Übersicht über das Zertifikatsmanagement
In der Regel erhalten Benutzer auf der Grundlage ihres Benutzernamens und Kennworts Zugriff auf Ressourcen von einer Anwendung oder einem System. Sie können Zertifikate auch verwenden, um Sitzungen zwischen verschiedenen Servern und Benutzern zu authentifizieren und zu autorisieren. Die zertifikatbasierte Authentifizierung über eine SSL-Verbindung (Secure Sockets Layer) ist die sicherste Art der Authentifizierung. Die Zertifikate können auf einer Smartcard, einem USB-Token oder der Festplatte eines Computers gespeichert werden. Benutzer ziehen normalerweise ihre Smartcard durch, um sich beim System anzumelden, ohne ihren Benutzernamen und ihr Passwort einzugeben.
Die Junos Space Network Management-Plattform wird mit dem standardmäßigen kennwortbasierten Authentifizierungsmodus ausgeliefert. Administratoren können die Standardanmeldeinformationen verwenden, um sich bei der Junos Space Platform anzumelden. Mit der Junos Space Platform können Sie die zertifikatsbasierte Authentifizierung und ab Version 15.2R1 der Junos Space Network Management-Plattform auch die parameterbasierte X.509-Authentifizierung zur Authentifizierung von Benutzern verwenden. Diese Authentifizierungsmodi können im Arbeitsbereich Verwaltung im Abschnitt Benutzer auf der Seite Anwendungseinstellungen ändern konfiguriert werden.
Standardmäßig verwendet die Junos Space Platform ein selbstsigniertes SSL-Zertifikat. Wenn Sie jedoch Ihr eigenes benutzerdefiniertes Zertifikat verwenden müssen, können Sie Ihr benutzerdefiniertes Zertifikat im X.509- oder PKCS#12-Format hochladen. Im vollständigen Zertifikatsvalidierungsmodus wird das gesamte X.509-Zertifikat während des Anmeldevorgangs validiert und Sie müssen Benutzerzertifikate für alle Benutzer hochladen.
Bei der parameterbasierten X.509-Authentifizierung können Sie bis zu vier X.509-Zertifikatparameter pro Benutzer angeben, die während des Anmeldevorgangs validiert werden. Mit der parameterbasierten X.509-Authentifizierung können Sie vermeiden, Zertifikate für neue Benutzer auf die Junos Space Platform hochzuladen. Junos Space Platform extrahiert die Werte der Parameter für vorhandene Benutzer aus den Zertifikaten, die beim Erstellen der Benutzer geladen wurden. Sie können die X.509-Zertifikatparameter im Abschnitt X509-Certificate-Parameters auf der Seite Anwendungseinstellungen ändern im Arbeitsbereich Administration definieren.
Es wird jeweils nur ein Authentifizierungsmodus unterstützt, und alle Benutzer werden mit dem ausgewählten Authentifizierungsmodus authentifiziert.
In den folgenden Abschnitten finden Sie Informationen zum Workflow für Authentifizierungsmodi, benutzerdefinierte Junos Space-Serverzertifikate, Benutzerzertifikate, Zertifikate der Zertifizierungsstelle (CA), Zertifikatsperrlisten (CRL) sowie Bedingungen für den Ablauf und die Ungültigkeit von Zertifikaten auf der Junos Space Platform.
Workflow für Authentifizierungsmodi
Die Schritte zum Herstellen einer SSL-Verbindung für die verschiedenen Arten der Authentifizierung sind wie folgt:
-
Benutzernamen- und kennwortbasierte Authentifizierung:
-
Ein Client fordert Zugriff auf den Junos Space Server an.
-
Der Junos Space Server präsentiert dem Client sein Zertifikat.
-
Der Client überprüft das Zertifikat des Servers.
-
Wenn die Überprüfung des Zertifikats erfolgreich ist, sendet der Client seinen Benutzernamen und sein Kennwort an den Server.
