Cómo crear certificados de CA subordinados con Microsoft Certificate Server

Resumen

Este documento muestra cómo crear un certificado de CA subordinado con Microsoft Certificate Server.

• Acceda a la interfaz del servidor de certificados navegando a http://<ip-address of="" cert="" server="">/CertSrv.</ip-address>
• En la pantalla de bienvenida, seleccione solicitar un certificado.
  
  
  
• En la página siguiente, elija enviar una solicitud de certificado avanzada.
  
  
  
• A continuación, elija crear y enviar una solicitud a la entidad emisora de certificados.
  
  En el siguiente formulario, asegúrese de seleccionar autoridad de certificación subordinada en el menú desplegable plantilla. ReLlene cualquier información para el certificado (nombre, información de contacto, etc.). Después de enviar la solicitud, se muestra un enlace para descargar el certificado al sistema local.

• Después de descargar, exporte el certificatefrom el almacén de certificados local.  En el cuadro de diálogo Opciones de Internet, seleccione la ficha contenido y, a continuación, haga clic en certificados. Ahora el nuevo certificado se puede exportar desde el almacén de certificados personales. Haga clic en exportar para mostrar el Asistente para exportación de certificados.
  
• En el Asistente para exportación, seleccione esta opción para exportar la clave privada y, a continuación, seleccione el formato. Proporcione una frase de contraseña y un nombre de archivo/ubicación para el archivo resultante.
  

El servidor de certificados de Microsoft probablemente proporcionará el certificado en un formato PFX (PKCS #12).

Para obtener el certificateinto en formato PEM, siga estos pasos:

• Usando openSSL, ingrese OpenSSL PKCS12 – in pfxfilename. pfx – out tempfile. pem
• Abra el tempfile. pemin un editor de texto.
• Observe la sección que comienza con-----inicie la clave privada RSA-----
• Seleccione todo el texto que sigue a-----end RSA Private Key-----y póngalo en un archivo nuevo con la extensión. Key.
• Copie el resto del texto del archivo. PEM y péguelo en otro archivo con una extensión. CRT.
• El archivo de clave y certificado ya están listos para importar.

Comandos de CLI 

Debido a que las CA de raíz de algunos clientes no tienen una interfaz de usuario, las mismas acciones se pueden utilizar a través de la interfaz CLI.
En un Microsoft CA el comando será:

CertReq-Submit-attrib "CertificateTemplate: SubCA" <certificate-signing-request>. RSE</certificate-signing-request>

En este comando obtendrá un mensaje GUI emergente donde se selecciona la CA que debe firmar su solicitud. En situaciones normales sólo habrá una CA raíz en el mismo servidor para que pueda seleccionar la que se muestra. Después encontrará su solicitud en la interfaz de solicitudes pendientes del servidor CA.

Propietario: panagent