SwissSign spezifische Sektionen in MPKI
Abschnitte auf dieser Seite:
Informationen zur Bestellung und zu den Modalitäten für das Einrichten einer SwissSign MPKI stehen unter www.swisssign.com/managed-pki/managed-pki-service.html bereit.
Die Webseite für das SwissSign seitige Verwalten der Zertifikate ist unter https://swisssign.net zu erreichen. Das Anmelden an dieser Seite erfolgt mit den jeweiligen Kontodaten oder mit dem aktuellen Operator Zertifikat (siehe auch Certificate). Hierüber kann auch bei Ablauf des Operatorenzertifikates selbstständig ein neues bezogen werden.
|
Insbesondere bei Managed Service Providern (MSP) sind Unterschiede beim Zertifikatsbezug zu beachten: •OHNE Organisationseintrag •MIT Organisationseintrag oder höherwertig |
An dieser Stelle wird die Verbindung zur SwissSign CA, für den automatisierten Bezug von Benutzer-Zertifikaten konfiguriert.
Je nach Vertrag sind hier die erforderlichen Einstellungen vorzunehmen. Diese werden von SwissSign in der Regel mittels einer „Willkommens-E-Mail“ bereit gestellt.
|
Der SwissSign MPKI Zugang muss zwingend bis spätestens Ende Mai 2023 auf den neuen Zugang umgestellt werden. Hierzu wurden alle Zertifikatsverantwortlichen von SwissSign bereits im Februar 2023 informiert. Voraussetzung für das Umstellen ist die SEPPmail Secure E-Mail Gateway Version 12.1.18! Die folgenden Beschreibungen beziehen sich bereits auf die Firmware Version 12.1.18 und den neuen SwissSign MPKI Zugang. Weitere Informationen sind bei Bedarf auch dem FAQ Eintrag SwissSign - Umstellen auf neue CA (Mai 2023) zu entnehmen.
|
Parameter |
Beschreibung |
|||||
|---|---|---|---|---|---|---|
Angabe der URL, auf welche über die MPKI zugegriffen werden soll. Diese wird von SwissSign vorgegeben und lautet in der Regel (geändert in 12.1.18) |
||||||
Dieser Teil taucht im Zertifikat des jeweiligen Benutzers zusätzlich zur E-Mail Adresse „E“ als Erweiterung des Feldes „Antragsteller“ auf. Je nach gewähltem Zertifikatstyp ist der hier einzutragende Wert statisch durch SwissSign vorgegeben (geändert in 12.1.18) ➢SwissSign Silver ID Zertifikate ➢SwissSign Personal S/MIME E-Mail ID Silver beziehungsweise für das Attribut „OU=“ durch den Kunden konfigurierbar. Weiterhin taucht als CN der Anzeigename „Name“ (siehe Users) auf
➢SwissSign Gold ID Zertifikate ➢SwissSign Pro S/MIME E-Mail ID Gold E = [E-Mail Adresse]
|
||||||
|
Diese Option ist im Standard inaktiv. Bei individueller Konfiguration seitens SwissSign kann der Fall eintreten, dass beim Versuch ein Zertifikat zu beziehen im Static subject part Parameter mitgegeben werden, welche bereits durch SwissSign statisch vorgegeben sind. Daraus resultiert in der Regel folgende Fehlermeldung beim Zertifikatsbezug: Unconsumed SDN (i.e.: SDN attributes not needed and not utilized; please remove them and resubmit your request): o=... Durch Aktivieren dieser Option werden die beim Bezug mitgegebenen, obsoleten Parameter ignoriert und stattdessen die vorgegebenen, statischen Einträge der SwissSign verwendet. Somit kann der Zertifikatsbezug dennoch ungehindert stattfinden.
|
|||||
Angabe des Benutzernamens. Dieser lautet in der Regel (geändert in 12.1.18) •für Bestandskunden bis April 2023 <Firmenkürzel>.ra •für Neukunden ab April 2023 MPKI <7-stellige Nummer> - <Organisationsname> und wird von SwissSign mitgeteilt. |
||||||
Angabe des gebuchten Produktes. (geändert in 12.1.18) Dieser lautet in der Regel <Firmenkürzel>-Produkttyp zum Beispiel <Firmenkürzel>-perso-silver-emailonly <Firmenkürzel>-perso-gold <Firmenkürzel>-perso-gold-auth <Firmenkürzel>-perso-gold-rsassapss Mögliche Produkte sind ➢SwissSign Personal S/MIME E-Mail ID Silver ➢SwissSign Pro S/MIME E-Mail ID Gold Je nach gebuchtem Produkt wird der entsprechende Name ebenfalls von SwissSign mitgeteilt. |
||||||
Sektion Domain specific parameters (optional)
Werden auf dem SEPPmail Secure E-Mail Gateway mehrere E-Mail Domänen (Managed domains) verwaltet, so können über diese Option jeweils Domänen spezifische Parameter für das Erstellen von Benutzerzertifikaten mitgegeben werden.
