Für Unternehmen Für Privatnutzer

← Zur FAQ-Übersicht

Enterprise Server

Serverzertifikat in Version 19 erstellen oder erneuern (CNG)

Weitere Artikel in dieser Kategorie Read this article in English

In Version 19 verwendet der Enterprise Server für Zertifikate die Windows-eigene Kryptografie-Schnittstelle CNG („Microsoft Software Key Storage Provider") anstelle von OpenSSL. Serverzertifikate erstellen und erneuern Sie am einfachsten mit dem integrierten Assistenten im Server-Manager: Er erzeugt auf Wunsch ein selbstsigniertes Stammzertifikat (Root-CA) und signiert damit Serverzertifikate für den Hauptserver (TCP) und den REST-Server (HTTPS).

Neues Zertifikat mit dem Assistenten erstellen

  1. Starten Sie den Assistenten über Extras → Serverzertifikat erstellen.

  2. Wählen Sie im ersten Schritt die Stammzertifikat-Option: Neues Stammzertifikat erstellen (erstellt ein selbstsigniertes Stammzertifikat/Root-CA) oder Vorhandenes Stammzertifikat verwenden (empfohlen). Ein vorhandenes Stammzertifikat geben Sie als PFX-/PKCS#12-Datei (.pfx, .p12) oder als getrennte PEM-Dateien (.pem, .crt, .key) an; der Standardpfad zeigt auf den Ordner CA im Programmverzeichnis. Sie benötigen den privaten Schlüssel und dessen Kennwort.

  3. Geben Sie auf der Seite Serverzertifikat erstellen die Zertifikatsdaten ein. Der Allgemeine Name (CN) muss mit dem Hostnamen oder der IP-Adresse übereinstimmen, die die Clients für die Verbindung verwenden; die Gültigkeit (Jahre) legen Sie hier fest.

  4. Prüfen und ergänzen Sie auf der Seite Alternative Antragstellernamen (SAN) die DNS-Namen und IP-Adressen, unter denen der Server erreichbar sein soll (vorbelegt sind localhost, Servername, DNS-Hostname, FQDN und alle lokalen IP-Adressen). Klicken Sie dann auf Generieren.

  5. Wählen Sie abschließend die Installationsoptionen Für Password Depot Server installieren (TCP-Port …) und/oder Für REST-API-Server installieren (HTTPS-Port …) und klicken Sie auf Fertigstellen.

  6. Starten Sie den Dienst PD_Service_19 neu, damit das neue Zertifikat aktiv wird, und installieren Sie das Stammzertifikat auf allen verbindenden Computern (inkl. Server-Manager-Rechner) unter Vertrauenswürdige Stammzertifizierungsstellen – siehe Artikel zur Zertifikatswarnung.

Zertifikat erneuern

Läuft das Serverzertifikat ab, führen Sie den Assistenten erneut aus und wählen Vorhandenes Stammzertifikat verwenden (empfohlen) mit Ihrer bisherigen Root-CA (Datei *_CA.pfx im CA-Ordner). Die Clients behalten dann ihr installiertes Stammzertifikat – eine erneute Verteilung entfällt.

Hinweis: Bewahren Sie den privaten Schlüssel des Stammzertifikats sicher auf. Sie benötigen ihn, um ablaufende Serverzertifikate zu erneuern, ohne ein neues Stammzertifikat erstellen (und neu verteilen) zu müssen.

CNG-Besonderheit: „Issuer certificate does not have a private key"

Verwenden Sie ein vorhandenes Stammzertifikat aus einer älteren PFX-Datei (z. B. mit OpenSSL erstellt oder aus IIS exportiert), kann die Zertifikatserstellung mit der Fehlermeldung „Issuer certificate does not have a private key" abbrechen: Windows legt den privaten Schlüssel solcher Dateien in einem Legacy-CryptoAPI-Provider ab, auf den die CNG-basierte Signierung in Version 19 nicht zugreifen kann. Lösungswege:

  1. Erstellen Sie mit dem Assistenten ein neues Stammzertifikat (einfachster Weg; Stammzertifikat anschließend neu verteilen).

  2. Lassen Sie das Zertifikat von Ihrer Zertifizierungsstelle neu ausstellen bzw. exportieren, sodass der private Schlüssel im CNG-Provider liegt.

  3. Konvertieren Sie die PFX-Datei mit dem Windows-Werkzeug certutil in den Provider „Microsoft Software Key Storage Provider" und exportieren Sie sie anschließend erneut als PFX.

Ablaufverhalten

Ist das konfigurierte Zertifikat abgelaufen, greift der Server automatisch wieder auf sein Standardzertifikat zurück und protokolliert dies im Systemprotokoll (Extras → Systemprotokoll). Beim Windows-Client (TCP-Verbindung) erscheint dann wieder die Zertifikatswarnung; der Web-Client wird vom Browser blockiert. Welches Zertifikat aktiv ist, sehen Sie unter Verwalten → Serverzertifikate; auch im Windows-Client lässt sich die Laufzeit des Serverzertifikats einsehen. Zur Orientierung: Das automatisch erstellte Standardzertifikat ist zwei Jahre gültig, die zugehörige Standard-Root-CA zehn Jahre.

Verwandte Themen:

Problem nicht gelöst?

Unser Support-Team hilft Ihnen weiter – melden Sie einen Fehler, schlagen Sie eine Verbesserung vor oder vereinbaren Sie einen Termin.

Support kontaktieren