-
Der Server überprüft die Anmeldeinformationen des Clients.
-
Wenn die Überprüfung erfolgreich ist, gewährt der Server Zugriff auf die vom Client angeforderte geschützte Ressource.
-
-
Zertifikatbasierte Authentifizierung:
-
Ein Client fordert Zugriff auf den Junos Space Server an.
-
Der Junos Space Server präsentiert dem Client sein Zertifikat.
-
Der Client überprüft das Zertifikat des Servers.
-
Wenn die Überprüfung des Zertifikats erfolgreich ist, sendet der Client sein Zertifikat an den Server.
-
Der Server überprüft das Zertifikat des Clients.
-
Wenn die Überprüfung erfolgreich ist, gewährt der Server Zugriff auf die vom Client angeforderte geschützte Ressource.
Wenn die Überprüfung nicht erfolgreich ist, zeigt die Junos Space Platform dem Benutzer eine Seite mit dem Anmeldefehler an.
-
-
X509-Zertifikatparameter-basierte Authentifizierung:
-
Ein Client fordert Zugriff auf den Junos Space Server an.
-
Der Junos Space Server präsentiert dem Client sein X.509-Zertifikat.
-
Der Client überprüft das X.509-Zertifikat des Servers.
-
Wenn die Überprüfung des Zertifikats erfolgreich ist, sendet der Client sein Zertifikat an den Server.
-
Der Server extrahiert die angegebenen Werte aus dem X.509-Zertifikat des Clients und validiert die Werte mit denen in der Junos Space Platform-Datenbank.
-
Wenn die Überprüfung erfolgreich ist, gewährt der Server Zugriff auf die vom Client angeforderte geschützte Ressource.
Wenn die Überprüfung nicht erfolgreich ist, zeigt die Junos Space Platform dem Benutzer eine Seite mit dem Anmeldefehler an.
-
Bei Verwendung der vollständigen zertifikatbasierten oder zertifikatparameterbasierten Authentifizierung wird die Sitzung beendet, wenn die Smart or Secure Card (mit dem Zertifikat und dem privaten Schlüssel), die für die Anmeldung verwendet wird, vom Clientsystem getrennt oder entfernt wird.
Benutzerdefinierte Junos Space Server-Zertifikate
Standardmäßig verwendet die Junos Space Network Management-Plattform ein selbstsigniertes SSL-Zertifikat. Wenn Sie jedoch Ihr eigenes benutzerdefiniertes Zertifikat verwenden müssen, wechseln Sie zur Seite Administration > Plattformzertifikat , und laden Sie Ihr benutzerdefiniertes X.509- oder PKCS#12-Zertifikat auf die Seite Plattformzertifikat hoch.
X.509 ist ein weit verbreiteter Standard zum Definieren digitaler Zertifikate. In der Regel werden in X.509 das Zertifikat und der Schlüssel getrennt gespeichert. Der private Schlüssel kann entweder verschlüsselt oder unverschlüsselt sein. Obwohl eine Passphrase optional ist, ist sie erforderlich, wenn der private Schlüssel verschlüsselt ist.
Das PKCS-#12-Format (Personal Information Exchange Syntax Standard) ist ein weit verbreitetes Format für digitale Zertifikate im Windows-Betriebssystem. Dieser Standard legt ein portables Format zum Speichern oder Transportieren der privaten Schlüssel, Zertifikate und Passphrasen eines Benutzers in einer verschlüsselten Datei fest.
Anweisungen zum Hochladen Ihres benutzerdefinierten Zertifikats finden Sie unter Installieren eines benutzerdefinierten SSL-Zertifikats auf dem Junos Space Server.
