SSL-Zertifikatsverwaltung
Jede Organisation oder individuelle Website, die vertrauliche oder sensible Informationen verarbeiten muss, benötigt ein SSL-Zertifikat. Ein SSL-Zertifikat auf einem Webserver hilft, die Authentizität des Webservers gegenüber dem verbindenden Client zu gewährleisten. Es authentifiziert nicht nur die Identität einer Website, sondern hilft auch bei der Generierung des Sitzungsschlüssels, der später zur Verschlüsselung der gesamten Sitzung verwendet wird.
Ein Secure Socket Layer (SSL)-Zertifikat, das Teil jeder SSL-Transaktion ist, ist eine digitale Datenform (X509), die ein Unternehmen (Domäne) oder eine Einzelperson identifiziert. Das Zertifikat enthält eine öffentliche Schlüsselkomponente, die für jeden Client sichtbar ist, der eine sichere Transaktion mit dem Server initiieren möchte. Der entsprechende private Schlüssel, der sicher auf der Citrix Application Delivery Controller™ (ADC)-Appliance gespeichert ist, wird verwendet, um die asymmetrische Schlüssel- (oder Public-Key-) Verschlüsselung und -Entschlüsselung abzuschließen.
NetScaler® Application Delivery Management (ADM) bietet Ihnen eine einheitliche Konsole zur Automatisierung der Installation, Aktualisierung, Löschung, Verknüpfung und des Downloads von SSL-Zertifikaten. Es hilft, den Ruf der Website und das Vertrauen der Kunden zu erhalten. NetScaler ADM optimiert jetzt jeden Aspekt der Zertifikatsverwaltung für Sie. Über eine einheitliche Konsole können Sie automatisierte Richtlinien konfigurieren, um den empfohlenen Aussteller, die Schlüsselstärke, das Protokoll und die Algorithmen gemäß den IT-Richtlinien des Unternehmens sicherzustellen. Auf diese Weise können Sie Zertifikate, die ungenutzt sind oder bald ablaufen, genau überwachen.
Sie können ein SSL-Zertifikat und einen Schlüssel auf eine der folgenden Weisen erhalten:
-
Von einer autorisierten Zertifizierungsstelle (CA), wie z. B. Verisign
-
Durch Generieren eines neuen SSL-Zertifikats und Schlüssels auf der NetScaler-Appliance
SSL-Richtlinieneinstellungen für Unternehmen
Jedes Unternehmen hat seine eigene SSL-Richtlinie und definiert die Anforderungen, denen alle SSL-Zertifikate entsprechen müssen. Sicherheit war schon immer eine der obersten Prioritäten für alle Unternehmensbenutzer, und daher spielen SSL-Einstellungen eine wichtige Rolle.
Zum Beispiel schreibt ein ABC-Unternehmen vor, dass alle Zertifikate eine minimale Schlüsselstärke von 2.048 Bit und mehr haben müssen. Die Zertifikate müssen von einer vertrauenswürdigen CA oder Ausstellern autorisiert sein. Administratoren müssen alle diese SSL-Parameter überprüfen, um sicherzustellen, dass die Zertifikate der Unternehmensrichtlinie entsprechen. Es ist eine mühsame Aufgabe, jedes Zertifikat manuell zu überprüfen. Um dieses Szenario zu überwinden, hilft Ihnen NetScaler ADM, SSL-Richtlinieneinstellungen für Unternehmen zu konfigurieren, und zeigt jedes nicht konforme Zertifikat mit dem Tag „Nicht empfohlen“ an.
Sie können die Zusammenfassung der nicht konformen (nicht empfohlenen) Zertifikate im SSL-Dashboard anzeigen.
Hinweis
Die „Nicht empfohlen“-Zertifikate werden basierend auf verschiedenen Parametern kategorisiert, und Sie können sie in den entsprechenden Komponenten anzeigen.
Funktionsweise des NetScaler ADM-Zertifikats
Das SSL-Dashboard bietet Ihnen eine visuelle Darstellung aller SSL-Zertifikate, die auf verschiedenen NetScaler-Instanzen installiert sind. Das SSL-Dashboard enthält die folgenden Informationen für jedes auf NetScaler-Instanzen installierte Zertifikat. Es ist nach den folgenden Kriterien kategorisiert:
-
Selbstsigniert vs. CA-signiert. Der Abschnitt „Selbstsigniert vs. CA-signiert“ hilft Ihnen, die Zertifikate in selbstsignierte Zertifikate und CA-signierte Zertifikate zu unterteilen.
