Skapa CSR för kodsignering i Azure Key Vault Premium

DigiCert: CSR:en måste vara klar först

1. Skapa nyckeln och CSR:en i Key Vault. Se steg 1 till 3 nedan
2. Lämna in CSR:en, se steg 4. Ordern kan inte skapas hos DigiCert utan en CSR
3. Organisationsvalideringen startar och HSM-intyget undertecknas
4. När valideringen är godkänd utfärdas certifikatet och skickas till er
5. Slå ihop certifikatet i Key Vault. Se steg 5

GlobalSign: validering först, CSR efteråt

1. Ordern skapas utan CSR
2. Ni får dokument att underteckna och datera, och HSM-intyget undertecknas
3. Godkännaren blir uppringd på företagets huvudnummer eller kontaktad via företagets registrerade e-postadress och ska bekräfta att företaget har beställt certifikatet
4. När valideringen är godkänd skickar GlobalSign en utfärdandelänk till godkännarens e-post, tillsammans med en engångskod
5. Först då ska CSR:en användas. Skapa nyckeln och CSR:en i Key Vault, se steg 1 till 3, och lämna in CSR:en via länken, se steg 4
6. Certifikatet utfärdas direkt. Slå ihop det i Key Vault, se steg 5

Ett direktnummer kan bara användas om det lämnas ut av den som svarar på huvudnumret. Finns det bestämda tider då godkännaren går att nå, eller behöver man knappa in något särskilt i växeln, säg till oss så vidarebefordrar vi det.

Med RBAC som behörighetsmodell

Tilldela rollen Key Vault Administrator på Key Vault-resursen: Key Vault → Access control (IAM) → Add role assignment → Key Vault Administrator → välj din användare. Rolltilldelningar kan ta upp till 10 minuter innan de börjar gälla.

Med access policies som behörighetsmodell

Lägg till en access policy för din användare med certifikatbehörigheterna Get, List, Create, Update och Import, samt nyckelbehörigheterna Get, List och Create.

DigiCert-order

Klistra in PEM-texten i ordern, eller skicka filen till oss på info@fairssl.se, så lägger vi in den hos DigiCert. Ordern kan inte skapas utan CSR:en.

GlobalSign-order

Använd utfärdandelänken från GlobalSign, som skickas till godkännarens e-post när valideringen är genomförd. Klistra in CSR:en där tillsammans med engångskoden. Certifikatet utfärdas direkt efteråt.

HSM-intyget

Innan certifikatet utfärdas ska ni bekräfta med underskrift att certifikatet installeras med hårdvaruskydd, här en Azure Key Vault Premium med RSA-HSM-nyckel, och att nyckeln inte kan exporteras. Intyget ska fyllas i och undertecknas av någon som tekniskt kan gå i god för det, normalt personen som skapar CSR:en och installerar certifikatet.

RSA-HSM går inte att välja

Key Vault är inte Premium. Uppgradera valvet med Azure CLI, eller skapa ett nytt med Premium SKU.

"The user, group or application does not have certificates create permission"

Du saknar behörighet på själva valvet, se steg 2. Behörigheter på prenumerationen räknas inte. På ett valv med RBAC är det rollen Key Vault Administrator, och rolltilldelningar kan ta upp till 10 minuter innan de slår igenom. På ett valv med access policies är det access policyn som saknas.

CA:n avvisar CSR:en

Oftast för att Subject CN inte är identiskt med det juridiska namn valideringen genomförts på, eller för att nyckeln inte är 4096 bitars RSA. Skapa ett nytt certifikat med ett annat namn och rätt fält, och lämna in den nya CSR:en. Låt det felaktiga certifikatet ligga kvar. Varför det inte ska tas bort står bland frågorna nedan.

Merge Signed Request misslyckas

Antingen matchar certifikatet inte den väntande begäran, eller så är kedjan ofullständig. Kontrollera att certifikatet är utfärdat på exakt den CSR som Key Vault genererade, att det väntande certifikatet inte tagits bort eller skapats om under tiden, och att filen innehåller både ert certifikat och det mellanliggande certifikatet, ert certifikat först.

Certifikatet står fortfarande som "In progress"

Det utfärdade certifikatet är inte ihopslaget än. Det sker inte automatiskt med en non-integrated CA. Gå till Certificate Operation och Merge Signed Request.