Ada Security
Request Demo

6.3 Sertifika

Administration → Settings → Certificate. Sunucunun sunduğu iki TLS sertifikasını yönetir. Bu ikisi tamamen bağımsızdır; birini değiştirmek diğerini asla etkilemez.

Bölüm (seçici) Rozet Port Kimler görür
Admin console PORT 9443 9443 Yöneticilerin tarayıcıları (https://ada.example.com:9443/ada)
Clients / agents PORT 443 443 Ajanlar, Office eklentileri, manifestler, kurulum betikleri ve yükleyiciler

Her ikisi de Ada’nın iç CA’sının (/ada-root-ca.crt) verdiği bir sertifikayla başlar; kurulum betikleri ve yükleyiciler bu CA’yı her istemcinin güven deposuna ekler.

Tipik kurulum: Admin console için kurumsal CA sertifikası yükleyin, Clients / agents’ı yerleşik CA’da bırakın.

Settings → Certificate, Admin console bölümü.

Sayfada görünenler

  • Bir Admin console / Clients / agents seçicisi (tarayıcı başına hatırlanır).
  • + Generate CSR (bekleyen bir istek varsa Continue certificate flow) ve Import certificate + key düğmeleri. Bekleyen bir istek varken A pending CSR exists for this section… ipucu ve bir Discard request bağlantısı görünür.
  • Mod rozeti (CUSTOM (CA-issued) veya BUILT-IN (self-signed)) ve port rozeti taşıyan <section> certificate kartı. Özel sertifika için: Subject, Issuer (uygunsa self-signed olarak işaretli), SANs, Valid (başlangıç → bitiş; 30 günün altında kırmızıya dönen N days left rozetiyle), Serial, SHA-256 ve Download certificate (.crt) (yalnız sertifika; özel anahtar sunucudan asla çıkmaz).
  1. Bölümü seçin, ardından + Generate CSR’a tıklayın. Certificate flow — <section> paneli açılır.
  2. 1) Generate a CSR adımını doldurun (alan tablosuna bakın) ve Generate CSR’a tıklayın. Sunucu yeni bir RSA-3072 anahtarı oluşturur ve CSR’yi Copy ve Download .csr ile gösterir.
  3. CSR’yi CA’nıza gönderin. Örneğin AD Certificate Services ile: certreq -submit -attrib "CertificateTemplate:WebServer" ada-admin.csr.
  4. Paneli yeniden açın (düğme artık Continue certificate flow yazar; CSR ve form değerleri sayfa yenilemelerinde sunucuda saklanır).
  5. 2) Install the signed certificate adımında verilen sertifikayı PEM olarak yapıştırın: önce sunucu sertifikası, ardından varsa ara CA blokları.
  6. Yalnız Clients / agents için: Confirm with your password alanına parolanızı yazın.
  7. Install certificate’a tıklayın ve iletişim kutusunu onaylayın. Web sunucusu sertifikayı yeniden başlatma olmadan yaklaşık 15 saniye içinde uygular.

Regenerate CSR, bekleyen anahtarı ve CSR’yi değiştirir. Discard request, bekleyen anahtarı ve CSR’yi siler; yüklü sertifikaya dokunulmaz.

Sertifika akışı: CSR oluşturun, ardından verilen sertifikayı yükleyin.
Alan Ne yapar Varsayılan / izin verilen değerler
Common Name (CN) Subject CN. Her zaman SAN listesine de eklenir. Tarayıcınızın adres çubuğundaki ana makine adıyla önceden doldurulur. Zorunlu.
Subject Alternative Names (DNS / IP) Ek adlar. IP adresine benzeyen girdiler IP SAN’ı, diğerleri DNS SAN’ı olur. Virgül veya satır sonuyla ayrılır. Tarayıcı ana makine adıyla önceden doldurulur.
Organization (O, optional) Subject O. İsteğe bağlı.
Unit (OU) Subject OU. İsteğe bağlı.
Country Subject C. İsteğe bağlı; tam olarak 2 harf.
Sertifika metni (adım 2) CA’nın verdiği sertifika, PEM. Bekleyen CSR anahtarıyla veya şu anda etkin anahtarla (aynı anahtarla yenileme) eşleşmelidir. Süresi dolmuş ya da yalnızca bir günden daha ileri bir tarihte geçerli olmamalıdır; ilk blok bir CA sertifikası olmamalıdır.
Confirm with your password Yeniden kimlik doğrulama. Yalnız Clients / agents; zorunlu.

