בקשה ידנית לתעודה - Custom Request
פרקי ההרצאה: בקשה ידנית לתעודה - Custom Request
תמלול ההרצאה: בקשה ידנית לתעודה - Custom Request
הטקסט המלא של הדקות הראשונות בהרצאה «בקשה ידנית לתעודה - Custom Request» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בסרט הזה אנחנו הולכים להתקין CA stand alone ולבקש תעודה ממנו כאתר ה-S. למעשה אנחנו נבנה אתר ה-S ונהיה הלקוחות שמבקשים תעודה דיגיטלית, כמו שמבקשים מחנות באינטרנט, כמו מגו דאדי שמבקשים תעודה, ואחרי זה נחליף כובעים ונהיה החנות שנותנת את התעודה.
ההבדל בין זה לבין הסרטים האחרים שהכל פה יתבצע על stand alone ולא בתוך domain שום דבר לא הולך להיות אוטומטי הכל הולך להיות ידנית דרך בעצם ה-TA הידני ה-stand alone כמו שזה קורה בעולם האינטרנט האמיתי.
הסרט הזה חשוב במיוחד לאנשים שהולכים לקנות תעודה דיגיטלית וצריכים לעשות בקשה ידנית וגם למנהלי רשת שיש להם לנהל CA שהוא לא בתוך domain או בקשות שהן מחוץ לדומיין לדוגמה יש לי שרת ווב שנמצא ב-dmz והוא לא באותו דומיין ואני צריך לבקש תעודה דיגיטלית אז קודם כל יש לנו פה is כבר מותקן שיש לו שני אתרים מסרט קודם שעשינו אבל זה לא משנה לנו יש לנו שני
אתרים וזה לא מפריע לנו הדבר היחיד שאני רוצה לוודא שהוא מקבל כל שם port 80 על כל שם יפה מאוד אז port 80 כוכבית אני שמתי אותו זה האתר הראשון שלי והאתר השני שלי יהיה משהו אחר אוקיי זה לא משנה לנו העיקר שיש לנו פה אתר וב עובד זה יהיה הלקוח נניח זה הלקוח שיש לו אתר אינטרנט שרוצה תעודה דיגיטלית עכשיו
אני קופץ לכובע אחר לגמרי ואני מתקין תפקיד של גו דדי אני הולך להיות גו דדי שמשווק תעודות דיגיטליות או אינטרספייס או אינטרניק שמשווק תעודות דיגיטליות אוקיי זה נקרא סרטיפיקט סרוויסס אקטיב דירקטורי סרטיפיקט סרוויסס שימו לב, אין לנו Active Directory, אין לנו פה Domain, זה מחשב ב-Work Group, אוקיי?
זה מחשב ב-Work Group. בגלל שהמחשב הזה ב-Work Group, אז אתם תראו שאחרי שאני מתקין CA, בלבד, אני מתקין רק CA, בלי כל הפיצ'רים הנוספים, אתם תראו, דרך אגב, זה שרת 2012 R2, אתם תראו שלא תהיה לי אפשרות לעשות, בעצם אני חייב יהיה לעשות Stand Alone, אוקיי?
אני חייב לעשות סרטיפיקט אוטוריטי סטנדל און. יפה, אנחנו נתחיל קודם כל, עד שהוא מתקין את ה-CA, נתחיל בכובע הראשון שלנו, כובע של הלקוח. זה הלקוח שיש לו site1.com בואו נראה שהסייט הזה עובד.
נעשה browse, הסייט הזה אמור לעבוד. הוא רוצה לקנות תעודה דיגיטלית. עכשיו הוא רוצה לקנות תעודה דיגיטלית ממישהו שנמצא רחוק, לא בדומיין, המחשב הזה לא בדומיין.
למעשה צריך ליצור בקשה עדנית. הבקשה העדנית הזאת זה למעשה ה-private key שלנו. כביכול התוצאה המתמטית של פרייבט קי שלנו. את הבקשה העדנית הזאתי אנחנו שולחים ל-CA מרוחק באימייל או דרך אתר וב שלו.
הוא מקבל את הבקשה, מייצר לי סרטיפיקייט, את הפאבליקי של הסרטיפיקייט, ואז אני מייבא את הפאבליקי של הסרטיפיקייט ומצמיד אותו בחזרה לפרייבט קי שהיה. אם לא הבנתם כלום, אל תדאגו, בקרוב תבינו הכל.