|
Damit dies funktioniert, müssen die Accounts bei SwissSign zusammengeschaltet werden. Entweder direkt bei der Beantragung oder nachträglich per Case an mpki@swisssign.com, so daß mit einem AUTO-RAO Zertifikat auch die Zuordnung zu den anderen Accounts gemacht wird. |
Nach dem Speichern der Domänen spezifischen Option via Save entries erscheint jeweils ein weiteres Eingabefeld.
Parameter |
Beschreibung |
|||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
Angabe der E-Mail Domäne, für welche die beiden folgenden Parameter gültig sein sollen. Nur Domänen, welche beim Stellen des Antrags bei der Zertifizierungsstelle auch benannt, beziehungsweise später separat validiert wurden, dürfen eingetragen werden.
|
||||||||||||||
|
(neu in 12.1.7) |
Angabe des gegebenenfalls vom Default parameters abweichenden Account name. Dieser wird von SwissSign mit den Zugangsdaten bereitgestellt. |
|||||||||||||
Angabe des gegebenenfalls vom Default parameters abweichenden Product name. Dieser wird von SwissSign mit den Zugangsdaten bereitgestellt.
|
||||||||||||||
Siehe Sektion Default parameters Static subject part
|
||||||||||||||
Dient dem Authentifizieren gegenüber dem Zertifizierungsstellen Anbieter (SwissSign)
Parameter |
Beschreibung |
||
|---|---|---|---|
Zertifikat für das Authentisieren gegenüber der Zertifizierungsstelle (SwissSign). Diese Datei wird von SwissSign bereit gestellt und ist mit einem Passwort versehen (siehe Parameter PKCS12 password) Ist der Zugang zur Zertifizierungsstelle erfolgreich, so erscheint an dieser Stelle die Meldung an operator certificate with valid password has been found.
|
|||
Passwort um die im PKCS12 identity file enthaltenen „private keys“ freizuschalten. Auch dieses wird von SwissSign bereit gestellt. |
Einstellungen für das automatische Erneuern von Zertifikaten.
|
Die Laufzeit der Zertifikate der einzelnen Benutzers kann gegebenenfalls der Datei user-stats.csv, welche mit dem Daily Report (siehe auch Groups statisticsadmin) mitkommt, entnommen werden. Dies ist insbesondere hilfreich, sofern kein automatisches Erneuern von Zertifikaten eingestellt wurde. |
Parameter |
Beschreibung |
|||
|---|---|---|---|---|
|
Diese Option ist im Standard inaktiv und mit dem Wert 30 vorbelegt. Initiiert das automatische Erneuern von Zertifikaten aktiver Benutzer (Users), sofern die eingestellte Restlaufzeit unterschritten ist. Voraussetzung hierfür ist, dass der entsprechende Benutzer innerhalb der eingestellten Überschneidungszeit eine E-Mail sendet. Damit wird vermieden, dass für „Leichen“ im Menü Users gegebenenfalls kostenpflichtig Zertifikate bezogen werden. Der so initiierte Prozess wird über Nacht (!) abgearbeitet.
|
|||
|
Diese Option ist im Standard inaktiv. Bezieht für alle existenten, aktiven Users, welche nicht im Besitz eines gültigen (!) Zertifikates sind, automatisiert über Nacht (!) ein Zertifikat.
Als aktive Users werden diejenigen bezeichnet, welche innerhalb der letzten 30 Tage eine E-Mail gesendet haben und nicht den State inactive haben.
|
|||
Durch Klicken von Add or update... werden unter X.509 Root Certificates die Zwischen-(Intermediate-)Zertifikate hinzugefügt/aktualisiert, welche für das Ergänzen der Zertifikatskette beim Signieren benötigt werden.
|
||||
Die vorgenommenen Änderungen werden über die Schaltfläche Save gespeichert.