Zertifikat-Attribute
Tabelle 1 listet die Attribute auf, die häufig in einem Zertifikat angezeigt werden.
|
Zertifikat-Attribut |
Beschreibung |
|---|---|
|
|
"OID.1.2.840.113549.1.9.1" ist der ASN.1-Objektbezeichner, der zur Identifizierung dieses Signaturalgorithmus verwendet wird. "user1@10.205.57.195" ist die E-Mail-Adresse des Zertifikatsinhabers. |
|
|
Allgemeiner Name des Zertifikatsinhabers |
|
|
Name der Organisationseinheit, zu der der Zertifikatsinhaber gehört Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Organisation, zu der der Zertifikatsinhaber gehört Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Standort des Zertifikatsinhabers Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Wohnsitzstaat des Zertifikatsinhabers Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Wohnsitzland des Zertifikatsinhabers Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
"OID.1.2.840.113549.1.9.1" ist der ASN.1-Objektbezeichner, der zur Identifizierung dieses Signaturalgorithmus verwendet wird. "user1@10.205.57.195" ist die E-Mail-Adresse des Ausstellers. |
|
|
Allgemeiner Name des Zertifikatausstellers Es ist die IP-Adresse des Systems. Der Common Name (CN) muss mit dem Hostnamen des Ausstellers dieses Zertifikats übereinstimmen. Im Allgemeinen sollte es der Hostname des Ausstellers sein. |
|
|
Name der Organisationseinheit, zu der der Zertifikatsaussteller gehört Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Organisation, zu der der Zertifikatsaussteller gehört Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Standort des Zertifikatsausstellers Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Wohnsitzstaat des Zertifikatausstellers Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Wohnsitzland des Zertifikatausstellers Das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform enthält beispielsweise " |
|
|
Algorithmus, der von der Zertifizierungsstelle zum Signieren des Zertifikats verwendet wird Beispielsweise kann das von Juniper Networks signierte SSL-Zertifikat der Junos Space Network Management-Plattform "" für dieses Attribut enthalten |
|
|
Seriennummer des Zertifikats |
|
|
Datum, an dem das Zertifikat gültig wird |
|
|
Datum, an dem das Zertifikat ungültig wird |
Benutzer-Zertifikate
Wenn Sie den zertifikatbasierten Authentifizierungsmodus verwenden, müssen Sie für jeden Benutzer das entsprechende Zertifikat für den Junos Space-Server hochladen, um den Benutzer zu authentifizieren. Sie können einem Benutzer ein Zertifikat zuordnen, wenn Sie den Benutzer erstellen oder die Benutzereinstellungen ändern. Um ein Zertifikat mit einem vorhandenen Benutzer zu verknüpfen, wechseln Sie zu Rollenbasierte Zugriffssteuerung > Benutzerkonten > Benutzer auswählen > Seite Benutzer ändern .
Anweisungen zum Hochladen eines Benutzerzertifikats finden Sie unter Hochladen eines Benutzerzertifikats.
CA-Zertifikate und CRLs
Ein Zertifizierungsstellenzertifikat (CA) oder das Stammzertifikat wird verwendet, um ein Benutzerzertifikat zu überprüfen. Der private Schlüssel des Stammzertifikats wird verwendet, um die Benutzerzertifikate zu signieren, die dann die Vertrauenswürdigkeit des Stammzertifikats erben.
Eine Zertifikatsperrliste (Certificate Revocation List, CRL), die von einer CA verwaltet wird, ist eine Liste von Zertifikaten, die von dieser CA vor ihrem geplanten Ablaufdatum ausgestellt und widerrufen wurden, zusammen mit den Gründen für den Widerruf. Eine CA kann ein Zertifikat aus verschiedenen Gründen widerrufen, z. B. wenn der im Zertifikat angegebene Benutzer nicht mehr berechtigt ist, den Schlüssel zu verwenden, der im Zertifikat angegebene Schlüssel möglicherweise kompromittiert wurde, ein anderes Zertifikat das aktuelle Zertifikat ersetzt usw.
Anweisungen zum Hochladen von CA-Zertifikaten oder Zertifikatsperrlisten finden Sie unter Hochladen eines CA-Zertifikats und einer Zertifikatsperrliste.
