हाँ, यह ठीक काम करता है; Windows प्रमाणपत्र प्राधिकारी के पास गैर-विंडोज रूट के अधीनस्थ के रूप में चलने के बारे में कोई योग्यता नहीं है।
एंटरप्राइज़ मोड में एक ओपनएसएसएल रूट और एक विंडोज 2008 आर 2 अधीनस्थ के साथ परीक्षण किया गया।
OpenSSL कॉन्फिगरेशन में MS CA को जो उम्मीद है उससे कुछ अच्छा खेलने के लिए कुछ बातें:
मान्य एआईए और सीडीपी स्थानों को मूल प्रमाण पत्र पर लागू होना चाहिए, स्व-हस्ताक्षरित रूट के लिए अनुभाग की x509_extensionsसंपत्ति द्वारा कॉन्फ़िगर किए गए [req]अनुभाग में। इन पंक्तियों के साथ कुछ:
authorityInfoAccess = caIssuers;URI:http://test-rootca.test.local/root.pem
crlDistributionPoints = URI:http://test-rootca.test.local/root.crl
एक दिया गया ओपनएसएसएल कॉन्फ़िगरेशन संभवत: डिफ़ॉल्ट रूप से अधीनस्थ सीए को अनुमति नहीं देता है। हस्ताक्षरित अनुरोधों के लिए परिवर्तन करें (सुनिश्चित करें कि यह उन अनुरोधों के लिए नहीं है जो सीए नहीं होना चाहिए, निश्चित रूप से)। यह अनुभाग की x509_extensionsसंपत्ति द्वारा कॉन्फ़िगर किए गए [ca]अनुभाग में होगा:
basicConstraints=CA:TRUE
certificatePolicies=2.5.29.32.0
इसलिए, हम परीक्षण करने के लिए एक CA करेंगे।
अपनी जड़ बनाओ:
openssl req -new -x509 -keyout /etc/ssl/private/root.key -out /etc/ssl/certs/root.pem -nodes -extensions v3_ca
अपने कॉन्फ़िगरेशन के साथ फ़िडेल करें और [ca]अपने OpenSSL कॉन्फ़िगरेशन के अनुभाग में आवश्यक फ़ाइलें और निर्देशिकाएं बनाएं ।
Microsoft द्वारा जाने वाली चीज़ों को प्राप्त करने के लिए सभी सेट; मैन्युअल हस्ताक्षर के साथ एक विंडोज अधीनस्थ सीए बनाएं।
सर्टिफिकेट रिक्वेस्ट को ओपनएसएसएल सर्वर पर अपलोड करें। जब आप इस पर हों, तो रूट प्रमाणपत्र डाउनलोड करें। इसे विश्वसनीय जड़ों की दुकान में आयात करें - कंप्यूटर का, न कि आपके उपयोगकर्ता का!
अधीनस्थ प्रमाण पत्र जारी करें:
openssl ca -in test-subca.req
(you might need to specify a permissive policy manually with -policy, check your config)
यदि वह काम नहीं करता है, तो आपके CA के पास शायद एक समस्या हो सकती है - नए सिरेट्स डायरेक्टरी, इंडेक्स फ़ाइल, सीरियल फाइल आदि। त्रुटि संदेश की जाँच करें।
अगर यह गया, तो यह बात है। यदि आपने नहीं किया है, तो एक CRL बनाएं और इसे CDP में डालें जिसे आपने ऊपर कॉन्फ़िगर किया था; मैंने बस अपाचे को स्थापित किया और इसे वेबरोट में जाम कर दिया:
openssl ca -gencrl -out /var/www/root.crl
और अपना प्रमाण पत्र एआईए स्थान में डालें, अगर यह पहले से ही नहीं है:
cp /etc/ssl/certs/root.pem /var/www/root.pem
नए जारी किए गए अधीनस्थ प्रमाण पत्र को डाउनलोड करें और प्रमाणन प्राधिकरण एमएमसी स्नैप-इन के साथ इसे सीए को स्थापित करें। यह विश्वास या मान्यता के साथ किसी भी मुद्दे के बारे में पकड़ लेगा, लेकिन इसे लेने में कोई नैतिक आपत्ति नहीं है।
अंतिम परिणाम; OpenSSL Generated Certificateविशेषताओं में एक गप्पी के साथ एंटरप्राइज पीकेआई स्नैप-इन से कोई शिकायत नहीं के साथ काम कर रहे विंडोज सीए ।
