Opret CSR til Code Signing i Azure Key Vault Premium

DigiCert: CSR'en skal være klar først

1. Opret nøglen og CSR'en i Key Vault. Se trin 1 til 3 herunder
2. Aflever CSR'en, se trin 4. Ordren kan ikke oprettes hos DigiCert uden en CSR
3. Organisationsvalideringen går i gang, og HSM-erklæringen underskrives
4. Når valideringen er godkendt, udstedes certifikatet og sendes til jer
5. Flet certifikatet ind i Key Vault. Se trin 5

GlobalSign: validering først, CSR bagefter

1. Ordren oprettes uden CSR
2. I modtager dokumenter til underskrift og dato, og HSM-erklæringen underskrives
3. Godkenderen bliver ringet op på virksomhedens hovednummer eller kontaktet på e-mailadressen fra CVR og skal bekræfte, at virksomheden har bestilt certifikatet
4. Når valideringen er godkendt, sender GlobalSign et udstedelseslink til godkenderens e-mail, sammen med en engangskode
5. Først dér skal CSR'en bruges. Opret nøglen og CSR'en i Key Vault, se trin 1 til 3, og indsend CSR'en via linket, se trin 4
6. Certifikatet udstedes med det samme. Flet det ind i Key Vault, se trin 5

Et direkte nummer kan kun bruges, hvis det oplyses via hovednummeret. Er der bestemte tidsrum, hvor godkenderen kan træffes, eller skal man taste noget bestemt i omstillingen, så giv os besked, så vi videregiver det.

Ved RBAC som tilladelsesmodel

Tildel rollen Key Vault Administrator på Key Vault-ressourcen: Key Vault → Access control (IAM) → Add role assignment → Key Vault Administrator → vælg din bruger. Rolletildelinger kan tage op til 10 minutter, før de virker.

Ved access policies som tilladelsesmodel

Tilføj en access policy til din bruger med certifikatrettighederne Get, List, Create, Update og Import, samt nøglerettighederne Get, List og Create.

DigiCert-ordre

Indsæt PEM-teksten i ordren, eller send filen til os på info@fairssl.dk, så indsætter vi den hos DigiCert. Ordren kan ikke oprettes uden CSR'en.

GlobalSign-ordre

Brug udstedelseslinket fra GlobalSign, som sendes til godkenderens e-mail, når valideringen er gennemført. Indsæt CSR'en der sammen med engangskoden. Certifikatet udstedes med det samme bagefter.

HSM-erklæringen

Før certifikatet udstedes, skal I bekræfte med underskrift, at certifikatet installeres i en fysisk sikring, her en Azure Key Vault Premium med RSA-HSM-nøgle, og at nøglen ikke kan eksporteres. Erklæringen skal udfyldes og underskrives af en, der teknisk kan stå inde for det, typisk den person, der opretter CSR'en og installerer certifikatet.

RSA-HSM kan ikke vælges

Key Vault er ikke Premium. Opgradér vault'en med Azure CLI, eller opret en ny med Premium SKU.

"The user, group or application does not have certificates create permission"

Du mangler rettigheder på selve vault'en, se trin 2. Rettigheder på abonnementet tæller ikke. På en vault med RBAC er det rollen Key Vault Administrator, og rolletildelinger kan tage op til 10 minutter at slå igennem. På en vault med access policies er det access policy'en, der mangler.

CA'en afviser CSR'en

Oftest fordi Subject CN ikke er identisk med det juridiske navn, valideringen er gennemført på, eller fordi nøglen ikke er 4096 bit RSA. Opret et nyt certifikat med et andet navn og de rigtige felter, og indsend den nye CSR. Lad det forkerte certifikat ligge, se FAQ nedenfor om hvorfor det ikke skal slettes.

Merge Signed Request fejler

Enten passer certifikatet ikke til den ventende anmodning, eller kæden er ufuldstændig. Kontrollér, at certifikatet er udstedt på præcis den CSR, Key Vault genererede, at det ventende certifikat ikke er slettet eller genskabt undervejs, og at filen indeholder både jeres certifikat og intermediate-certifikatet, jeres certifikat først.

Certifikatet står stadig som "In progress"

Det udstedte certifikat er ikke flettet ind endnu. Det sker ikke automatisk ved en non-integrated CA. Gå til Certificate Operation og Merge Signed Request.