Seit Version 18 ist die Verbindung zwischen Password Depot Clients und dem Enterprise Server verpflichtend per SSL/TLS verschlüsselt; diese Verschlüsselung lässt sich nicht abschalten. Der Server erstellt dafür automatisch ein selbstsigniertes Standardzertifikat, das von einer eigenen, lokal erzeugten Zertifizierungsstelle („Password Depot Server CA") signiert ist. Da die Client-Computer diese Zertifizierungsstelle zunächst nicht kennen, zeigen sie bei der Anmeldung eine Zertifikatswarnung an. Die Zertifikatsprüfung ist seit Version 18.0.7 strenger und lässt sich in Version 19 nicht mehr unterdrücken. Die Warnung ist also kein Fehler – sie verschwindet dauerhaft, sobald Sie einen der beiden folgenden Wege umsetzen. Auch nach einer Migration auf eine neue Hauptversion tritt die Warnung erneut auf, weil die neue Installation ein neues Standardzertifikat erzeugt.
Weg A: Mitgeliefertes Root-Zertifikat auf den Clients installieren (Standardweg)
Öffnen Sie auf dem Server den Unterordner
CAdes Programmverzeichnisses:C:\Program Files\AceBIT\Password Depot Server 19\CA.Kopieren Sie die dort liegende Stammzertifikat-Datei mit der Endung
.crt(der Dateiname endet auf_CA, z. B.default_CA.crt) auf die Client-Computer.Installieren Sie das Zertifikat dort als Administrator in den Speicher Vertrauenswürdige Stammzertifizierungsstellen – per Doppelklick auf die Datei oder über die Kommandozeile:
certutil -addstore "ROOT" <Dateiname_des_Stammzertifikats>(Computer-Speicher, gilt für alle Benutzer) bzw.certutil -user -addstore "ROOT" <Dateiname_des_Stammzertifikats>(nur aktueller Benutzer).In Domänenumgebungen verteilen Sie das Zertifikat zentral per Gruppenrichtlinie (GPO) in denselben Speicher.
Installieren Sie das Stammzertifikat auf allen Computern, die sich mit dem Server verbinden – auch auf dem Rechner, auf dem der Server-Manager ausgeführt wird.
Hinweis: Verteilen Sie ausschließlich die .crt-Datei. Die im CA-Ordner ebenfalls abgelegten .pfx- und .key-Dateien enthalten den privaten Schlüssel der Zertifizierungsstelle und dürfen den Server nicht verlassen.
Weg B: Eigenes Zertifikat hinterlegen
Alternativ hinterlegen Sie ein eigenes Zertifikat, z. B. aus Ihrer internen PKI oder von einer öffentlichen Zertifizierungsstelle:
Öffnen Sie im Server-Manager Verwalten → Serverzertifikate. Der Dialog enthält die Registerkarten Hauptserver und REST-Server / HTTPS.
Wählen Sie je Registerkarte das passende Format: PEM-Dateien verwenden (Zertifikat und privater Schlüssel getrennt) – mit Zertifikatsdatei (.crt, .pem), Datei mit privatem Schlüssel (.key, .pem) und ggf. Kennwort für privaten Schlüssel (falls verschlüsselt) – oder Aus PFX-/PKCS#12-Datei importieren mit PFX-Datei (.pfx, .p12) und PFX-Kennwort. Die Dateien werden standardmäßig im Unterordner
Certdes Programmverzeichnisses erwartet.Für den REST-Server können Sie die Option Dasselbe Zertifikat wie für den Hauptserver verwenden aktivieren, wenn beide über denselben Hostnamen erreichbar sind.
Achten Sie darauf, dass die Zertifikatsdatei die vollständige Kette inklusive Zwischenzertifikaten (Full Chain) enthält und der private Schlüssel zum Zertifikat gehört. CN bzw. SAN müssen alle Namen abdecken, unter denen die Clients den Server ansprechen (FQDN wie
server.firma.localund/oder IP-Adresse). Wildcard-Zertifikate gelten dabei nur für eine Ebene.Starten Sie anschließend den Dienst PD_Service_19 neu, damit das Zertifikat aktiv wird.
Hinweis: Ist das Zertifikat oder der private Schlüssel fehlerhaft oder passen beide nicht zusammen, fällt der Server nach dem Neustart des Dienstes ohne Fehlermeldung auf sein Standardzertifikat zurück – die Zertifikatswarnung bleibt dann bestehen. Kontrollieren Sie nach dem Neustart unter Verwalten → Serverzertifikate, welches Zertifikat aktiv ist. Details zu Zertifikatsfehlern finden Sie über Extras → Systemprotokoll (Windows-Ereignisanzeige).
Verwandte Themen:
Serverzertifikat in Version 19 erstellen oder erneuern (CNG)
Verbindungs-Checkliste: Socket-Fehler 10060/10061/11001
Wie lauten die korrekten Firewall-Einstellungen im Enterprise Server & Client?