Перейти к основному содержимому
Версия: Indeed Certificate Manager 7.2

Валидата УЦ

Настройте подключение к Валидата УЦ и создайте шаблоны сертификатов, которые будут выпускаться в этом УЦ.

Предварительные настройки​

Чтобы разрешить доступ к разделу Валидата УЦ:

  1. Запустите Мастер настройки.
  2. Перейдите в раздел Удостоверяющие центры.
  3. Включите интеграцию с Валидата УЦ.

Добавление УЦ​

  1. Нажмите Добавить УЦ.

  2. Укажите Каталог для обмена файлами с ЦР/ЦС – каталог для обмена файлами Indeed CM c Центром Регистрации.

    Примечание

    В каталоге должны присутствовать цепочка сертификатов Валидата УЦ и актуальный список отозванных сертификатов X.509 (CRL или СОС).

  3. В полях Имя пользователя и Пароль укажите учетные данные пользователя для подключения к выбранному каталогу.

    • Укажите Подкаталог для запросов – подкаталог для входящих незащищенных запросов пользователей в формате PKCS#10. Обработка запросов в формате PKCS#10 выполняется в ручном режиме на АРМ Администратора ЦР.
    • Укажите Подкаталог для сертификатов – подкаталог сертификатов для выдачи конечным пользователям.

  4. Нажмите Добавить.

Создание шаблонов сертификатов​

Перед началом работы с шаблонами сертификатов в Indeed CM убедитесь, что необходимые шаблоны настроены и добавлены в Валидата УЦ. Как настроить шаблоны сертификатов в Валидата УЦ

  1. Перейдите в раздел Шаблоны.
  2. Нажмите Создать шаблон сертификата.
  3. Заполните параметры и нажмите Создать.
ПараметрОписание
ИмяУкажите имя шаблона сертификата.
УЦУкажите имя удостоверяющего центра.
Шаблон сертификата Валидата УЦЗагрузите файл шаблона сертификата.
Префикс имени ключаЕсли префикс не задан, то имя контейнера, содержащего ключевую пару, будет сформировано случайным образом.

Если указан префикс, то он добавится перед именем контейнера.

Значение префикса отображается в системе (имя контейнера в разделе СКЗИ) и в стороннем ПО для работы с контейнерами закрытого ключа (КриптоПро CSP, клиенты устройств и пр.).

Имя контейнера с префиксом может не поддерживаться устройством.
Использовать аппаратную криптографию, если поддерживаетсяПри выпуске и обновлении сертификата ключевая пара создается с использованием криптографических алгоритмов, поддерживаемых устройством.

Если устройство не поддерживает аппаратную криптографию, то будет использоваться КриптоПро CSP, установленный на рабочей станции, к которой подключено устройство. Изменить значение опции при редактировании шаблона нельзя.
Создавать резервную копию ключаКогда на устройстве генерируется ключевая пара, ее резервная копия сохраняется на сервере Indeed CM. Копию ключевой пары можно сохранить только один раз.

Если опция выключена, то ключевая пара генерируется сразу на устройстве.
Записывать копию ключа при временной замене устройстваКопии сертификатов и закрытых ключей записываются на устройство при временной замене.
Импортировать сертификат, если существуетIndeed CM использует сертификат с устройства вместо выпуска нового сертификата (для указанного пользователя, УЦ и шаблона). Если устройство инициализируется перед выпуском, сертификат удаляется.
Не удалять сертификат при обновлении/очистке устройстваПри обновлении или очистке устройства истекающий/истекший сертификат не удаляется с устройства и не отзывается в УЦ. В процессе обновления запрашивается новый сертификат с новым закрытым ключом и записывается на устройство.
Истекающий/истекший сертификат удаляется, если устройство изъято с инициализацией.
Отзывать сертификат при отзыве/выключении устройстваСертификаты пользователя отзываются при выключении или отзыве устройства.
Устанавливать сертификат в локальное хранилищеПри выпуске и обновлении устройства в Сервисе самообслуживания записанные на него сертификаты добавятся в локальное хранилище пользователя на рабочей станции.
Публиковать сертификат в каталоге пользователейВыпущенный сертификат опубликуется в профиле пользователя в Active Directory на вкладке Опубликованные сертификаты (Published Certificates).

Сертификат удалится из профиля при включении опции Удалять опубликованный сертификат при отзыве устройства.

Необходимо наличие прав на Запись: userCertificate (Write userCertificate) для сервисной учетной записи для работы с каталогом пользователей Active Directory.
Публиковать сертификат в ЕСИАВыпущенный квалифицированный сертификат регистрируется в Единой системе идентификации и аутентификации (ЕСИА).

Опция доступна, если в Мастере настройки в разделе Общие функции включена Интеграция со СМЭВ.
Отслеживаемые атрибуты пользователяУкажите атрибуты пользователя при изменении которых необходимо обновление сертификата: Общее имя, E-mail, UPN-имя пользователя.

Изменение е-mail приводит к обновлению сертификата, если этот атрибут включен в свойствах шаблона сертификата в Microsoft CA на вкладке Имя субъекта (Subject Name) опции Включить имя электронной почты в имя субъекта (Include e-mail name in subject name) и Имя электронной почты (E-mail name).

Дополнительный список отслеживаемых атрибутов пользователей задается в разделе Обновляемые атрибуты Мастера настройки Indeed CM.
Шаблон печати запроса на сертификат, сертификата, запроса на отзыв сертификатаЗагрузите шаблоны документов сертификата в разделе Конфигурация→Шаблоны печати. Если шаблонов нет, используются стандартные шаблоны печати.
Период обновления (дней)Период времени, в течение которого сертификат и закрытый ключ можно обновить. Значение по умолчанию – 30 дней.
Необязательный сертификатПри выпуске устройства появится возможность выбрать, какие сертификаты из списка необязательных записать на устройство.

Если опция выключена, сертификат записывается на устройство по умолчанию.