Eksport certyfikatu z systemu Windows dla usługi Rublon Authentication Proxy

Od wersji 3.12.0 usługa Rublon Authentication Proxy dla systemu Windows zawiera narzędzie Rublon Windows Certificate Export Helper. Narzędzie eksportuje certyfikat i jego klucz prywatny z magazynu certyfikatów systemu Windows do plików PEM wymaganych przez serwer proxy LDAP korzystający z protokołu SSL lub STARTTLS.

Narzędzie wyświetla listę odpowiednich certyfikatów, sprawdza wybrany certyfikat, szyfruje wyeksportowany klucz prywatny i weryfikuje, czy certyfikat oraz klucz prywatny są zgodne. Narzędzie nie pozostawia na dysku pośredniego pliku PFX.

Wymagania wstępne

Przed rozpoczęciem upewnij się, że:

Usługa Rublon Authentication Proxy w wersji 3.12.0 lub nowszej jest zainstalowana na komputerze z systemem Windows.
Certyfikat jest zainstalowany w magazynie certyfikatów Osobisty.
Certyfikat zawiera dostępny klucz prywatny, który można wyeksportować.
Certyfikat jest obecnie ważny i jest przeznaczony do uwierzytelniania serwera.
Pole alternatywnej nazwy podmiotu (Subject Alternative Name, SAN) certyfikatu zawiera nazwę DNS lub adres IP, którego klienci protokołu LDAP używają do łączenia się z usługą Rublon Authentication Proxy.
Certyfikat jest zaufany przez łączących się klientów protokołu LDAP.

Domyślnie narzędzie odczytuje certyfikaty z następującego magazynu:

Local Computer\Personal

WAŻNE

Klucza prywatnego oznaczonego jako nieeksportowalny nie można później przekształcić w klucz eksportowalny. Ponownie wystaw certyfikat przy użyciu szablonu zezwalającego na eksport klucza prywatnego lub zaimportuj oryginalny plik PFX z kluczem prywatnym oznaczonym jako eksportowalny.

Eksportowanie certyfikatu

1. Otwórz program PowerShell jako administrator.

2. Przejdź do katalogu instalacyjnego usługi Rublon Authentication Proxy:

cd "C:\Program Files\Rublon Auth Proxy"

3. Uruchom narzędzie Rublon Windows Certificate Export Helper:

.\bin\rublon-certificate-export.exe

4. Po wyświetleniu monitu wprowadź nazwę DNS lub adres IP, którego klienci protokołu LDAP używają do łączenia się z usługą Rublon Authentication Proxy:

DNS name or IP address clients use to reach this proxy:

Zdecydowanie zalecamy wprowadzenie tej wartości. Narzędzie sprawdza, czy wybrany certyfikat obejmuje podaną nazwę DNS lub adres IP.

5. Przejrzyj certyfikaty wyświetlone przez narzędzie. Na przykład:

[1] CN=rap.example.com
    Valid until: 2028-09-18
    DNS names: rap.example.com
    Server Authentication: Yes
    Status: Ready
    Thumbprint: FA83F1394F3E140EC941EF7B5058637CCA725AA8

6. Wybierz odpowiedni certyfikat, wprowadzając jego numer lub odcisk palca.

7. Wprowadź i potwierdź hasło wyeksportowanego klucza prywatnego.

Uwaga

Hasło nie jest wyświetlane ani przechowywane przez narzędzie. Przechowuj je w bezpiecznym miejscu, ponieważ usługa Rublon Authentication Proxy potrzebuje go do wczytania zaszyfrowanego klucza prywatnego.

Wygenerowane pliki

Domyślnie narzędzie tworzy następujące pliki:

C:\Program Files\Rublon Auth Proxy\config\certificates\ldap-proxy-certificate.pem
C:\Program Files\Rublon Auth Proxy\config\certificates\ldap-proxy-private-key.pem

Klucz prywatny jest zapisywany w zaszyfrowanym formacie PEM PKCS#8. Narzędzie sprawdza również, czy wyeksportowany certyfikat i klucz prywatny są zgodne. Na dysku nie pozostaje żaden pośredni plik PFX.

Konfigurowanie usługi Rublon Authentication Proxy

Dodaj wygenerowaną ścieżkę certyfikatu, ścieżkę klucza prywatnego i hasło klucza prywatnego do wpisu serwera proxy LDAP w pliku config\config.yaml:

proxy_servers:
  - name: LDAP-Proxy
    type: LDAP
    ip:
    port: 636
    auth_source: LDAP_SOURCE_1
    auth_method: email
    cert_path: 'C:\Program Files\Rublon Auth Proxy\config\certificates\ldap-proxy-certificate.pem'
    pkey_path: 'C:\Program Files\Rublon Auth Proxy\config\certificates\ldap-proxy-private-key.pem'
    pkey_password: 'PRIVATE_KEY_PASSWORD'

Serwer proxy LDAP kopiuje ustawienie transport_type ze swojego źródła uwierzytelniania LDAP. Upewnij się, że wskazane źródło uwierzytelniania korzysta z wartości ssl lub starttls. Pełne instrukcje konfiguracji serwera proxy LDAP znajdziesz w artykule Konfigurowanie usługi Rublon Authentication Proxy jako serwera proxy LDAP.

