cert_mgr create
cert_mgr create
Команда cert_mgr create предназначена для создания запроса на сертификат открытого ключа с использованием уже созданного контейнера на рабочем носителе.
Синтаксис cert_mgr [-T timeout] create -subj CERT_SUBJ [-GOST_R341012_256_TC26 | -GOST_R341012_256 | -GOST_R341012_512 ] [-NRK] [-mail MAIL] | |||
-T timeout | время ожидания ответа от vpnsvc сервиса. Допустимые значения - 10..36000 секунд, 0 - бесконечное время ожидания. Значение по умолчанию - 600 секунд. | ||
-subj CERT_SUBJ | значение поля Subject Name сертификата. | ||
-GOST_R341012_256_TC26 | идентификатор алгоритма ГОСТ Р 34.10-2012, который будет использован для генерации ключевой пары, с длиной секретного ключа 256 бит. Затем секретный ключ будет применен для формирования ЭЦП для создаваемого запроса. В отличие от -GOST_R341012_256 используется идентификатор алгоритма публичного ключа сертификата OID - 1.2.643.7.1.2.1.1.1. Внимание! Данный алгоритм несовместим с продуктами версии 4.3 и ниже, за исключением С-Терра Шлюз версии 4.3.23955. | ||
-GOST_R341012_256 | идентификатор алгоритма ГОСТ Р 34.10-2012, который будет использован для генерации ключевой пары, с длиной секретного ключа 256 бит. Используется идентификатор алгоритма публичного ключа сертификата OID - 1.2.643.2.2.35.1. Затем секретный ключ будет применен для формирования ЭЦП создаваемого запроса. | ||
-GOST_R341012_512 | идентификатор алгоритма ГОСТ Р 34.10-2012, который будет использован для генерации ключевой пары, с длиной секретного ключа 512 бит. Затем секретный ключ будет применен для формирования ЭЦП создаваемого запроса. | ||
-NRK | используется для сохранения контейнера с неизвлекаемым закрытым ключом на токене. | ||
-mail MAIL | значение поля Mail для альтернативного имени (Alternative Subject Name) владельца сертификата, которое может использоваться в качестве идентификатора владельца. | ||
-ip IP_ADDR | значение поля IP Address для альтернативного имени (Alternative Subject Name) владельца сертификата, которое может использоваться в качестве идентификатора владельца. | ||
-dns DNS | значение поля DNS для альтернативного имени (Alternative Subject Name) владельца сертификата, которое может использоваться в качестве идентификатора владельца. | ||
-ku_bits KU_BITS | " или список с элементами из: digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement, keyCertSign, cRLSign, encipherOnly, decipherOnly. Указывать имена элементов можно с использованием любого регистра (верхний/нижний). | ||
-eku_oids EKU_OIDS | " или список из OID из набора OID “KeyPurposeId”. | ||
-e_ctl E_CTL_OID,E_CTL_INTEGER | параметры стандартного расширения "certificateTemplate" (например: "1.2.643.2.2.46.0.8,1"). | ||
-e_any EXT_FILE | base64- или der- ASN1-файл с произвольным дополнительным расширением сертификата. | ||
-kc K_CONTAINER_NAME | имя контейнера с секретным ключом. Формат контейнеров PKCS#15 (имя контейнера должно иметь вид - file_s50://cont_name или etoken_s50://cont_name). | ||
-kcpi | интерактивный ввод пароля для контейнера, хранящего ключ импортируемого сертификата. | ||
-kcpm | машинный ввод пароля для контейнера, хранящего ключ импортируемого сертификата. | ||
-kcp K_CONTAINER_PWD | пароль к контейнеру с секретным ключом. | ||
-f OUT_DER_FILE_NAME | имя файла, в который будет помещен запрос на сертификат в формате PKCS#10 в бинарной кодировке DER. | ||
-fb64 OUT_BASE64_FILE_NAME | имя файла, в который будет помещен запрос на сертификат в формате PKCS#10 в текстовой кодировке BASE64. | ||
Значение по умолчанию | По умолчанию используется алгоритм -GOST_R341012_256. | ||
Рекомендации по использованию | • Если в команде не указать имя файла для размещения запроса, то сформированный запрос будет выведен на экран в формате PEM. • Запрос защищается от подмены при помощи ЭЦП, которая формируется с использованием созданного секретного ключа и выбранного алгоритма ЭЦП. • Одновременно хранится только один сертификатный запрос. При генерации следующего запроса и незаконченном первом (по которому не создан сертификат), старый запрос удаляется. При таком удалении неиспользованного запроса будет также удаляться и контейнер, с ним связанный. | ||
Если создание контейнера и запроса на локальный сертификат выполняется на токене, то использование опции kcp обязательно. В качестве пароля к контейнеру должен использоваться PIN-код к токену. | |||
Пример | Ниже приведен пример создания запроса на сертификат с использованием алгоритма ГОСТ Р 34.10-2012: cert_mgr create -subj "O=S-Terra, CN=LocalCert" -GOST_R341012_256 -dns local.s-terra.com -f /opt/VPNagent/bin/certs/local_cert | ||