая:
    • перечень полей, заданных в шаблоне (в столбце «Поля»);
    • пиктограммы, отображающие обязательные и необязательные поля шаблона (в столбце «В шаблоне»). Пиктограмма «Галка» указывает на необязательность поля, а пиктограмма «Двойная галка»  указывает на обязательность поля;
    • значения для полей, заданных шаблоном, полученные из запроса на сертификат (в столбце «Значение из запроса»);
    • значения, которые будут указаны в полях создаваемого сертификата (в столбце «Значение в сертификате»).
  • данные таблицы разделена на две основные части:
    • различающееся имя субъекта (Subject DN);
    • дополнительное имя субъекта (Subject AltName).
  • кнопка <Продолжить> для перехода к следующему шагу;
  • кнопка <Назад> для возврата к предыдущему шагу;
  • кнопка <Отмена> для завершения работы мастера создания сертификата без сохранения результатов.

В случае, если в файле‑запросе существуют дополнительные поля субъектных идентификаторов, отсутствующие в текущей реализации[5], то они идентифицируются по параметру OID.

Рисунок 275 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 4. Результат успешной обработки запроса

• После успешной загрузки файла запроса нажмите кнопку <Продолжить> для продолжения процедуры выпуска сертификата для субъекта, кнопку <Отмена> для прекращения процедуры выпуска сертификата или кнопку <Назад> для возврата на предыдущий шаг.
• (Шаг 4/4 или 5/5) В появившемся окне указаны атрибуты в соответствии с шаблоном сертификата[6]. Значение атрибутов заполняется автоматически в соответствии с данными в карточке субъекта[7] и изменению не подлежит. В случае если в атрибуте указано несколько значений, в выпадающем меню будет предложен выбор значения из существующих или возможно добавление значения атрибута по нажатию кнопки <Добавить> справа от соответствующего поля (если атрибут содержит несколько значений, то при наведении мышки на  кнопку <Добавить>, она становиться активной – красного цвета). Также дополнительно добавленное значение атрибута можно удалить по кнопке справа от соответствующего поля атрибута (см. Рисунок 276).

При отсутствии доступных для указания значений в поле обязательного атрибута будет отображаться ошибка «У субъекта отсутствует указанный атрибут».

Перечень доступных для выбора значений в полях SAN включает в себя:

• • значения соответствующего полю атрибута субъекта;
  • значения данного поля из запроса, если у субъекта в соответствующем атрибуте есть аналогичное значение, отличающееся от значения в запросе только регистрами символов (такие значения отмечены пиктограммой «Запрос» ).

Необязательные поля могут оставаться незаполненными.

Рисунок 276 – Окно создания сертификата по запросу в разделе «Сертификаты». Шаг 5. Атрибуты сертификата

• Далее по нажатию кнопки <Создать сертификат> открывается финальное окно создания сертификата и отображается краткая информация о созданном сертификате (см. Рисунок 277). У созданного сертификата значения в полях SDN соответствуют значениям в соответствующих полях SDN запроса, на основе которого был создан сертификат.
• В журнал событий при успешном создании сертификата на основании запроса записывается событие с кодом CAENV078. При попытке повторного создания сертификата на основании одного запроса на данном шаге отображается ошибка, а в журнал событий записывается событие с кодом CAENV015.

Рисунок 277 – Окно создания сертификата по запросу в разделе «Сертификаты». Результат успешного создания сертификата

• При успешном создании сертификата и выполнении всех условий ниже происходит его публикация в ресурсную систему (подробнее см. раздел 1.3 Публикация сертификата в ресурсную систему настоящего приложения):
  • сертификат был создан для субъекта, подключенного к ресурсной системе;
  • сертификат создан по шаблону, в котором включена публикация сертификата.

[1] Если данная опция выбрана, общее количество шагов в данном сценарии будет увеличено на 1, так как будет присутствовать шаг 2/5 с выбором субъекта. При выборе других опций на шаге 1 общее количество шагов сценария не изменится и будет составлять 4, так как шаг 2/5 будет отсутствовать.

[2] При пропуске шага 2 общее количество шагов станет 4, а нумерация шагов сдвинется: шаг 3/5 станет шагом 2/4, шаг 4/5 – шагом 3/4, шаг 5/5 – шагом 4/4.

[3] Описание полей предустановленных шаблонов см. в Приложении 2 «Описание полей предустановленных шаблонов сертификатов».

[4] Правила валидации значений полей предустановленных шаблонов см. в Приложении 3 «Правила валидации значений полей по умолчанию предустановленных шаблонов сертификатов».

[5] Для справки – https://www.alvestrand.no/objectid/2.5.4.html, раздел Subdirectory references.

[6] Подробное описание полей предустановленных шаблонов см. в Приложении 2 «Описание полей предустановленных шаблонов сертификатов».