Ändern des Benutzerauthentifizierungsmodus
Sie können den Authentifizierungsmodus von benutzernamen- und kennwortbasiert in zertifikatbasiert oder X.509-Zertifikatparameter-basiert über die Junos Space-Benutzeroberfläche oder über die CLI des VIP-Knotens ändern. Sie müssen die Zertifikate der Zertifizierungsstelle (CA) und die persönlichen Zertifikate oder Benutzerzertifikate (das Junos Space-Serverzertifikat ist optional) auf den Junos Space-Server hochladen, bevor Sie den Authentifizierungsmodus ändern. Die Junos Space Platform überprüft alle Zertifikate, bevor sie hochgeladen werden. Ungültige oder schlecht formatierte Zertifikate werden nicht hochgeladen.
Wenn der Authentifizierungsmodus geändert wird, werden alle vorhandenen Benutzersitzungen mit Ausnahme der Sitzung des aktuellen Administrators, der den Authentifizierungsmodus ändert, automatisch beendet, und die Benutzer müssen sich abmelden. Sie müssen die Junos Space Platform nicht neu starten, wenn Sie von einem Authentifizierungsmodus in einen anderen wechseln.
Anweisungen zum Ändern der Authentifizierungsmodi finden Sie unter Ändern der Benutzerauthentifizierungsmodi.
Ablauf des Zertifikats
Wenn das X.509 Junos Space Server-Zertifikat innerhalb von 30 Tagen nach dem aktuellen Datum ablaufen soll, zeigt die Junos Space Platform bei jeder Anmeldung des Administrators eine Warnmeldung an. Zum Beispiel:Your platform certificate is going to expire on May 24, 2015. Space will automatically use default certificate if your certificate will expire within 1 day. Change platform certificate using "Administration > Platform Certificate" page. Would you like to change it now?
Führen Sie als Administrator eine der folgenden Aktionen aus:
-
Neues Zertifikat hochladen: Wählen Sie Administration > Plattformzertifikat aus, und laden Sie das Zertifikat aus dem Bereich Zertifikat hochladen hoch. Junos Space Platform löscht das alte Benutzerzertifikat und beginnt mit der Verwendung des neu hochgeladenen Zertifikats.
-
Standardzertifikat verwenden: Wählen Sie Administration > Plattformzertifikat aus, und klicken Sie im Bereich Aktuelles Plattformzertifikat auf Standardzertifikat verwenden .
Wenn das X.509 Junos Space Server-Zertifikat in einem Tag abläuft, verwendet die Junos Space-Plattform das standardmäßige selbstsignierte Zertifikat. Das selbstsignierte SSL-Zertifikat der Junos Space Platform, das während der Installation erstellt wird, hat eine Gültigkeit von fünf Jahren.
Wenn ein Benutzerzertifikat innerhalb von 30 Tagen nach dem aktuellen Datum ablaufen soll, zeigt die Junos Space-Plattform eine Warnmeldung an, wenn sich der Benutzer im zertifizierungsbasierten Authentifizierungsmodus angemeldet hat. Weitere Informationen finden Sie unter Hochladen eines Benutzerzertifikats.
Ungültige Benutzerzertifikate
Ein Benutzerzertifikat kann aus folgenden Gründen ungültig werden:
-
Das Zertifikat ist abgelaufen.
-
Das Zertifikat läuft innerhalb eines Tages ab.
-
Das Zertifikat ist erst später gültig.
-
Das Zertifikat stimmt nicht mit dem privaten Schlüssel überein.
-
Das Zertifikat oder die Datei mit dem privaten Schlüssel ist beschädigt.
-
Dasselbe Zertifikat ist auf dem Junos Space Server vorhanden.
Wenn ein Benutzer versucht, sich mit einem ungültigen oder abgelaufenen Zertifikat anzumelden, zeigt die Junos Space Platform eine Seite mit Anmeldefehlern mit der folgenden Fehlermeldung an: No user mapped for this certificate.