Ключевое слово в защите информации
ключевое слово
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error
2 Страницы12>
Certificate Export Module Library v1.5 R2 - возможности модуля.
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Offline Error0_0  
#1 Оставлено : 18 июля 2014 г. 9:04:05(UTC)
Error0_0

Статус: Активный участник

Группы: Участники
Зарегистрирован: 03.05.2012(UTC)
Сообщений: 81
Откуда: Moscow

Сказал(а) «Спасибо»: 4 раз
Доброго времени суток.
Возник вопрос в ходе настройки данного модуля, а именно:
Контенйеры пользователей в AD распределены по подгруппам (отделам в схематическом понимании), необходимо естественно прописать LDAP путь, но не понятно каким образом. Если, например, указать верхний каталог в котором соджержатся группы, будет ли данный модуль сам выбирать уже по подгруппам? Если нет, то как тогда организовать публикацию сертификатов именно к пользователям?
Вверх
Offline Molostvov  
#2 Оставлено : 18 июля 2014 г. 11:54:05(UTC)
Molostvov

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 14.03.2013(UTC)
Сообщений: 448
Российская Федерация
Откуда: Москва

Сказал(а) «Спасибо»: 2 раз
Поблагодарили: 95 раз в 85 постах
Добрый день.
Укажите верхний каталог и поиск пользователя будет делаться в AD по UPN пользователя.
Вверх
Offline Error0_0  
#3 Оставлено : 18 июля 2014 г. 13:34:21(UTC)
Error0_0

Статус: Активный участник

Группы: Участники
Зарегистрирован: 03.05.2012(UTC)
Сообщений: 81
Откуда: Moscow

Сказал(а) «Спасибо»: 4 раз
То есть иными слова если скажем я пропишу:
LDAP://mydc.example.ru/OU=First Unit,DC=example,DC=ru
он на автомате найдет нужного пользователя?
Вверх
Offline Molostvov  
#4 Оставлено : 18 июля 2014 г. 13:41:02(UTC)
Molostvov

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 14.03.2013(UTC)
Сообщений: 448
Российская Федерация
Откуда: Москва

Сказал(а) «Спасибо»: 2 раз
Поблагодарили: 95 раз в 85 постах
Если пропишите LDAP://mydc.example.ru/OU=First Unit,DC=example,DC=ru , то будет искать пользователей именно в OU=First Unit,
Если пропишите LDAP://mydc.example.ru/DC=example,DC=ru ,то будет искать пользователей в AD (во всех подкаталогах).
Вверх
Offline Error0_0  
#5 Оставлено : 18 июля 2014 г. 16:21:31(UTC)
Error0_0

Статус: Активный участник

Группы: Участники
Зарегистрирован: 03.05.2012(UTC)
Сообщений: 81
Откуда: Moscow

Сказал(а) «Спасибо»: 4 раз
Автор: Molostvov Перейти к цитате
Если пропишите LDAP://mydc.example.ru/OU=First Unit,DC=example,DC=ru , то будет искать пользователей именно в OU=First Unit,
Если пропишите LDAP://mydc.example.ru/DC=example,DC=ru ,то будет искать пользователей в AD (во всех подкаталогах).

Попробовал, но экспорт он так и не сделал
Вверх
Offline Molostvov  
#6 Оставлено : 18 июля 2014 г. 16:37:15(UTC)
Molostvov

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 14.03.2013(UTC)
Сообщений: 448
Российская Федерация
Откуда: Москва

Сказал(а) «Спасибо»: 2 раз
Поблагодарили: 95 раз в 85 постах
А что в журнале приложений на ЦР? В сертификатах пользователей присутствует UPN?
Также: в домене должны быть заведены учетные записи с указанием UPN

Отредактировано пользователем 18 июля 2014 г. 16:48:50(UTC)  | Причина: Не указана
Вверх
Offline Error0_0  
#7 Оставлено : 18 июля 2014 г. 16:48:25(UTC)
Error0_0

Статус: Активный участник

Группы: Участники
Зарегистрирован: 03.05.2012(UTC)
Сообщений: 81
Откуда: Moscow

Сказал(а) «Спасибо»: 4 раз
Автор: Molostvov Перейти к цитате
А что в журнале приложений на ЦР? В сертификатах пользователей присутствует UPN?