[7] Подробнее см. раздел 7.8.4 настоящего руководства.

Создание сертификата субъекта по запросу в разделе «Субъекты»

В разделе «Субъекты» (в списке субъектов или в карточке субъекта) после нажатия на кнопку «Создать сертификат» выберите из выпадающего списка функцию «На основании запроса».

• В открывшемся окне загрузить файл‑запрос, а также выберите шаблон сертификата в соответствии с запросом (предполагается, что администратор заранее знает, для какого субъекта загружается файл‑запрос и какой шаблон необходимо выбрать). После выбора шаблона в окне отображается информация о ЦС, в котором будет выпущен сертификат. ЦС, в котором будет выпущен сертификат, определяется при создании шаблона (см. раздел 7.12 настоящего руководства). Если в шаблоне в качестве ЦС выбрано значение «Любой», то выпуск сертификатов по данному шаблону доступен в любом ЦС. При этом для выпуска сертификатов будет использован активный в данный момент ЦС. По файлу запроса возможен только одноразовый выпуск сертификата.
• При необходимости, возможно перезагрузить файл‑запрос в мастере создания сертификата без сброса текущего прогресса по кнопке <Изменить>.
• После загрузки файла запроса и выбора шаблона нажмите активировавшуюся кнопку <Продолжить>.

Рисунок 278 – Окно создания сертификата по запросу в разделе «Субъекты». Шаг 1.
Загрузка запроса и выбор шаблона

• Программа проверяет запрос на соответствие полей запроса на сертификат и атрибутов субъекта по правилам, приведённым в таблице 28. Проверка является регистронезависимой.
• Если во время обработки запроса произошла ошибка, в окне результата обработки запроса отображаются сообщения об ошибках в полях запроса, где они были обнаружены, с цветовой (красной) индикацией и предупреждающей иконкой (см. Рисунок 279 и Рисунок 280).
• Перечень возможных ошибок представлен в таблице 29.

Рисунок 279 – Окно создания сертификата по запросу в разделе «Субъекты». Шаг 2. Результат обработки запроса с ошибкой в поле различающегося имени субъекта

Рисунок 280 – Окно создания сертификата по запросу в разделе «Субъекты». Шаг 2. Результат обработки запроса с ошибками в полях альтернативного имени субъекта

• Если создание сертификата невозможно, то существует две возможности:
  • вернуться на предыдущий шаг и сменить шаблон на подходящий;
  • пересоздать файл‑запрос с учетом выявленных при сверке ошибок и перезагрузить файл‑запрос, вернувшись на предыдущие шаги по нажатию кнопки <Назад>.
• В результате успешной обработки запроса на сертификат субъекта на следующем шаге отображается (см. Рисунок 281):
  • таблица, содержащая:
    • перечень полей, заданных в шаблоне (в столбце «Поля»);
    • пиктограммы, отображающие обязательные и необязательные поля шаблона (в столбце «В шаблоне»). Пиктограмма «Галка» указывает на необязательность поля, а пиктограмма «Двойная галка»  указывает на обязательность поля;
    • значения для полей, заданных шаблоном, полученные из запроса на сертификат (в столбце «Значение из запроса»);
    • значения, которые будут указаны в полях создаваемого сертификата (в столбце «Значение в сертификате»).
  • данные таблицы разделена на две основные части:
    • различающееся имя субъекта (Subject DN);
    • дополнительное имя субъекта (Subject AltName).
  • кнопка <Продолжить> для перехода к следующему шагу;
  • кнопка <Назад> для возврата к предыдущему шагу;
  • кнопка <Отмена> для завершения работы мастера создания сертификата без сохранения результатов.
• В случае, если в файле‑запросе существуют дополнительные поля субъектных идентификаторов, отсутствующие в текущей реализации[1], то они идентифицируются по параметру OID.

Рисунок 281 – Окно создания сертификата по запросу в разделе «Субъекты». Шаг 2. Результат успешной обработки запроса

• После успешной загрузки файла запроса нажмите кнопку <Продолжить> для продолжения процедуры выпуска сертификата для субъекта, кнопку <Отмена> для прекращения процедуры выпуска сертификата или кнопку <Назад> для возврата на предыдущий шаг.
• В открывшемся окне указаны атрибуты в соответствии с шаблоном сертификата (подробное описание полей предустановленных шаблонов см. в Приложении 2 «Описание полей предустановленных шаблонов сертификатов». Значение атрибутов заполняется автоматически в соответствии с данными в карточке субъекта (см. раздел 7.8.4 настоящего руководства) и изменению не подлежит. В случае если в атрибуте указано несколько значений, в выпадающем меню будет предложен выбор значения из существующих или возможно добавление значения атрибута по нажатию кнопки <Добавить> справа от соответствующего поля (если атрибут содержит несколько значений, то при наведении мышки на  кнопку <Добавить>, она становиться активной – красного цвета). Также дополнительно добавленное значение атрибута можно удалить по кнопке справа от соответствующего поля атрибута (см. Рисунок 282).
• Перечень доступных для выбора значений в полях SAN включает в себя:
  • значения соответствующего полю атрибута субъекта;
  • значения данного поля из запроса, если у субъекта в соответствующем атрибуте есть аналогичное значение, отличающееся от значения в запросе только регистрами символов (такие значения отмечены пиктограммой «Запрос» ).
• При отсутствии доступных для указания значений в поле обязательного атрибута будет отображаться ошибка «У субъекта отсутствует указанный атрибут».
• Необязательные поля могут оставаться незаполненными.