-
Signaturalgorithmen. Dieser Abschnitt unterteilt die SSL-Zertifikate basierend auf den für die Verschlüsselung verwendeten Signaturalgorithmen.
-
Nutzung. Dieser Abschnitt unterteilt Ihre SSL-Zertifikate basierend auf verwendeten und ungenutzten Zertifikaten. Ungenutzte Zertifikate erfordern besondere Aufmerksamkeit, da sie möglicherweise nicht an die virtuellen Server gebunden wurden.
-
Aussteller. Dieser Abschnitt unterteilt die SSL-Zertifikate basierend auf dem Aussteller der Zertifikate.
-
Schlüsselstärke. Dieser Abschnitt unterteilt die SSL-Zertifikate basierend auf der Schlüsselstärke eines privaten Schlüssels.
-
Top 10 Instanzen. Dieser Abschnitt enthält die Details der Top 10 NetScaler-Instanzen basierend auf der Anzahl der installierten SSL-Zertifikate.
Anwendungsfälle für die SSL-Zertifikatsverwaltung
Die folgenden Anwendungsfälle beschreiben, wie Sie das SSL-Zertifikat verwenden können, um die Zertifikate über mehrere NetScaler-Instanzen hinweg zu verwalten und zu überwachen.
SSL-Zertifikate installieren
Stellen Sie sich vor, Sie haben eine Flotte von NetScaler-Instanzen, auf denen Sie die erforderlichen SSL-Zertifikate bereitstellen müssen. NetScaler ADM bietet Ihnen eine einheitliche Konsole, um die SSL-Zertifikate auf mehreren NetScaler-Instanzen in einem einzigen Versuch bereitzustellen.
Sie möchten beispielsweise einige SSL-Zertifikate auf einer oder mehreren NetScaler-Instanzen installieren. Mit diesem Ansatz können Sie den manuellen Aufwand für die Installation des SSL-Zertifikats auf jeder NetScaler-Instanz minimieren. Sie können eine Masseninstallation von SSL-Zertifikaten über eine oder mehrere NetScaler-Instanzen hinweg durchführen.
Um eine Zusammenfassung der SSL-Zertifikate zu erhalten, melden Sie sich bei NetScaler ADM an und navigieren Sie dann zu Infrastructure > SSL Dashboard.
Benachrichtigungseinstellungen für den Zertifikatsablauf
In diesem Anwendungsfall haben Sie möglicherweise viele Zertifikate über mehrere NetScaler-Instanzen hinweg, und es wird zu einem Mehraufwand, den Ablauf jedes Zertifikats zu verfolgen. Es ist eine mühsame Aufgabe für Sie, jedes Zertifikat manuell zu verfolgen und es vor Ablauf zu aktualisieren. Um solche Szenarien zu vermeiden, können Sie NetScaler ADM so konfigurieren, dass Benachrichtigungen oder Warnungen an die konfigurierten E-Mail-, Pager-, Slack- oder ServiceNow-Profile gesendet werden. Auf diese Weise bleiben Sie über die Ablaufdaten der Zertifikate auf dem Laufenden und können die Zertifikate rechtzeitig vor dem Ablaufdatum erneuern.
Sie könnten beispielsweise vergessen, ein Zertifikat zu verfolgen, das kurz vor dem Ablauf steht. Und das Zertifikat läuft ab, was zu einem Dienstausfall führt, der zahlreiche Anwendungen für die Benutzer beeinträchtigen könnte. Mit den ADM-Benachrichtigungseinstellungen für den Zertifikatsablauf können Sie solche unvorhergesehenen Szenarien vermeiden.
Sie können die Zusammenfassung anzeigen und die Zertifikate verfolgen, die kurz vor dem Ablauf stehen, im SSL Dashboard.
Um den Bericht der in einem beliebigen Zeitraum ablaufenden Zertifikate anzuzeigen, können Sie auf die Kachel klicken, um die Details aller in diesem Fenster ablaufenden Zertifikate zu erhalten.
