Instalacja publicznych certyfikatów wydanych przez UNIZETO.
Procedura opisuje czynności niezbędne do zainstalowania certyfikatów komercyjnych typu Wildcard w systemie poczty korporacyjnej Zimbra.
Czynność jest wykonywana raz na 12/24/36 miesięcy, więc warto spisać czynności, jakie wykonujemy w procesie instalacji.
Założenia:
- 1.Posiadamy aktualny certyfikat wykupiony w UNIZETO.
- 2. Posiadamy system pocztowy oparty na systemie Zimbra w wersji 7.X
- 3. Pobieramy certyfikaty własne oraz ROOT CA UNIZETO
Czynności przygotowawcze:
- 1. Przygotowujemy klucz prywatny w formacie PEM.
- 2. Przygotowujemy certyfikat w formacie PEM.
- 3. Pobieramy ze strony UNIZETO certyfikat w formacie PEM ROOT CA oraz właściwy klucz PEM.
- 4. Tworzymy pliki:
commercial.key – plik z kluczem prywatnym.
commercial.crt – certyfikat w formacie PEM.
commercial_ca.crt – certyfikat ROOT CA wraz z kluczem prywatnym pobranym
Instalacja certyfikatów
Kopiujemy uprzednio przygotowane certyfikaty na serwer do katalogu:
/opt/zimbra/ssl/zimbra/commercial/
Pamiętaj, że certyfikat ROOT CA powinien zawierać certyfikat PEM oraz właściwy klucz.
Przykład: Certyfikat główny pobierasz ze strony Certum Certification Authority
i wygląda on tak:
—–BEGIN CERTIFICATE—–MIIDDDCCAfSgAwIBAgIDAQAgMA0GCSqGSIb3DQEBBQUAMD4xCzAJBgNVBAYTAlBMMRswGQYDVQQKExJVbml6ZXRvIFNwLiB6IG8uby4xEjAQBgNVBAMTCUNlcnR1bSBD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—–END CERTIFICATE—–
Następnie kopiujesz właściwy klucz do CCA wskazany w twoim certyfikacie publicznym.
Jest to klucz wystawcy certyfikatu. Przykład: Klucz publiczny dla Public Key of Certum Level II CA wklejasz
do pliku commercial_ca.crt za certyfikatem, aby wyklądał tak, jak nasz przykład:
—–BEGIN CERTIFICATE—–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—–END CERTIFICATE—–
—–BEGIN CERTIFICATE—–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—–END CERTIFICATE—–
Poniższe komendy wydajemy, jako root systemu operacyjnego.
Weryfikujemy, gdzie jesteśmy oraz poprawność naszych certyfikatów:
# cd /opt/zimbra/ssl/zimbra/commercial# /opt/zimbra/bin/zmcertmgr verifycrt comm commercial.key commercial.crt commercial_ca.crt
** Verifying commercial.crt against commercial.key
Certificate (commercial.crt) and private key (commercial.key) match.
Valid Certificate: commercial.crt: OK
Po uzyskaniu pozytywnej weryfikacji przystępujemy do instalacji certyfikatów.
/opt/zimbra/bin/zmcertmgr deploycrt comm commercial.crt commercial_ca.crt** Verifying commercial.crt against /opt/zimbra/ssl/zimbra/commercial/commercial.key
Certificate (commercial.crt) and private key (/opt/zimbra/ssl/zimbra/commercial/commercial.key) match.
Valid Certificate: commercial.crt: OK
** Copying commercial.crt to /opt/zimbra/ssl/zimbra/commercial/commercial.crt
cp: `commercial.crt’ and `/opt/zimbra/ssl/zimbra/commercial/commercial.crt’ are the same file
** Appending ca chain commercial_ca.crt to /opt/zimbra/ssl/zimbra/commercial/commercial.crt
cp: `commercial_ca.crt’ and `/opt/zimbra/ssl/zimbra/commercial/commercial_ca.crt’ are the same file
** Importing certificate /opt/zimbra/ssl/zimbra/commercial/commercial_ca.crt to CACERTS as zcs-user-commercial_ca…done.
** NOTE: mailboxd must be restarted in order to use the imported certificate.
** Saving server config key zimbraSSLCertificate…done.
** Saving server config key zimbraSSLPrivateKey…done.
** Installing mta certificate and key…done.
** Installing slapd certificate and key…done.
** Installing proxy certificate and key…done.
** Creating pkcs12 file /opt/zimbra/ssl/zimbra/nazwafqdnserwera.com.pkcs12…done.
** Creating keystore file /opt/zimbra/conf/keystore…done.
** Installing CA to /opt/zimbra/conf/ca…done.
Następnie restartujesz usługę poczty.
Operację powtarzasz na wszystkich serwerach w systemie.