Рисунок 282 – Окно создания сертификата по запросу в разделе «Субъекты». Шаг 4. Атрибуты сертификата

• Далее по нажатию кнопки <Создать сертификат> открывается финальное окно создания сертификата и отображается краткая информация о созданном сертификате (см. Рисунок 283). У созданного сертификата значения в полях SDN соответствуют значениям в соответствующих полях SDN запроса, на основе которого был создан сертификат.
• В журнал событий при успешном создании сертификата на основании запроса записывается событие с кодом CAENV078. При попытке повторного создания сертификата на основании одного запроса на данном шаге отображается ошибка, а в журнал событий записывается событие с кодом CAENV015.

Рисунок 283 – Окно создания сертификата по запросу в разделе «Субъекты». Шаг 4. Информирование об успешном создании сертификата

• При успешном создании сертификата и выполнении всех условий ниже происходит его публикация в ресурсную систему (подробнее см. разделе 3 Публикация сертификата в ресурсную систему настоящего приложения):
  • сертификат был создан для субъекта, подключенного к ресурсной системе;
  • сертификат создан по шаблону, в котором включена публикация сертификата в ресурсную систему.

[1] Для справки – https://www.alvestrand.no/objectid/2.5.4.html, раздел Subdirectory references.

Создание сертификата субъекта на ключевом носителе

Центр сертификации Aladdin eCA поддерживает следующие виды ключевых носителей для создания сертификата:

• JaCarta PKI;
• JaCarta PRO;
• JaCarta‑2 PKI/ГОСТ;
• JaCarta‑2 ГОСТ.

Предварительные условия выполнения сценария:

• Убедитесь, что поддерживаемый электронный ключ присоединен к серверу выпускающего ЦС;
• Убедитесь, что на сервере выпускающего ЦС установлено ПО JC‑WebClient для дальнейшей работы с ключевыми носителями из веб-браузера.
• Нажатие кнопки <Создать сертификат> ‑ «На ключевом носителе» стартует сценарий по созданию сертификата на ключевом носителе. Осуществляется проверка подключения ключевого носителя, определяется наличие свободной памяти, достаточной для записи создаваемого сертификата.
• В случае если электронный ключ успешно подключен, в открывшемся окне:
  • при выпуске сертификата в разделе «Сертификаты» необходимо на шаге 1 ввести частичное или полное значение любого атрибута субъекта, для которого будет выпущен сертификат доступа;
  • поиск субъектов выполняется по значениям в их атрибутах и является регистронезависимым;
  • в результате поиска будут отображены найденные субъекты с указанием краткой информации (см. Рисунок 284):
    • «CN» – значение атрибута «Common Name» субъекта;
    • «ID» – идентификатор субъекта;
    • «UPN» – значение атрибута «MS UPN, User Principal Name» субъекта;
    • «DNS» – значение атрибута «DNS Name» субъекта;
    • пиктограммы наличия подключения субъекта к ресурсной системе .
  • в результате поиска в полях «CN», «UPN» и «DNS» отображаются все значения соответствующего полю атрибута субъекта, разделитель значений в поле – запятая с пробелом;
  • в результате поиска поля «CN», «UPN» и «DNS» не отображаются, если в соответствующем данному полю атрибуте у субъекта отсутствуют значения;
  • выберите субъект и нажмите кнопку <Продолжить> для перехода к шагу 2;
  • при выпуске сертификата в разделах «Субъекты» и «Учётные записи» шаг 1 не требуется и первым шагом будет выбор ключевого носителя и шаблона для выпуска сертификата (см. Рисунок 285).

Рисунок 284 – Окно создания сертификата на электронном ключе в разделе «Сертификаты». Шаг 1

• В открывшемся окне (см. Рисунок 285) необходимо выбрать ключевой носитель из выпадающего списка в поле «Устройство», ввести PIN‑код пользователя ключевого носителя (от 4 до 16 символов) и указать шаблон для выпуска сертификата. При выпуске сертификата из раздела «Субъекты» шаблон будет определён по умолчанию и выбору не подлежит. После выбора шаблона в окне отображается информация о ЦС, в котором будет выпущен сертификат. ЦС, в котором будет выпущен сертификат, определяется при создании шаблона (см. раздел 7.12 настоящего руководства). Если в шаблоне в качестве ЦС выбрано значение «Любой», то выпуск сертификатов по данному шаблону доступен в любом ЦС. При этом для выпуска сертификатов будет использован активный в данный момент ЦС. Переход на следующий шаг осуществляется по ставшей активной кнопке <Продолжить> в случае ввода корректного PIN‑кода электронного ключа и заполнении всех полей.

