Dotaz: Samba a certifikát z MS CA

[Ján Chrastina]

Zdravím, neviete prosím niekto či sa dá pomocou Samby vyžiadať certifikát z MS certifikačnej autority integrovanej s Active Directory? Mám na mysli obdobu tejto akcie vo Windows: Start -> Run -> certmgr.msc -> Personal -> Certificates -> All tasks -> Request new certificate. Ďakujem.

Odpovědi

[Filip Jirsák]

Pomocí Samby určitě ne, ta nemá s certifikáty nic společného. Ta žádost o nový certifikát je záležitost Windows Crypto API, možná na to nějakou utilitu do Windows najdete. Ale k čemu to potřebujete, vždyť si to v těch Windows můžete naklikat, a nenapadá mne žádný důvod, proč se to pokoušet nějak automatizovat (pak takový certifikát poněkud postrádá smysl).

[Ján Chrastina]

Aha, už tomu rozumiem trochu viac. Windows používa CAPICOM rozhranie na manipuláciu s certifikátmi a kryptografiou. Získaním certifikátu pomocou iného nástroja - napadla ma Samba - som chcel obísť nemožnosť exportovať súkromný kľúč z užívateľského certifikátu vo Windows. Ak sa splnia záležitosti ktoré vyžaduje vzor certifikátu, MS CA by mala požiadavku podpísať automaticky.

[Filip Jirsák]

Získaním certifikátu pomocou iného nástroja - napadla ma Samba - som chcel obísť nemožnosť exportovať súkromný kľúč z užívateľského certifikátu vo Windows.

To omezení neobejdete, pokud je klíč označený jako neexportovatelný, přes Crypto API se k němu nedostanete. Je potřeba na to myslet při vytváření/importu.

Ak sa splnia záležitosti ktoré vyžaduje vzor certifikátu, MS CA by mala požiadavku podpísať automaticky.

Žádost si můžete prohlédnout či vytvořit novou s OpenSSL, a následně pak klíč a vydaný certifikát naimportovat do Windows. Žádost můžete vytvořit i z Windows a označit klíč jako exportovatelný. Já tuhle možnost ale používám nerad, protože než se vám vrátí podepsaný certifikát, neexistuje myslím možnost, jak zazálohovat privátní klíč, který patří k té žádosti – takže pokud by vám mezitím odešel disk nebo se pokazily Windows, o privátní klíč přijdete. Pravda je, že jsem ten MMC plugin tak podrobně nezkoumal, takže si nejsme jist, zda tam ta možnost náhodou někde není.

[bigBRAMBOR]

neexistuje myslím možnost, jak zazálohovat privátní klíč, který patří k té žádosti - nejde to náhodou přávě z certmgr.msc vyexportovat žádost včetně klíče?