CN, O, OU veya SAN’larda satır sonu ya da denetim karakterleri reddedilir. CSR, digitalSignature, keyEncipherment anahtar kullanımını ve serverAuth genişletilmiş anahtar kullanımını ister.

Yöntem B — Mevcut sertifika ve anahtarı içe aktarma

PKI’nız sertifikayı özel anahtarıyla birlikte zaten verdiyse bu yöntemi kullanın.

  1. Bölümü seçin ve Import certificate + key’e tıklayın.
  2. Certificate (PEM), Private key (PEM) ve isteğe bağlı olarak Intermediate chain (optional, PEM) için içeriği yapıştırın veya dosya seçin.
  3. Anahtar şifreliyse Key passphrase (only if the key is encrypted) alanını girin.
  4. Clients / agents için Confirm with your password alanını girin.
  5. Import certificate + key’e tıklayın ve onaylayın. Tüm denetimler geçmedikçe hiçbir şey yazılmaz.
Mevcut sertifikayı ve özel anahtarı içe aktarma.
Alan Ne yapar İzin verilen değerler
Certificate (PEM) Önce sunucu sertifikası; ardından ara sertifikalar gelebilir. Buraya yapıştırılan özel anahtar reddedilir.
Private key (PEM) Sertifikanın anahtarı. PKCS#8, RSA veya EC PEM. RSA ≥ 2048 bit; ECDSA P-256 / P-384. Yalnız sahibinin okuyabileceği izinlerle şifresi çözülmüş olarak saklanır; bir daha asla gösterilmez.
Key passphrase Şifreli bir anahtarın şifresini çözer. Yalnız şifreli anahtarlar için.
Intermediate chain Ara CA sertifikaları. Herhangi bir sırada; yeniden sıralanırlar. Kök sertifika sunulan zincirin dışında bırakılır.
Confirm with your password Yeniden kimlik doğrulama. Yalnız Clients / agents.

Sunucu, anahtarın sertifikayla eşleştiğini, sertifika ve ara sertifikaların geçerlilik süreleri içinde olduğunu ve zincirin sertifikaya ait olduğunu denetler. Sonuç iletisi Note: ve Warning: satırlarını listeler; örneğin: sertifika kendinden imzalı, 30 gün içinde süresi doluyor, sunucunun DNS adını kapsamıyor, verilen bir sertifika zincire ait değildi ve çıkarıldı, kök dışarıda bırakıldı veya hiç ara sertifika verilmedi. Ad uyuşmazlığı yalnızca uyarıdır; sertifika yine de içe aktarılır. Başarılı bir içe aktarma, aynı bölümdeki bekleyen CSR’yi atar.

Davranış ve dikkat edilecekler

  • Her iki yöntem de yaklaşık 15 saniyede sıcak yeniden yüklemeyle uygulanır; hiçbir bağlantı düşmez.
  • Clients / agents: bu sertifikayı yalnızca her uç nokta veren CA’ya güveniyorsa değiştirin (Windows: makinenin Trusted Root deposu; macOS: System anahtar zinciri). Aksi hâlde ajanlar ve eklentiler eşitlemeyi durdurur. Bu bölüm için yükleme veya içe aktarma her zaman parolanızı gerektirir.
  • Konsolda bir bölümü yerleşik sertifikaya döndüren bir düğme yoktur.
  • İç kök CA konsolda değil, sunucu ana makinesinde bulunur ve konsol yedeklerine dahil değildir. Onu root olarak sudo adactl ca status|backup|restore|rotate ile yönetin. Bir döndürmeden (rotate) sonra uç noktalarda istemci kurulumunu (yükleyici, SCCM paketi veya betik) yeniden çalıştırın; o zamana kadar yeni köke güvenmezler.
  • Sertifika süre dolumu her iki bölüm ve iç kök CA için izlenir: 30 günde uyarı, 7 günde hata, süresi dolduğunda kritik; her kademe için günde en fazla bir kez tekrarlanır. Bunlar System’de görünür ve Service health uyarıları üretir.
  • Denetim olayları: tls_csr_generated, tls_csr_discarded, tls_cert_installed, tls_cert_imported (uyarılar ve parmak iziyle).