First-Gen-Mandanten – Konvertieren einer Zertifikatsdatei in das PEM-Format, das für First-Gen-Horizon Cloud-Pod-Bereitstellungen erforderlich ist

Die Unified Access Gateway-Funktion in Ihrem First-Gen-Pod erfordert SSL für Clientverbindungen. Wenn der Pod eine Unified Access Gateway-Konfiguration aufweisen soll, benötigt der Pod-Bereitstellungsassistent eine Datei im PEM-Format, um die SSL-Serverzertifikatskette für die Unified Access Gateway-Konfiguration des Pods bereitzustellen. Die PEM-Datei muss die gesamte Zertifikatskette einschließlich des privaten Schlüssels enthalten: das SSL-Serverzertifikat, alle erforderlichen Zwischenzertifizierungsstellen-Zertifikate, das Stamm-Zertifizierungsstellenzertifikat und den privaten Schlüssel.

Wichtig: Diese Informationen gelten nur, wenn Sie auf eine First-Gen-Mandantenumgebung in der First-Gen-Steuerungsebene zugreifen können. Wie im KB-Artikel 92424 beschrieben, hat die First-Gen-Steuerungsebene das Ende der Verfügbarkeit (End of Availability, EOA) erreicht. Weitere Informationen finden Sie in diesem Artikel.

Weitere Informationen zu den in Unified Access Gateway verwendeten Zertifikatstypen finden Sie im Thema Auswählen des richtigen Zertifikattyps in der Unified Access Gateway-Produktdokumentation.

Im Schritt des Pod-Bereitstellungsassistenten für die Gateway-Einstellungen laden Sie eine Zertifikatsdatei hoch. Während des Bereitstellungsvorgangs wird diese Datei an die Konfiguration der bereitgestellten Unified Access Gateway-Instanzen übergeben. Wenn Sie den Upload-Schritt in der Schnittstelle des Assistenten ausführen, überprüft dieser, ob die hochgeladene Datei die folgenden Anforderungen erfüllt:

• Die Datei kann im PEM-Format analysiert werden.
• Sie enthält eine gültige Zertifikatskette und einen privaten Schlüssel.
• Dieser private Schlüssel stimmt mit dem öffentlichen Schlüssel des Serverzertifikats überein.

Wenn Sie für Ihre Zertifikatsinformationen nicht über eine PEM-Datei verfügen, müssen Sie Ihre Zertifikatsinformationen in eine Datei konvertieren, die den oben genannten Anforderungen entspricht. Sie müssen Ihre Nicht-PEM-Datei in das PEM-Format konvertieren und eine einzelne PEM-Datei erstellen, die die vollständige Zertifikatskette plus privaten Schlüssel enthält. Sie müssen die Datei auch bearbeiten, um ggf. zusätzliche Informationen zu entfernen, damit der Assistent keine Probleme beim Parsen der Datei hat. Die allgemeinen Schritte sind:

1. Konvertieren Sie Ihre Zertifikatsinformationen in das PEM-Format und erstellen Sie eine einzelne PEM-Datei, die die Zertifikatskette und den privaten Schlüssel enthält.
2. Bearbeiten Sie die Datei, um ggf. zusätzliche Zertifikatinformationen zu entfernen, die außerhalb der Zertifikatinformationen zwischen den -----END CERTIFICATE----- einzelnen Markierungen und ----BEGIN CERTIFICATE---- liegen.

Bei den Codebeispielen in den folgenden Schritten wird davon ausgegangen, dass Sie mit einer Datei namens mycaservercert.pfx beginnen, die das Stammzertifizierungsstellenzertifikat, Zwischenzertifizierungsstellenzertifikatinformationen und den privaten Schlüssel enthält.

Voraussetzungen

• Stellen Sie sicher, dass Sie über Ihre Zertifikatsdatei verfügen. Die Datei kann im PKCS#12-Format (.p12 oder .pfx) oder im Java JKS- oder JCEKS-Format vorliegen.

  Wichtig: Alle Zertifikate in der Zertifikatskette müssen gültige Zeiträume aufweisen. Für die Unified Access Gateway-VMs ist es erforderlich, dass alle Zertifikate in der Kette, einschließlich aller Zwischenzertifikate, über gültige Zeiträume verfügen. Wenn ein Zertifikat in der Kette abgelaufen ist, können beim Hochladen des Zertifikats in die Unified Access Gateway-Konfiguration später unerwartete Fehler auftreten.