אנחנו עוד מעט הולכים לעשות את כל זה ואתם תבינו תוך כדי. זה תהליך לא טריוויאלי, אני חייב לציין את זה שזה לא תהליך טריוויאלי ופשוט, אבל עדיין אתם צריכים להכיר אותו.
אז יש לנו פה אתר ווב שעובד, ואני נכנס ל-MMC, ואני הולך להראות לכם מה יש לנו לפני שאנחנו מתחילים, ועוד דקה נעשה בקשה עדנית.
אז אני נכנס פה לסנאפינג של סרטיפיקייטס ברמת קומפיוטר וברמת יוזר, אני אצטרך את שניהם. אוקיי, סרטיפיקייטס של יוזר, סרטיפיקט של קומפיוטר, אולי אפילו יוזר אני לא אצטרך, אוקיי, יופי.
זה בעצם שני מאגרים שיש לנו, שמחזיקים תעודות דיגיטליות, אחד שמטייל עם היוזר, אחד שמטייל עם המחשב, וככה הם נראים, אנחנו נחזור לזה בקרוב, בינתיים אני עושה לזה מינימייז.
עכשיו אני רוצה לבקש תעודה דיגיטלית. אני הולך ל-IS, פה למעלה יש לנו סרוור, שימו לב, אני עומד פה למעלה, אחרת אין לכם את הסרוור הסרטיפיקט הזה.
כמובן שאפשר לעשות את זה בפקודות, כן? בפקודות PowerShell שעושות את זה. תראו בסרט של Exchange, אנחנו עושים את זה ב-PowerShell ב-Exchange. אז Server Certificates, יש פה תעודות דיגיטליות לשרת.
כרגע אין לי אף תעודה דיגיטלית, ולמעשה מה שהוא מראה לי פה זה אחד לאחד, כאילו הייתי נכנס לכאן, ל-Personal של Local Computer. יופי, אני עכשיו, מה אני צריך לעשות פה?
אני צריך פה לעשות Create Certificate Request, כן? Create Certification Request, לעשות בקשה. אחרי זה אני אראה את הבקשה הזאתי בהרדיסק עוד מעט אני אראה לכם ואחרי זה אני עושה קומפליט, אני מסיים את הבקשה הזאת.
יפה מאוד. אם היה לי דומיין הייתי מבקש דרך דומיין. סלף סיינד זה אומר שאני מייצר לעצמי בקשה ואני אסייה של עצמי.
זה עובד לא טוב, הרבה פעמים זה לא עובד טוב ועושה בעיות ובחברה אמיתית זה בכלל לא הגיוני כי אם אתה חותם לעצמך אף אחד לא סומך עליך.
נורא חשוב מי חתם לך על התעודה. אנחנו צריכים לייצר בקשה request יופי אנחנו מייצרים בקשה ופה אנחנו כותבים את השם נורא חשוב שהשם הזה יהיה תואם אחד לאחד לשם באתר אם יש פה שגיאת כתיב כתבתם שם לא נכון שם חיצוני שם שיהיה באקספלואור שלכם באינטרנט אקספלואור שלכם כשאתם נכנסים לאתר לא מעניין השם האמיתי של המחשב מעניין השם שהלקוחות ירשמו
בשביל להיכנס לאתר שלכם וזה חייב להיות אחד לאחד בתעודה ובשם האתר אותו דבר. אם יש טעות כתיב ואתם רוצים לתקן, אחרי שהגשתם בקשה, אי אפשר.
זה צריך לעשות תעודה חדשה, ותעודה עולה מאות שקלים. סייט אחד, שם של אורגניזיישן, פרקטיקיו, נניח פרקטיקיו, זה עם כל מיני מידע, איזה מחלקה זה, באיזה עיר זה, באיזה מדינה זה.
בקיצור, אתם פה עושים זה. עכשיו, אי אפשר לעשות פה ריבוי שמות. איך לעשות ריבוי שמות בתעודה, שאותה תעודה תהיה גם לדומיין אחד וגם לדומיין שני. זו תעודה עם ריבוי שמות.
תראו את זה בסרט של אקצ'יינג'. יש שם סרט איך אנחנו עושים את זה בקורס אקצ'יינג', שזה חובה לדעת. אתם בממשק הזה לא יכולים לעשות דבר כזה, אוקיי?
בממשק הזה אי אפשר לעשות את זה. עושים נקסט. עכשיו, הוא שואל אותי מה אורך המפתח, אני משאיר את זה 1024. עושה נקסט, והוא אומר איפה לשים את הבקשה.
