Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊

Size: px

Start display at page:

Download "Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊"

亮桧通
5 years ago
Views:

1 中華電信通用憑證管理中心 (PublicCA) Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本說明文件所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任目錄 Windows IIS 7.0 SSL 憑證請求檔製作手冊... 2 Windows IIS 7.0 SSL 憑證安裝操作手冊... 5 附件一 : 設定 SSL 安全通道的加密強度附件二 : 單一 IP, 多站台啟用 SSL

2 Windows IIS 7.0 SSL 憑證請求檔製作手冊一點選管理員 Internet Information Services (IIS) 二點選主機連線預設名稱 ( 預備申請與安裝 SSL 憑證的網站 ), 再點選畫面右邊伺服器憑證三點選建立憑證要求 2

3 四輸入以下所有欄位資料, 輸入完成後點點選下一步五選擇密碼編譯服務提供者 Microsoft RSA SChannel Cryptographic Provider, 金鑰長度選擇 2048 位元請注意依照國際密碼學趨勢, 請使用 RSA 2048 位元 ( 含 ) 以上金鑰長度 3

4 六指定要儲存憑證請求檔檔案名稱與存放位置, 確認後點選完成七此時憑證請求檔 (certreq.txt) 製作完成, 使用憑證請求檔至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 4

5 Windows IIS 7.0 SSL 憑證安裝操作手冊一下載憑證串鏈, 包含 3 張憑證, 分別是 (1)eCA 根憑證 (epki Root CA 憑證, 也就是中華電信憑證總管理中心自簽憑證 ) (2)PublicCA 中繼憑證 ( 中華電信通用憑證管理中心自身憑證 ) 與 (3)PublicCA 簽發給用戶的 SSL 伺服器憑證, 可採以下兩種方式之一取得 : 1. 您若是本公司之客戶, 技術聯絡人的電子郵件信箱會收到憑證串鏈壓縮檔, 解壓縮後包括 3 個檔案, 分別是 eca 根憑證 ( 檔名為 ROOTeCA_64.crt) PublicCA 中繼憑證 ( 檔名為 PublicCA2_64.crt) 與用戶端 SSL 伺服器軟體憑證 ( 檔名為 32 個英數字所組成, 此為憑證序號 ) 若是中華電信之所屬單位, 於經審驗核准申請之電子表單的資訊表單 IS 14- 伺服器應用軟體憑證申請 / 異動單頁面下方, 可以下載憑證串鏈壓縮檔, 解壓縮後可以取得憑證串鏈 3 個檔案 2. 從網站查詢與下載 : eca 憑證 : PublicCA G2 憑證 : SSL 憑證下載 : 您若是本公司之客戶, 請至 PublicCA 網站點選 SSL 憑證服務再點選 SSL 憑證查詢及下載, 進行 SSL 憑證下載若您是中華電信之員工, 負責管理單位之伺服器, 請至點選憑證與卡片作業, 再點選憑證查詢, 下載 SSL 憑證二有關國際間漸進淘汰 SHA-1 憑證移轉至 SHA 256 憑證細節, 請參閱問與答之金鑰長度與演算法 ( 三點選開始系統管理工具 Internet Information Services (IIS) 管理員 5

6 四點選主機連線預設名稱, 再點選畫面右邊伺服器憑證五點選完成憑證要求 6

7 六選擇至憑證管理中心申請之 SSL 憑證, 並輸入好記名稱 ( 一般填寫 Domain Name) 7

8 七步驟 4 按確定, 出現完成憑證要求的畫面八接著要安裝 eca 及 PublicCA 憑證請先點選開始輸入 mmc 按下 Enter 8

9 9

10 九選擇新增 / 移除嵌入式管理單元十接著點選憑證新增 10

11 選擇電腦帳戶下一步完成 11

12 最後按下確定十一先匯入根憑證在信任的根憑證授權下的憑證按下右鍵, 選擇所有工作匯入 12

13 十二出現以下畫面後, 點選下一步下一步完成 13

14 14

15 十三匯入成功後, 可以看到 eca 的根憑證 15

16 十四第二步, 匯入中繼憑證在中繼憑證授權下的憑證按下右鍵, 選擇所有工作匯入依照上述匯入 eca 根憑證的步驟, 匯入 PublicCA G2 中繼憑證 16

17 成功匯入後, 可以看到 PublicCA G2 的中繼憑證十五點選要安裝的站台, 本手冊以 (Default Web Site) 進行說明, 選擇繫結新增類型 https 連接埠 443, 選擇要安裝在此站台之 SSL 憑證 ( 17

