Hinweis! Der Client-Zertifikat-Modus steht für Cortado Server 11.0 nicht länger zur Verfügung.
Zertifikate erstellen bzw. hochladen
Zertifikate erstellen bzw. hochladen
- Wählen Sie in der Cortado-Managementkonsole: Control Panel→ Certificates→ Certificate Mode (linker Pfeil im Bild) und anschließend Change Certificate Mode (rechter Pfeil im Bild).
Hinweis! Bitte beachten Sie bei der Nutzung neuerer IIS-Versionen (ab Version IIS 8.0, Windows Server 2012):
Wenn Sie Client-Zertifikate verwenden möchten, muss folgender Registry-Eintrag:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL:ClientAuthTrustMode
auf 2 (DWORD) geändert werden.
- Sie können entweder neue Client-Zertifikate generieren (Create Certificate) oder auf vorhandene zurückgreifen (Use Certificate).
Create Certificate
Sie können hier selber Client-Zertifikate erzeugen, sofern Sie dazu als Basis das mit dem Cortado-Server oder mit einer eigenen Zertifizierungsstelle selbstgenerierte Root-Zertifikat verwenden möchten. Nutzen Sie anderenfalls die Option Use Certificate. Dabei stehen Ihnen drei Client-Zertifikat-Modi zur Verfügung:
- entweder je ein Zertifikat pro User (= für alle Endgeräte eines Users): Wählen Sie hierzu One certificate for each user will be created. Klicken Sie anschließend auf OK. Dies entspricht dem Zertifikat-Modus 1.
- oder je ein Zertifikat pro Endgerät: Wählen Sie hierzu One certificate for each user device will be created. Klicken Sie anschließend auf OK. Dies entspricht dem Zertifikat-Modus 2.
- oder ein globales Zertifikat für alle Endgeräte aller User: Wählen Sie hierzu One certificate for all users will be created. Klicken Sie anschließend auf OK. Dies entspricht dem Zertifikat-Modus 3.
Sie können ein eigenes Passwort für Nutzer/-innen/Geräte festlegen (Set client certificate password). Wird kein Zertifikat-Passwort festgelegt, generiert der Cortado-Server automatisch ein Passwort pro Nutzer/-in/Gerät. Dieses finden Sie unter Control Panel→ Users→ Certificates (Pfeil im Bild). Übermitteln Sie es persönlich oder per Telefon an die Nutzer/-innen.
Sie können es auch per E-Mail versenden (Sicherheitsrisiko). Für eine automatischer Verteilung stehen Ihnen die E-Mail-Vorlagen unter Global Settings→ Mail→ E-mail Settings zur Verfügung. Mit dem Platzhalter $ClientCertPwd können Sie das Passwort des Client-Zertifikats an die Benutzer/-innen schicken. Dieser Platzhalter kann in jeden der drei E-Mail-Vorlagen eingefügt werden. Beim Versenden der E-Mail wird dann automatisch das entsprechende Passwort hinterlegt.
Sie können den Zertifikat-Modus in der Zertifikat-Übersicht unter Control Panel→ Certificates→ Certificate Mode ablesen (Pfeil im Bild).
Use Certificate
Sie können hier vorhandene Client-Zertifikate verwenden, also bei einer offiziellen Zertifizierungsstelle gekaufte oder selbst-erstellte Zertifikate von einer eigenen Zertifizierungsstelle (.pfx-Dateien). Dabei stehen Ihnen zwei Client-Zertifikat-Modi zur Verfügung.
- entweder je ein Zertifikat pro User (= für alle Endgeräte eines Users): Wählen Sie den Modus One certificate for each user will be used. Geben Sie anschließend den Pfad zu dem Ordner an, in dem sich die Client-Zertifikate befinden. Dies entspricht dem Zertifikat-Modus 1.
- oder ein globales Zertifikat für alle Endgeräte aller User: Wählen Sie den Modus One certificate for all users will be used. Wählen Sie anschließend den Pfad zum Client-Zertifikat (.pfx-Datei) und geben Sie das Zertifikat-Passwort ein. Dies entspricht dem Zertifikat-Modus 3.
Zertifikate verteilen
Das Client-Zertifikat (mit dem passwortgeschützten, privaten Schlüssel) wird in der Konfigurationsdatei (.tpm) für die Cortado-App gespeichert.
Die Nutzer/-innen müssen anschließend:
- den First Steps Wizard im User Self Service Portal ausführen (weil darin das Client-Zertifikat enthalten ist).
- danach das Zertifikat-Passwort eingeben (Pfeil im Bild).
Hinweis! Wurde die Cortado-App bereits von den Nutzer/-innen konfiguriert und soll nun nachträglich mit einem Client-Zertifikat gesichert werden, müssen sich die Nutzer/-innen eine Konfigurationsdatei (Basic Configuration) in der das Client-Zertifikat enthalten ist, im User Self Service Portal herunterladen (siehe auch Abschnitt Zertifikate erneuern).
Zertifikate erneuern
Client-Zertifikate sind ein Jahr gültig und müssen dementsprechend erneuert werden. Abhängig davon, ob Sie vom Cortado-Server generierte oder mit einer eigenen Zertifizierungsstelle erzeugte (bzw. gekaufte) Client-Zertifikate verwenden, müssen folgende Arbeitsschritte vollzogen werden:
- Server-generierte Zertifikate: Sollten Sie Zertifikate verwenden, die vom Cortado-Server generiert wurden (siehe Abschnitt Create Certificate) ist keine Interaktion notwendig. Die Zertifikate werden kurz vor Ablauf automatisch vom Cortado-Server verlängert. Die neuen Client-Zertifikate (mit dem passwortgeschützten, privaten Schlüssel) werden anschließend in einer neu erzeugten Konfigurationsdatei (.tpm) gespeichert. Die Nutzer/-innen erhalten automatisch eine E-Mail mit der Aufforderung die neue Konfigurationsdatei im User Self Service Portal herunterzuladen (siehe auch Abschnitt E-mail Settings).
- Eigene Nutzer-Zertifikate: Sollten Sie Client-Zertifikate verwenden, die Sie mit einer eigenen Zertifizierungsstelle erzeugt haben oder die von Ihnen gekauft wurden, müssen Sie diese kurz vor Ablauf der Gültigkeit ebenfalls erneuern.
- Legen Sie dafür die neuen Client-Zertifikate (.pfx-Dateien) an den gleichen Speicherort wie die alten Zertifikate (siehe Abschnitt Use Certificate).
- Um die neuen Zertifikate an die Nutzer/-innen zu verteilen, müssen neue Konfigurationsdateien (.tpm) erstellt werden. Wählen Sie dafür Control Panel→ Certificates→ Certificate Mode→ Renew Configuration Files.
- Bestätigen Sie die folgende Warnmeldung.
- Die neuen Client-Zertifikate (mit dem passwortgeschützten, privaten Schlüssel) werden anschließend in einer neu erzeugten Konfigurationsdatei (.tpm) gespeichert. Die Nutzer/-innen erhalten automatisch eine E-Mail mit der Aufforderung die neue Konfigurationsdatei (Basic Configuration) im User Self Service Portalherunterzuladen (siehe Bild).