В системном?
Да ничего про данное событие. Ни ошибки, ни свидений, ни предупреждений
Под UPN? что именно в сертификате подразумевается? Какое поле?
Вот например:
CN=Иванов Иван Иванович
E=ivanovii@example.ru
OU = HR
O = ООО рога и копыта
L = Moscow
C = RU
То что есть в сертификате.

А сам домен например example.host

Отредактировано пользователем 18 июля 2014 г. 16:53:00(UTC)  | Причина: Не указана
Вверх
Offline Molostvov  
#8 Оставлено : 18 июля 2014 г. 16:54:25(UTC)
Molostvov

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 14.03.2013(UTC)
Сообщений: 448
Российская Федерация
Откуда: Москва

Сказал(а) «Спасибо»: 2 раз
Поблагодарили: 95 раз в 85 постах
В журнале приложений, и обратите внимание на обязательные условия экспорта сертификатов в AD
В сертификатах пользователей должен присутствовать UPN.
в домене должны быть заведены учетные записи с указанием UPN

UPN находиться в расширении SAN , выглядит, например, так UPN = user@adatum.com, задается при создании пользователя или после в УЦ 1.5 (или задается в запросе).

Отредактировано пользователем 18 июля 2014 г. 16:56:12(UTC)  | Причина: Не указана
Вверх
Offline Error0_0  
#9 Оставлено : 18 июля 2014 г. 17:08:28(UTC)
Error0_0

Статус: Активный участник

Группы: Участники
Зарегистрирован: 03.05.2012(UTC)
Сообщений: 81
Откуда: Moscow

Сказал(а) «Спасибо»: 4 раз
Автор: Molostvov Перейти к цитате
В журнале приложений, и обратите внимание на обязательные условия экспорта сертификатов в AD
В сертификатах пользователей должен присутствовать UPN.
в домене должны быть заведены учетные записи с указанием UPN

UPN находиться в расширении SAN , выглядит, например, так UPN = user@adatum.com, задается при создании пользователя или после в УЦ 1.5 (или задается в запросе).


То есть иными словами, надо менять шаблон при создании сертфиката пользователя и добавлять туда еще один OID?
скажем берем компоненту доменного имени и прописываем в атрибут AD значение UPN?
и тогда в запросе на сертификат пользователь будет указывать себя в стандартном формате в то поле.

Отредактировано пользователем 18 июля 2014 г. 17:15:25(UTC)  | Причина: Не указана
Вверх
Offline Molostvov  
#10 Оставлено : 18 июля 2014 г. 17:30:57(UTC)
Molostvov

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 14.03.2013(UTC)
Сообщений: 448
Российская Федерация
Откуда: Москва

Сказал(а) «Спасибо»: 2 раз
Поблагодарили: 95 раз в 85 постах
Шаблон менять не надо, задать UPN для пользователя можно при его создании или после (см. скриншоты UPN1 и UPN2).
При этом на ЦС должна быть установлена галочка добавлять расширение 2.5.29.17 (см. скриншот conf CS)
Cертификат с UPN будет выглядить так (см. скриншот UPN in cert)

В итоге пользователь будет найден по UPN в LDAP каталоге (учетка уже должна быть заведена в домене с указанием UPN) и модуль экспорта опубликует для этого пользоватедя сертификат (убедиться можно как в ADSI Edit, так и в Active Direcory Users and Computers).

Отредактировано пользователем 21 июля 2014 г. 12:43:51(UTC)  | Причина: Не указана

Пользователь Molostvov прикрепил следующие файлы:
UPN1.png (10kb) загружен 23 раз(а).
UPN2.png (13kb) загружен 19 раз(а).
upn in cert.png (20kb) загружен 30 раз(а).
conf CS.png (24kb) загружен 23 раз(а).

У Вас нет прав для просмотра или загрузки вложений. Попробуйте зарегистрироваться.
Вверх
thanks 1 пользователь поблагодарил Molostvov за этот пост.
Error0_0 оставлено 21.07.2014(UTC)
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
2 Страницы12>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2026, Yet Another Forum.NET