• Machen Sie sich mit dem Befehlszeilentool vertraut, mit dem openssl Sie das Zertifikat konvertieren können. Die Dokumentation finden Sie auf der Website des Anbieters, bei dem Sie Ihre OpenSSL-Software erworben haben, oder suchen Sie die Handbuchseiten unter openssl.org.

• Wenn das Zertifikat im Java JKS- oder JCEKS-Format vorliegt, machen Sie sich mit dem Java-Befehlszeilentool keytool vertraut, um das Zertifikat zuerst in das Format oder .pks zu .p12 konvertieren, bevor es in .pem Dateien konvertiert werden kann.

Vorgehensweise

1. Wenn Ihr Zertifikat im Java JKS- oder JCEKS-Format vorliegt, verwenden Siekeytool, um das Zertifikat in das Format oder .pks zu .p12 konvertieren.

   Wichtig: Verwenden Sie für diese Konvertierung dasselbe Quell- und Zielkennwort.

2. Wenn Ihr Zertifikat im Format PKCS#12 (.p12 oder .pfx) vorliegt oder in das Format PKCS#12 konvertiert wurde, verwenden Sie openssl , um das Zertifikat in eine .pem Datei zu konvertieren.

   Wenn der Name des Zertifikats beispielsweise ist mycaservercert.pfx, können Sie die folgenden Befehle verwenden, um das Zertifikat zu konvertieren:

   
   openssl pkcs12 -in mycaservercert.pfx -nokeys -out mycaservercertchain.pem
   openssl pkcs12 -in mycaservercert.pfx -nodes -nocerts -out mycaservercertkey.pem
   
   

   Mit der ersten Zeile werden die Zertifikate in mycaservercert.pfx abgerufen und im PEM-Format in mycaservercertchain.pemgeschrieben. Mit der zweiten Zeile oben wird der private Schlüssel von mycaservercert.pfx abgerufen und im PEM-Format in geschrieben mycaservercertkey.pem

3. Wenn der private Schlüssel nicht im RSA-Format vorliegt, konvertieren Sie den privaten Schlüssel in das RSA-Format für private Schlüssel.

   Die Unified Access Gateway-Instanzen erfordern das RSA-Format für private Schlüssel. Um zu überprüfen, ob Sie diesen Schritt ausführen müssen, überprüfen Sie Ihre PEM-Datei und prüfen Sie, ob die Informationen zum privaten Schlüssel mit beginnen

   -----BEGIN PRIVATE KEY-----
   

   Wenn der private Schlüssel mit dieser Zeile beginnt, sollten Sie den privaten Schlüssel in das RSA-Format konvertieren. Wenn der private Schlüssel mit -----BEGIN RSA PRIVATE KEY-----beginnt, müssen Sie diesen Schritt nicht ausführen, um den privaten Schlüssel zu konvertieren.

   Führen Sie diesen Befehl aus, um den privaten Schlüssel in das RSA-Format zu konvertieren.

   openssl rsa -in mycaservercertkey.pem -check -out mycaservercertkeyrsa.pem
   

   Der private Schlüssel in der PEM-Datei liegt nun im RSA-Format vor (-----BEGIN RSA PRIVATE KEY----- und -----END RSA PRIVATE KEY-----).

4. Kombinieren Sie die Informationen in der PEM-Datei der Zertifikatskette und der PEM-Datei des privaten Schlüssels zu einer einzigen PEM-Datei.

   Das folgende Beispiel zeigt ein Beispiel, bei dem der Inhalt von mycaservercertkeyrsa.pem (der private Schlüssel im RSA-Format) zuerst und dann der Inhalt von mycaservercertchain.pem, Ihrem primären SSL-Zertifikat, gefolgt von einem Zwischenzertifikat, gefolgt vom Stammzertifikat, aufgeführt wird.

   
   -----BEGIN CERTIFICATE-----
   .... (your primary SSL certificate)
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   .... (the intermediate CA certificate)
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   .... (the trusted root certificate)
   -----END CERTIFICATE-----
   -----BEGIN RSA PRIVATE KEY-----
   .... (your server key from mycaservercertkeyrsa.pem)
   -----END RSA PRIVATE KEY-----
   

   Hinweis: Zuerst muss das Serverzertifikat angegeben werden, dann folgen alle Zwischenzertifikate und schließlich das vertrauenswürdige Stammzertifikat.

5. Wenn zwischen den BEGIN Markern und END unnötige Zertifikateinträge oder irrelevante Informationen vorhanden sind, bearbeiten Sie die Datei, um diese zu entfernen.

Ergebnisse

Die resultierende PEM-Datei entspricht den Anforderungen des Pod-Bereitstellungsassistenten.