Шаг планирования 4. Планирование центрального хранилища сертификатов SSL

Кит Ньюман и Роберт Макмюррей

На этом этапе планирования веб-фермы вы добавите поддержку веб-сайтов, защищенных SSL, путем настройки центрального хранилища сертификатов. Централизованная поддержка SSL-сертификата — это новая функция в IIS 8.

После выполнения этих задач запишите решения по проектированию, прежде чем перейти к шагу 5. Планирование развертывания приложений.

4.1. Общие сведения о централизованных сертификатах

В Windows Server® 2012 функция централизованной поддержки SSL-сертификатов позволяет администраторам серверов хранить и получать доступ к сертификатам централизованно в общей папке. Вы можете настроить централизованное хранилище сертификатов в веб-ферме для загрузки сертификатов из общей папки.

Использование централизованных сертификатов упрощает управление привязками SSL. Ssl требует, чтобы DNS-имя и имя CN сертификата соответствовали. Аналогичный контракт можно расширить на имена файлов сертификатов. Например, www.contoso.com будет использовать сертификат с именем файла www.contoso.com.pfx. Этот контракт позволяет Windows Server 2012 иметь только одну привязку SSL независимо от количества безопасных сайтов, использующих эту функцию. IIS 8 определяет, какой сертификат использовать, опираясь на значение SNI или имя хоста запрашиваемого веб-сайта, и сопоставляя его с именем файла сертификата.

4.2 Планирование центрального хранилища сертификатов

Как и общая конфигурация, централизованные сертификаты используют общую папку на выделенном серверном файловом сервере для хранения сертификатов для веб-фермы. Не размещайте общую папку с сертификатами на сервере файлового содержимого.

Для центрального хранилища сертификатов требуется, чтобы сертификаты использовали следующие соглашения об именовании:

  • Имена сертификатов должны иметь следующую форму: CN_name.pfx (например, www.contoso.com.pfx).
  • Если сертификат является диким символом, используйте символ подчеркивания (_) в качестве подстановочного символа (например, _.contoso.com.pfx).
  • Если сертификат имеет несколько имен CN, они должны называться отдельными файлами (например, www.contoso1.com.pfxи www.contoso2.com.pfxт. д.).

См. также

  • Last updated on