נניח ב-My Documents, תשים את זה ותקרא לזה בקשה. יופי, בקשה. הבקשה הזאת שהוא מייצר לי למעשה, זה תוצאה מתמטית של פרייבט קי שלי, אוקיי?
קודם כל, אתם יכולים להיכנס ל-My Documents ולראות את הבקשה הזאת. וזאת הבקשה שאם חותמים עליה דיגיטלית ומייצרים ממנה תעודה, אחרי זה אפשר לייבא תעודה ויהיה לי גם פאבלי קי וגם פרייבט קי.
למעשה השרת מייצר לי את הפאבליקי לבקשה הזאת. עכשיו תסתכלו מה עוד חשוב שתדעו, סתם שתדעו לכם. אם תעשו פה רפרש, ראיתם פה התווסף משהו?
התווספה פה אופציה, איפה האופציה הזאתי? יש פה, התווספה פה אופציה. סרטיפיקט אינרולמנט רקוויסט, בקשות. אתם רואים? יש פה מאגר של בקשות ואתם רואים פה שיש בקשה לסייט אחד.
אתם יכולים לעשות דאבל קליק ולראות שזה בעצם פרייבט קי שיש לי לתעודה, אבל אין לי עדיין תעודה פאבליקי שמשורשר לזה. אתם רואים, אין לי פה עדיין פאבליקי שאישר לי את הדבר הזה.
יפה מאוד. אז זה זאת בעצם ה.. זה ה.. זה enrollment request, זה בקשות שהן בהמתנה. יפה מאוד. אני דרך אגב יכול לעשות עוד בקשה בהמתנה, תסתכלו, אני יכול ללכת ליוזר ולבקש תעודה ליוזר בצורה ידנית.
זה כדי שיוזר יזדהה עם תעודה מול האתר זה לא לצורך הססל זה כדי לזהות דוגמה שרק אני יוני נכנס לאיזשהו אזור מאוד מאוד סודי באתר לא רק עם שם וסיסמה. אני רוצה שהאתר ידרוש ממני תעודה דיגיטלית.
אז באזור של פרסונל אני יכול כיוזר לבוא מהמחשב שלי ולבקש בקשה custom request בקשה ידנית לתעודה דיגיטלית של יוזר אוקיי create custom request.
אני יוצר בקשה ידנית כיוזר עד עכשיו ראיתם את זה באוטומט אני חושב אין לי פה שום פוליסה כי אין לי פה אקטיב דירקטורי ואז אני אומר לו אין לי פה טמפליטים אין לי פה כלום ואז בתוך הבקשה אני מגיע ואומר לה איזה בקשה לדוגמה קוראים לו יוזר יוני סופר יוני אני אקרא לזה בקשה שנקראת לי יוזר סופר יוני בסאבג'קט אני מכניס כאילו כאילו
יש לי דומיין סופר יוני כאילו שם של אובייקט בצורת אלדאפ. יש פה עוד כל מיני פרמטרים שאני יכול להכניס. באקסטנצ'נס אני יכול להגיד לו למה אני רוצה את התעודה הזאתי.
לדוגמה, אני רוצה את התעודה הזאתי לאיזה שימוש. שימו לב, אני מייצר תעודה ידנית, את הבקשה הידנית לתעודה. לדוגמה, אני אומר לו שאני רוצה את התעודה הזאתי בשביל Client Authentication, אימות של היוזר.
יפה מאוד, Client Authentication אני עושה. עכשיו יכלתי להגיד גם קוד סיינינג וכל מיני מטרות שנוספות. הלאה, אני בתעודה שלי, בבקשה שלי, אומר, יש פה עוד פרמטרים שאני יכול לשחק איתם, אני מחפש משהו שהוא ככה אתם מכירים אותו ושיהיה קל להסביר,
אני לא רואה פה קוד זה, בסדר, אני חושב שזה מספיק. עשיתי בקשה רק לקליינט אוטיטיקיישן, אוקיי? יפה מאוד, קליינט אוטיטיקיישן. פרייבט קי, בפרייבט קי, מה לעשות עם ה-Private Key? אני יכול להגיד לו שאני רוצה איזה אלגוריתם הצפנה אני רוצה בבקשה.
Make Private Key Exportable שאפשר לעשות אקספורט ל-Private Key. גודל המפתח 1024 ועוד כל מיני אפשרויות שאתם משחקים לפי הצורך שלכם בבקשה. אני בחרתי רק בעצם שזה יהיה Client Authentication וזהו.
