Avanpost PKI : Подключение Microsoft CA

Общая информация

Интеграционное решение Avanpost PKI с Microsoft CA является двухкомпонентным и состоит из следующих компонент:

  • Служба Avanpost.Pki.Msca.PublicApi - служба ОС Windows, отвечающая непосредственно за взаимодействие с экземпляром Microsoft CA используя COM-, RPC-вызовы. По умолчанию служба размещается на сервере Microsoft CA;
  • Avanpost.Pki.Server.CA.MsCa - программная библиотека, входящая в состав Avanpost PKI и реализующая программный интерфейс ICA Avanpost PKI. Отвечает за взаимодействие Avanpost PKI Server со службой Avanpost.Pki.Msca.PublicApi с использованием rest api

Такая архитектура интеграционного решения позволяет подключить к Avanpost PKI как не доменные экземпляры Microsoft CA, так и экземпляры Microsoft CA из разных доменов.

Функции интеграционного решения

Интеграционное решение Avanpost PKI с Microsoft CA реализует выполнение следующих функций по запросу Avanpost PKI:

  • Выпуск сертификата;
  • Отзыв сертификата;
  • Приостановка действия сертификата;
  • Возобновление действия сертификата

Поддерживаемые версии Microsoft CA

Avanpost PKI поддерживает Microsoft CA, установленный на ОС Windows Server 2008 и выше. Поддерживается как Standalone, так и Enterprise конфигурация Microsoft CA.

Установка и настройка

Подготовка к установке

Распакуйте архив с дистрибутивом коннектора Msca.zip

Установка службы Avanpost.Pki.Msca.PublicApi

Подготовка среды

Установите ASP.NET 6 runtime. Загрузить последнюю версию можно здесь.

Перемещение папки publish

В папке publish лежит исполняемый файл и его зависимости. Переместите содержимое папки в C:\\AP\Avanpost.Pki.Msca.PublicApi.

После распаковки отредактируйте файл nlog.config:

  • найдите закомментированную строку <!--<variable name="basedir" value="C:\AP\AvanpostLogs"/>-->;
  • раскомментируйте ее;
  • исправьте ее на C:\AP\Avanpost.Pki.Msca.PublicApi.

Создание службы Avanpost.Pki.Msca.PublicApi

Выполните команду:

Установка Msca.PublicApi
Avanpost.Pki.Msca.PublicApi.exe service install -publicIp <public ip> -port <port>

где <public ip> - ip стенда, на котором разворачиваете службу,

<port> - порт, который будет слушать служба.

Важно!

Данная команда должна выполняться от имени учетной записи локального администратора.

Установка Avanpost.Pki.Server.CA.MsCa

Библиотека Avanpost.Pki.Server.CA.MsCa идет в поставке дистрибутива Avanpost PKI (Avanpost.PKI.Server) и не требует дополнительных действий по установке.

Настройка Удостоверяющего центра в Avanpost PKI

Настройка экземпляра УЦ

Для настройки Удостоверяющего центра Microsoft CA в Avanpost PKI аутентифицируйтесь в веб-приложении Avanpost PKI Web от имени администратора и перейдите в раздел Настройки - Настройки УЦ:

  1. Добавьте новый УЦ нажав "Добавить новый УЦ...";
  2. Введите имя нового УЦ (например, "Microsoft CA АО "Аванпост");
  3. Выберите Тип УЦ - "УЦ Microsoft CA";
  4. Заполните параметры конфигурации Avanpost.Pki.Server.CA.MsCa:
    1. Адрес сервера с установленной службой Avanpost.Pki.Msca.PublicApi;

    2. Порт подключения к службе Avanpost.Pki.Msca.PublicApi;

    3. Имя шаблона сертификатов УЦ Microsoft***;

  5. Сохраните настройку УЦ

***

Параметр "Имя шаблона сертификатов УЦ Microsoft" задается только в случае подключения Microsoft CA в конфигурации Enterprise. Так же параметр может быть задан на уровне настройки шаблона сертификата в Avanpost PKI.

Имя шаблона сертификатов можно узнать перейдя в оснастку управления шаблонами Microsoft CA - Certificate Templates Console, выбрав необходимый шаблоны, открыв его свойства и перейдите на вкладку General. Имя шаблона указано в атрибуте "Template name":

Дополнительно обратите внимание, что при выпуске сертификатов по шаблонам необходимо на вкладке Subject Name свойств шаблона сертификата установить опцию "Supply in the request". Установка анной опции необходима для того, чтобы Subject Name сертификата был сформирован в точности по данным, переданным от AVanpost PKI, а не по данным Microsoft Active Directory.

Настройка шаблона сертификата Microsoft CA в шаблоне сертификата Avanpost PKI

Microsoft CA в конфигурации Enterprise поддерживает возможность выпуска сертификатов по различным шаблонам. Для настройки одного из данных шаблонов через Avanpost PKI необходимо в шаблон сертификата в Avanpost PKI добавить информацию о шаблоне Microsoft CA в разделе Настройка - Шаблоны сертификатов - УЦ, в поле "Имя шаблона":

Параметр "Имя шаблона" задается только в случае подключения Microsoft CA в конфигурации Enterprise. Так же параметр может быть задан на уровне настройки шаблона сертификата в Avanpost PKI.

Обсуждение