Рисунок 285 – Окно создания сертификата на электронном ключе. Шаг 2

• В окне Шага 3 указаны атрибуты в соответствии с выбранным (на предыдущем шаге) шаблоном сертификата (подробное описание полей предустановленных шаблонов см. в Приложении 2 «Описание полей предустановленных шаблонов сертификатов»). Значение атрибутов заполняется автоматически в соответствии с данными в карточке субъекта (см. раздел 7.8.4 настоящего руководства) и изменению не подлежит. В случае если в атрибуте указано несколько значений, в выпадающем меню будет предложен выбор значения из существующих или возможно добавление значения атрибута по нажатию кнопки <Добавить> справа от соответствующего поля (если атрибут содержит несколько значений, то при наведении мышки на  кнопку <Добавить>, она становиться активной – красного цвета).  Также дополнительно добавленное значение атрибута можно удалить по кнопке справа от соответствующего поля атрибута (см. Рисунок 286).
• Необязательные поля могут оставаться незаполненными.

Рисунок 286 – Окно создания сертификата на электронном ключе. Шаг 3. Удаление добавленного значения атрибута

• Нажмите кнопку <Продолжить>, ставшую активной, после заполнения всех обязательных полей шаблона сертификата на шаге 3 (см. Рисунок 286).
• Далее необходимо выбрать параметры криптографии (см. Рисунок 287):
  • выберите алгоритм генерации ключевой пары из раскрывающегося списка. Список алгоритмов ключа определяется шаблоном. При этом алгоритмы, для которых на активном центре сертификации отключен криптопровайдер, не будут отображены в списке. По умолчанию указан первый алгоритм из списка в используемом шаблоне, для которого не отключен криптопровайдер;
  • выберите длину ключа из раскрывающегося списка. Минимальная доступная для выбора длина ключа определяется выбранным шаблоном. По умолчанию указана минимальная длина ключа по шаблону;
  • после выбора алгоритма и длины ключа нажмите кнопку <Создать сертификат>.

Рисунок 287 – Окно создания сертификата на электронном ключе. Шаг 4

• Далее осуществляются все необходимые операции для выпуска и записи сертификата на ключевой носитель:
  • генерация ключевой пары на основе данных заполненного шаблона сертификата на предыдущем шаге;
  • генерация запроса на основе данных заполненного шаблона сертификата на предыдущем шаге;
  • создание сертификата;
  • запись сертификата на ключевой носитель.
• Процессы выполняются автоматически и после завершения станут доступны кнопки <Скачать сертификат> (контейнер сертификата PKCS#12) и <Скачать цепочку сертификатов> (см. Рисунок 288).

Рисунок 288 – Окно успешного создания сертификата субъекта на электронном ключе

• При успешном создании сертификата и выполнении всех условий ниже происходит его публикация в ресурсную систему (подробнее см. п 1.3 Публикация сертификата в ресурсную систему настоящего приложения):
  • сертификат был создан для субъекта, подключенного к ресурсной системе;
  • сертификат создан по шаблону, в котором включена публикация сертификата в ресурсную систему.

Сообщения об ошибках при создании сертификата на ключевом носителе:

• В случае, если ПО JC‑WebClient предварительно не установлено, то администратор будет уведомлен об этом информационным сообщением (см. Рисунок 289). Для выпуска сертификата на электронном ключе установите ПО JC‑WebClient.

Рисунок 289 – Окно информационного сообщения «ПО JC‑WebClient не установлено»

• В случае, если электронный носитель не подключен, то администратор будет уведомлен об этом информационным сообщением (см. Рисунок 290). Для выпуска сертификата подключите электронный ключ и перезапустите мастер создания сертификата.

Рисунок 290 – Окно информационного сообщения «Нет доступных устройств»

• В случае, если выбранный для выпуска сертификата алгоритм не поддерживается выбранной моделью ключевого носителя, администратор будет уведомлён об этом информационным сообщением.
• В случае возникновения ошибок, связанных с работой JC‑WebClient, администратор будет уведомлён сообщением, согласно с описанием ошибки в документации JC‑WebClient SDK:
  • https://developer.aladdin‑rd.ru/archive/jc‑webclient/4.0.0/api/addendum/errors.html
  • https://developer.aladdin‑rd.ru/archive/jc‑webclient/3.1.1/api/addendum.html