Pular para o conteúdo principal

Configuração de template de certificado de AC - Amplia

Para personalizar o perfil dos certificados de AC emitidos pela sua instância on-premises do Amplia, configure a seção CACertificateTemplates do arquivo de configuração. Dentro dela, adicione uma subseção chamada RootCA ou IntermediateCA, conforme você queira personalizar as ACs raiz ou as intermediárias. Em cada subseção, as seguintes configurações são reconhecidas:

  • IncludeSubjectKeyId: se a extensão SubjectKeyIdentifier deve ser incluída — True (padrão) ou False
  • IncludeAuthorityKeyId: se a extensão AuthorityKeyIdentifier deve ser incluída — True (padrão) ou False
  • KeyUsages: lista separada por vírgulas dos seguintes usos de chave (key usages) — o padrão é KeyCertSign,CrlSign
    • CrlSign
    • DataEncipherment
    • DecipherOnly
    • DigitalSignature
    • EncipherOnly
    • KeyAgreement
    • KeyCertSign
    • KeyEncipherment
    • NonRepudiation
  • ExtendedKeyUsages: lista separada por vírgulas dos seguintes usos estendidos de chave (extended key usages) — por padrão, nenhum
    • ClientAuth
    • ServerAuth
    • CodeSigning
    • EmailProtection
    • TimeStamping
    • OcspSigning
    • IpsecEndSystem
    • IpsecTunnel
    • IpsecUser
    • Any
  • RandomSerialNumber: se deve ser usado um número de série aleatório — True ou False (padrão)

Exemplo (arquivo de configuração .ini ou .conf):

[CACertificateTemplates:IntermediateCA]
KeyUsages=KeyCertSign,CrlSign,DigitalSignature
RandomSerialNumber=True

Exemplo (variáveis de ambiente):

CACertificateTemplates__IntermediateCA__KeyUsages=KeyCertSign,CrlSign,DigitalSignature
CACertificateTemplates__IntermediateCA__RandomSerialNumber=True

Políticas de certificado​

Em cada subseção (RootCA ou IntermediateCA), pode haver várias subseções chamadas Policies:0, Policies:1 e assim por diante, com as seguintes configurações:

  • Oid: OID da política
  • StatementUrl: URL da declaração da política

Em cada seção de política, pode haver uma subseção chamada UserNotices com vários valores 0, 1 e assim por diante, cada um com um aviso ao usuário (user notice).

Exemplo (arquivo de configuração .ini ou .conf):

[CACertificateTemplates:IntermediateCA:Policies:0]
Oid=1.2.3.4
StatementUrl=https://ca.patorum.com/ca-certificate-policy.pdf

[CACertificateTemplates:IntermediateCA:Policies:0:UserNotices]
0=This CA certificate is for test purposes
1=No end-user certificates should be accepted under this CA

Exemplo (variáveis de ambiente):

CACertificateTemplates__IntermediateCA__Policies__0__Oid=1.2.3.4
CACertificateTemplates__IntermediateCA__Policies__0__StatementUrl=https://ca.patorum.com/ca-certificate-policy.pdf
CACertificateTemplates__IntermediateCA__Policies__0__UserNotices__0=This CA certificate is for test purposes
CACertificateTemplates__IntermediateCA__Policies__0__UserNotices__1=No end-user certificates should be accepted under this CA

Configuração legada​

A seção de configuração CACertificateTemplates descrita acima foi introduzida na versão 4.22.0 do Amplia. A seção de configuração antiga, CACertificateTemplate (no singular), continua sendo aceita e afeta tanto os certificados de AC raiz quanto os de AC intermediária.

A sintaxe é um pouco diferente da descrita acima, principalmente nas configurações KeyUsages e ExtendedKeyUsages. Veja os exemplos abaixo.

Exemplo (arquivo de configuração .ini ou .conf):

[CACertificateTemplate]
RandomSerialNumber=True

[CACertificateTemplate:KeyUsages]
0=KeyCertSign
1=CrlSign
2=DigitalSignature

Exemplo (variáveis de ambiente):

CACertificateTemplate__RandomSerialNumber=True
CACertificateTemplate__KeyUsages__0=KeyCertSign
CACertificateTemplate__KeyUsages__1=CrlSign
CACertificateTemplate__KeyUsages__2=DigitalSignature
Ver em Markdown