Создание сертификатов

Вам необходимо создать корневой сертификат, а также пользовательский сертификат для работы компонентов службы идентификации пользователей.

Вы можете создать необходимые сертификаты через удостоверяющий центр или самостоятельно с помощью утилит OpenSSL и keytool.

Чтобы создать сертификаты с помощью утилит OpenSSL и keytool:

1. На основном узле создайте директорию для хранения сертификатов SSL и перейдите в эту директорию, выполнив следующие команды:

   mkdir ssl

   cd ssl

2. Создайте корневой сертификат:
   1. Создайте ключ корневого сертификата с именем ca_key.pem, выполнив следующую команду:

      openssl genpkey -algorithm RSA -out ca_key.pem -pkeyopt rsa_keygen_bits:4096

   2. Создайте корневой сертификат с именем ca.pem и подпишите его созданным ключом, выполнив следующую команду:

      openssl req -x509 -new -key ca_key.pem \

      -subj "<параметры сертификата>" \

      -addext "basicConstraints=critical,CA:TRUE" \

      -addext "keyUsage=critical,keyCertSign" \

      -days 3650 -out ca.pem

   3. Упакуйте сертификат в формат P12 в доверенное хранилище с помощью утилиты keytool:

      keytool -import -file ca.pem -alias ca -keystore ca.p12

3. Создайте пользовательский сертификат:
   1. Создайте ключ сертификата с именем uaws_key.pem, выполнив следующую команду:

      openssl genpkey -algorithm RSA -out uaws_key.pem -pkeyopt rsa_keygen_bits:4096

   2. Создайте сертификат с именем uaws.pem, подпишите его созданным ключом и корневым сертификатом, выполнив следующую команду:

      openssl req -x509 -new -key uaws_key.pem \

      -subj "<параметры сертификата>" \

      -addext "subjectAltName=DNS:collector,DNS:collector.<домен Microsoft Active Directory>,DNS:mapapp,DNS:mapapp.<домен Microsoft Active Directory>,DNS:groupapp,DNS:groupapp.<домен Microsoft Active Directory>,DNS:uaws,DNS:uaws.<домен Microsoft Active Directory>" \

      -addext "basicConstraints=critical,CA:FALSE" \

      -CA ca.pem \

      -CAkey ca_key.pem \

      -out uaws.pem \

      -days 365

   3. Упакуйте сертификат в формат P12 в доверенное хранилище, выполнив следующую команду:

      openssl pkcs12 -export -in uaws.pem -out uaws.p12 -name collector -inkey uaws_key.pem