Client Authentication ואקספורט למפתח וזה נקרא, נקרא לזה user request, סופר יוני נקרא לזה. למעשה יש לי כרגע שתי בקשות בקנה, בקשה אחת ששרת רוצה לקבל תעודה דיגיטלית כדי לאמת את השרת מול הלקוחות שמתחברים אליו ולהצפין את המידע, ובקשה שנייה שאיזשהו יוזר שבא להתחבר יזדהה
עם תעודה דיגיטלית. עכשיו לא על כל השרת, רק על תיקייה מסוימת. יפה מאוד, ברגע שאני מייצר בקשה כזאת, אתם יכולים לראות גם פה, גם פה, נראה לי אני אראה את הבקשה הזאת.
אני צריך לראות את הבקשה הזאתי גם פה אם היא נוצרה הנה קליינט גם צריכה להיות בקשה פה באחד המאגרים תכף נמצא את זה סרטיפיקייט ריקוויסט למה הוא לא עשה לי את הבקשה סרטיפיקייט אנרולמנט ריקוויסט נכון הנה אתם רואים בקשה של סופר יוני זאת אומרת הבקשות האלו נשמרות במאגר בתוך דאטאבייס של תעודות דיגיטליות הדאטאבייס של תעודות דיגיטליות מחולק לאזורים גדולים, יוזרים
ולוקל קומפיוטר, ובפנים יש מיני מאגרים. עוד מעט אנחנו נראה פקודה גם בדוס שעושה אותו דבר, סרט יוטיל, פקודת סרט יוטיל, אולי אני אראה לכם בהמשך.
כרגע יש לי שתי בקשות, אני לוקח את שתי הבקשות האלו, אם אתם רוצים לראות את הבקשה של יוני, סופר יוני, ככה היא נראית, ככה היא נראית הבקשה.
אני לוקח את כל הדבר הזה, את כל הקובץ הזה, ושולח למי שמנפיק את התעודות, מי שחותם על התעודות, נניח גורדיידי, או שאני נכנס לאתר שלהם ומדביק את זה, אוקיי?
יפה. עכשיו אנחנו מחליפים כובע והולכים לראות, אנחנו עכשיו האתר שאליו שלחו את הבקשה, אוקיי? אנחנו מחליפים כובעים.
אז אנחנו רוצים להיות אלו שמנפיקים תעודות, כמובן שחשוב שכל העולם יסמוך עלינו. אז אנחנו מתוך הנחה שכל העולם סומך עלינו. עכשיו, זה יכול להיות העולם הפנימי הקטן שלי, בדומיין שלי או בחברה שלי, שהמפתח של CA שלי, הפאבלי קי של CA שלי, מותקן בכל התחנות.
אז יש פה וויזרד קטן שאני מריץ, אחרי ההתקנה. אם לא הייתי מריץ את הוויזרד הזה, זה פשוט לא היה עובד. אני יכול להראות לכם, בואו נעשה פה לסגור את זה.
נסגור את זה כאילו שכחתי להריץ את זה. ואז אם אתם שוכחים להריץ את זה, אתם באים לפה, ויש לכם פה כזה צהוב, תראה, Configuration Required, הגדרות דרושות.
אם אתם לא תעשו את זה, לא עובד אצלכם. בעצם לראות מה זה לא עובד, הכלי של CA, אתם רואים הכלי של CA? לא עובד, אוקיי? פשוט הכלי של CA לא עובד אצלכם, כי אתם חייבים להפעיל את הסרוויס ולהגדיר אותו.
דומה להתקנה של Active Directory בשרת. יפה מאוד, בואו נריץ את הדבר הזה סוף סוף, איך אנחנו מריצים את זה. אני פה קצת עם הממשק הזה עוד לא מספיק, הוא שואל אותי על איזה שרת להריץ את זה, אני עושה לו נקסט.
מה להגדיר? יש לי רק דבר אחד פה מותקן, אז רק אותו אני מגדיר. Enterprise CA, אני לא יכול להגדיר כי אין לי דומיין, אני לא בדומיין, אני לא ממבר בדומיין, אז אני לא יכול לשמור נתונים באקטיב דירקטורי, אז אני חייב להיות stand alone.
נקסט. האם אני root CA או שאני תת-CA אצל מישהו אחר? אני ה-root, אני המייסד של השושלת. האם יש לי פרייבט-קי מהתקנה קודמת? האם כבר סומכים עליי ויש לי גיבוי?