Erneuerung von Zertifikaten
Sie können die Zertifikate jetzt über NetScaler ADM erneuern. Sie können entweder die vorhandenen Zertifikate erneuern oder die Zertifikate basierend auf den folgenden Punkten erstellen:
Vorhandenes Zertifikat aktualisieren
In diesem Anwendungsfall müssen Sie ein vorhandenes Zertifikat aktualisieren, sobald Sie ein erneuertes Zertifikat von der Zertifizierungsstelle (CA) erhalten. Sie können die vorhandenen Zertifikate jetzt über NetScaler ADM aktualisieren, ohne sich bei den NetScaler-Instanzen anmelden zu müssen.
Es kann beispielsweise Änderungen oder Modifikationen an den vorhandenen Zertifikaten geben. Die CA stellt erneuerte Zertifikate aus. Anstatt zur NetScaler-Appliance zu gehen, können Sie das SSL-Zertifikat jetzt über NetScaler ADM aktualisieren.
Um ein Zertifikat zu aktualisieren, melden Sie sich bei NetScaler ADM an und navigieren Sie dann zu Infrastructure > SSL Dashboard.
Wählen Sie das Zertifikat aus, das Sie aktualisieren möchten, und klicken Sie auf Update.
Sie haben die Möglichkeit, die relevanten Felder des ausgewählten Zertifikats über NetScaler ADM zu aktualisieren.
Zertifikatsignieranforderung erstellen
Stellen Sie sich einen Anwendungsfall vor, bei dem eines der SSL-Zertifikate nicht den Unternehmensrichtlinien entspricht. Sie möchten ein neues Zertifikat von der Zertifizierungsstelle erhalten. Sie können jetzt eine Zertifikatsignieranforderung (CSR) von NetScaler ADM generieren. Eine CSR und ein öffentlicher Schlüssel können an eine CA gesendet werden, um das SSL-Zertifikat zu erhalten.
Um eine CSR zu bestimmen und zu erstellen, wählen Sie das gewünschte Zertifikat aus und klicken Sie auf Create CSR.
Sie benötigen ein öffentliches oder privates Schlüsselpaar. Um einen Schlüssel hochzuladen, klicken Sie auf Choose File und wählen Sie aus der Liste aus. Um einen Schlüssel zu erstellen, wählen Sie die Option I do not have a Key und geben Sie die relevanten Parameter an.
Um weitere Details des ausgewählten Schlüssels wie Common Name, Org Name, City, Country, State, Org Unit und Email ID zur Erstellung der CSR anzugeben.
SSL-Zertifikate verknüpfen und entknüpfen
Sie können mehrere SSL-Zertifikate miteinander verbinden, um ein Zertifikatsbündel zu erstellen. Um ein Zertifikat mit einem anderen Zertifikat zu verknüpfen, muss der Aussteller des ersten Zertifikats mit der Domäne des zweiten Zertifikats übereinstimmen.
Audit-Protokolle
Audit-Protokolle sind eine Sammlung von Textprotokolldateien, die von NetScaler ADM generiert werden. Sie zeigen eine Historie der SSL-Zertifikate, die über NetScaler ADM zur spezifischen NetScaler-Appliance hinzugefügt, geändert und geändert wurden. Die Audit-Protokolle zeigen auch die IP-Adresse der NetScaler-Appliance, den Status, die Startzeit und die Endzeit des jeweiligen Vorgangs an.
In diesem Beispiel möchten Sie möglicherweise die Änderung überprüfen, die über einen bestimmten Zeitraum an dem jeweiligen Zertifikat vorgenommen wurde. Und Sie haben die Möglichkeit, die Historie der Änderungen am Zertifikat über das Geräteprotokoll und das Befehlsprotokoll anzuzeigen.
Um die Informationen der SSL-Zertifikate zu ermitteln, klicken Sie im SSL Dashboard auf Audit Log. Die Anwendungszusammenfassung enthält den Status der SSL-Zertifikate mit Startzeit und Endzeit.
Um die Informationen der NetScaler-Appliance eines bestimmten SSL-Zertifikats zu ermitteln, wählen Sie das entsprechende Kontrollkästchen für das Zertifikat Ihrer Wahl aus. Klicken Sie auf Device Log.
Um die Informationen zum Befehlstyp und zur Nachricht anzuzeigen, klicken Sie auf Command Log.