Zastąp wartość PRIVATE_KEY_PASSWORD zgodnie z wartością ustawienia global.secret_source:

plain: Wprowadź rzeczywiste hasło klucza prywatnego.
env: Wprowadź nazwę zmiennej środowiskowej zawierającej hasło klucza prywatnego. Instrukcje konfiguracji znajdziesz w artykule Konfiguracja źródła sekretów usługi Rublon Authentication Proxy – Zmienne środowiskowe (env).
winvault: Wprowadź nazwę odpowiedniego poświadczenia przechowywanego w Menedżerze poświadczeń systemu Windows. Instrukcje konfiguracji znajdziesz w artykule Konfiguracja źródła sekretów usługi Rublon Authentication Proxy – Menedżer poświadczeń systemu Windows.

Po zapisaniu konfiguracji uruchom ponownie usługę Rublon Authentication Proxy:

net stop RublonAuthProxy
net start RublonAuthProxy

Opcje wiersza polecenia

Opcje wyboru certyfikatu można podać bezpośrednio w wierszu polecenia. Na przykład:

.\bin\rublon-certificate-export.exe `
  --hostname rap.example.com `
  --thumbprint 0123456789ABCDEF0123456789ABCDEF01234567

Dostępne są między innymi następujące opcje:

--hostname – Określa nazwę DNS lub adres IP, który narzędzie ma zweryfikować na podstawie certyfikatu.
--thumbprint – Wybiera certyfikat bezpośrednio na podstawie jego odcisku palca.
--store-location CurrentUser – Odczytuje certyfikaty z magazynu Osobisty bieżącego użytkownika zamiast z magazynu komputera lokalnego.
--output-dir PATH – Zapisuje wygenerowane pliki w innym katalogu.
--overwrite – Zastępuje istniejące pliki certyfikatu i klucza prywatnego.
--unencrypted-private-key – Eksportuje klucz prywatny bez szyfrowania za pomocą hasła.

WAŻNE

Używaj niezaszyfrowanego klucza prywatnego tylko wtedy, gdy zabezpieczenia stosowane w organizacji wyraźnie na to zezwalają. Ogranicz dostęp do wygenerowanego pliku, aby mogło go odczytać wyłącznie konto, na którym działa usługa Rublon Authentication Proxy, oraz upoważnieni administratorzy.

Rozwiązywanie problemów

Klucza prywatnego nie można wyeksportować

Polityka eksportu jest ustawiana podczas generowania lub importowania klucza prywatnego i nie można jej zmienić dla istniejącego klucza. Ponownie wystaw certyfikat przy użyciu szablonu zezwalającego na eksport klucza prywatnego lub zaimportuj oryginalny plik PFX z włączoną opcją Oznacz ten klucz jako eksportowalny.

Odmowa dostępu do klucza prywatnego

Uruchom program PowerShell jako administrator. Jeśli problem nadal występuje, otwórz przystawkę certlm.msc, znajdź certyfikat w magazynie Osobisty i wybierz Wszystkie zadania → Zarządzaj kluczami prywatnymi. Przyznaj kontu wykonującemu eksport uprawnienie do odczytu klucza prywatnego.

Weryfikacja nazwy hosta nie powiodła się

Upewnij się, że pole alternatywnej nazwy podmiotu (Subject Alternative Name, SAN) certyfikatu zawiera dokładną nazwę DNS lub adres IP, którego klienci protokołu LDAP używają do łączenia się z usługą Rublon Authentication Proxy.

Znaleziono istniejące pliki wyjściowe

Domyślnie narzędzie nie zastępuje istniejących plików. Utwórz kopię zapasową istniejących plików certyfikatu i klucza prywatnego, a następnie uruchom:

.\bin\rublon-certificate-export.exe --overwrite

Klienci protokołu LDAP nie ufają certyfikatowi

Zainstaluj certyfikat urzędu certyfikacji, który wystawił certyfikat serwera, w magazynie zaufanych certyfikatów każdego łączącego się klienta protokołu LDAP. Jeśli używasz certyfikatu z podpisem własnym w środowisku testowym, klient musi bezpośrednio ufać temu certyfikatowi.

Tworzenie certyfikatu do testów

W środowisku testowym możesz utworzyć eksportowalny certyfikat z podpisem własnym w oknie programu PowerShell uruchomionym z uprawnieniami administratora:

$dns="rap.example.com"; $expiry=(Get-Date).AddYears(2); $cert=New-SelfSignedCertificate -Type SSLServerAuthentication -Subject "CN=$dns" -DnsName $dns -CertStoreLocation "Cert:\LocalMachine\My" -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -KeyExportPolicy Exportable -NotAfter $expiry; $cert.Thumbprint

WAŻNE

Używaj certyfikatów z podpisem własnym wyłącznie do testów. Klienci protokołu LDAP muszą wyraźnie ufać certyfikatowi z podpisem własnym, zanim będą mogli nawiązać zaufane połączenie przy użyciu protokołu SSL lub STARTTLS.

Podsumowanie

Narzędzie Rublon Windows Certificate Export Helper eksportuje certyfikat i klucz prywatny z magazynu certyfikatów systemu Windows do plików PEM wymaganych przez serwer proxy LDAP usługi Rublon Authentication Proxy. Wybierz ważny certyfikat przeznaczony do uwierzytelniania serwera, który zawiera eksportowalny klucz prywatny, zabezpiecz wyeksportowany klucz hasłem, dodaj wygenerowane ścieżki i hasło do konfiguracji serwera proxy LDAP, a następnie uruchom ponownie usługę Rublon Authentication Proxy.

Powiązane artykuły

Rublon Authentication Proxy – Dokumentacja

Konfigurowanie usługi Rublon Authentication Proxy jako serwera proxy LDAP

Konfiguracja źródła sekretów usługi Rublon Authentication Proxy – Zmienne środowiskowe (env)

Konfiguracja źródła sekretów usługi Rublon Authentication Proxy – Menedżer poświadczeń systemu Windows