או שאני מתחיל מפתחות חדשים? אם אני מתחיל מפתח חדש, אני חייב לקחת את ה-Public Key ולהפיץ אותו לכל היוזרים שלי, אחרת הם יקבלו הודעות אדומות.
מה אורך ההצפנה של המפתח של CA עצמו? איך קוראים ל-CA? GoDaddy 2, אני קורא לעצמי GoDaddy 2, או כמו שעשיתי לפני כן תעודות בשקל, אני אקרא לעצמי GoDaddy 2. התעודה שלי של האבא הראשי תהיה תקפה ל-50 שנה אחרת אם הייתי עושה 5 שנים עוד 5 שנים הייתי צריך להחליף את הפאבליקי אצל
כל היוזרים שבאמת זה לא בעיה אם יש לנו אקטיב דירקטורים אבל בפועל הרבה מכשירי פלאפון מתחילים לסמוך על התעודה הזאתי ואז אני לא רוצה להתחיל לכל הפלאפונים להתחיל להגדיר את זה ובשעה טובה ומוצלחת יש לנו CA עובד כמו אם יש לנו CA stand alone עובד יופי אין לנו אף תעודה ב-issued לא חילקנו לאף אחד תעודה אף אחד לא ממתין לנו בפנדינג ואף תעודה לא נכשלה יופי נבוא
ל-CA ונגיד all task submit new request תקבל בקשה חדשה אוקיי קבל בקשה ואז הוא אומר טוב תביא לי קובץ עם הבקשות אז יש לנו פה שני קבצים בקשה ועוד אחד שאנחנו לא רואים כי הסיומת שלו לא נכונה נעשה all files ואז נראה סופר יוני נתחיל מבקשה לשרת ה-IS עושים דאבל קליק לקובץ של הבקשה והנה
הוא הגיע לפנדינג נעשה עכשיו עוד סאביט ניו רקווסט וכוכבית סופר יוני ויש לנו פה שתי בקשות שממתינות לנו גם בקשה מספר 2 ובקשה מספר 3 אנחנו יכולים לעיין בבקשות האלו ואם אנחנו מחליטים לאשר את הבקשות האלו פה אני יכול לעשות view attributes לראות את השדות שהוא הכניס לי ואז אני רואה פה בדיוק את השדות שהוא הכניס ואיזה key usage הוא ביקש
ואני מחליט אם אני מאשר את הבקשה שלו או לא יפה אז אני עושה לו רייט קליק אולט טאסק אישיו שאני מאשר את זה ברגע שאני מאשר את זה זה קפץ לי אישיו ויש לי פה תעודה שתואמת לבקשה התעודה שתואמת לבקשה זה התעודה שימו לב אין לי את הפרייבט כי אני כשרת אין לי את הפרייבט כי של היוזר זה מאוד חשוב
אז אני יכול לעשות קופי טו פייל ולשלוח לו חזרה את הקובץ סרטיפיקייטס הפאבליקי איי אס פאבליק קי סרטיפיקייט סרטיפיקייט זה למעשה התעודה הדיגיטלית פאבליקי של התעודה הדיגיטלית שמשלימה את הבקשה יופי נקסט פיניש בואו נאשר את הבקשה השנייה עושים פה רייט קליק אול טאסק אישיו סרטיפיקייט נראה אם זה הצליח הצליח עכשיו אם הייתי עושה משהו לא טוב זה היה נופל לפיילד
הייתי פה רואה בקשה שנכשלה ואז אני לוקח את הבקשה השלישית ועושה אופן הוא רואה את הבקשה של היוזר יוני ביקש סופר יוזר יוני ועושה לה קופי טו פייל ושם אותה ליוני סופר יוזר פאבליקי לדוגמה למה אני יכול להשתמש בזה אני רוצה לאפשר רק לעצמי להתחבר לsql של החברה ולוודא שזה באמת אני אז אני יכול להגיד מי שמתחבר מבחוץ לsql של החברה חייב להציג לי תעודה דיגיטלית כל מיני דברים רגישים אני מאמת
לא רק על ידי שם וסיסמה שאפשר לגנוב לה שים קי לוגר להציץ וסיסמה אלא תעודה דיגיטלית שבן אדם אחראי לה שהיא רק במחשב שלו או רק על הדיסק און קי שלו יופי אחרי שgo daddy 2 שזה אנחנו קיבל את הבקשות השאר אותם עשה קובץ סרטיפיקט עליהם ושלח לי