安全認證標章安裝成功, 網友可瀏覽您所維護網站所安裝 SSL 憑證的狀態與資訊請中華電信公司負責維護網站的同仁,

18 十六依照您的網路架構, 您可能需要於防火牆開啟對應 https 的 port 十七安裝 SSL 安全認證標章 : 請用戶參考技術聯絡人的電子郵件信箱所收到 SSL 憑證串鏈電子郵件內文的 SSL 安全認證標章安裝說明, 將網站 SSL 安全認證標章安裝成功, 網友可瀏覽您所維護網站所安裝 SSL 憑證的狀態與資訊請中華電信公司負責維護網站的同仁, 參考從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單所下載 SSL 憑證串鏈檔案中的 SSLSealispec.txt, 將網站 SSL 安全認證標章安裝成功 18

19 附件一 : 設定 SSL 安全通道的加密強度 IIS 7.0 預設使用 AES 128 位元來進行資料加密, 欲使用 AES 256 位元來進行資料加密的話, 可以參考以下步驟 : 一啟動 gpedit.msc 程式二選擇 SSL 組態設定, 對著 SSL 加密套件順序點兩下 19

20 三選擇已啟用, 並修改 SSL 加密套件的欄位原加密套件順序 : TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_S HA,TLS_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_3DES_EDE_CBC_S HA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_ ECDSA_WITH_AES_128_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_A ES_128_CBC_SHA_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SH A_P256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,TLS_ECD HE_ECDSA_WITH_AES_256_CBC_SHA_P521,TLS_ECDHE_RSA_WITH_ AES_128_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA _P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P521,TLS_ECDHE_ RSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_25 6_CBC_SHA_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P521,T LS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_25 6_CBC_SHA,TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WI TH_RC4_128_MD5,SSL_CK_RC4_128_WITH_MD5,SSL_CK_DES_192_ED E3_CBC_WITH_MD5,TLS_RSA_WITH_NULL_MD5,TLS_RSA_WITH_NU LL_SHA 修改後的加密套件順序 : TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_RC4_128_SHA,T LS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES 20

_128_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_ P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P521,TLS_ECDH E_ECDSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH

21 _128_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_ P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P521,TLS_ECDH E_ECDSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH _AES_256_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_ SHA_P521,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,TLS_ECD HE_RSA_WITH_AES_128_CBC_SHA_P384,TLS_ECDHE_RSA_WITH_AE S_128_CBC_SHA_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P2 56,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,TLS_ECDHE_RS A_WITH_AES_256_CBC_SHA_P521,TLS_DHE_DSS_WITH_AES_128_CB C_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WIT H_3DES_EDE_CBC_SHA,TLS_RSA_WITH_RC4_128_MD5,SSL_CK_RC4_ 128_WITH_MD5,SSL_CK_DES_192_EDE3_CBC_WITH_MD5,TLS_RSA_W ITH_NULL_MD5,TLS_RSA_WITH_NULL_SHA 四開啟登錄檔編輯程式 21

22 五依照下圖進行登錄檔編輯 22

23 23

24 24

25 25

26 六設定完成後, 重開機, 即可達到 AES 256 位元的加密效果 26

27 27

28 附件二 : 單一 IP, 多站台啟用 SSL IIS7 在只有一個 IP 的情況下, 預設只能有一個網站使用 443 port 依照以下步驟操作, 即可在多個網站上啟用 443 port 一依照前述的憑證安裝步驟, 先在其中一網站上安裝憑證, 並以 HTTPS 測試連線是否正常二再點選 1 次繫結, 會看到主機名稱下面是空的三到以下目錄 : C:\Windows\System32\inetsrv\config, 以記事本開啟 applicatiuonhost.config 28

29 四找到剛剛有新增 443 port 的網站後, 將 domain name 加入 443: 之後, 存檔並關閉, 如圖五回 IIS 管理員, 重新點選繫結, 會看到主機名稱下出現之前輸入的 domain name, 這樣即表示修改成功 29

30 六接著, 可以先將第 2 個網站新增 443 port 以及掛上憑證, 同樣去修改 applicatiuonhost.config 30

31 七其他需要掛上憑證的網站依照上述步驟操作完成後, 請以 HTTPS 連線測試, 是否所有網站皆正常 31

Ubuntu Apache2 伺服器SSL憑證請求檔製作與憑證安裝手冊

Ubuntu Apache2 伺服器SSL憑證請求檔製作與憑證安裝手冊中華電信通用憑證管理中心 (PublicCA) Ubuntu Apache2 伺服器 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本手冊所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任本手冊的安裝程序,