В разделе приведено описание настроек шаблонов сертификатов всех поддерживаемых в Indeed CM удостоверяющих центров.

Настройки шаблонов сертификатов в Indeed Certificate Manager.

ПараметрОписаниеMSCAКП2.0Валидата

(Online-/Offline-режим)

DSS
ИмяИмя шаблона сертификата.(plus)(plus)(plus)(plus)
СерверИмя сервера DSS.(minus)(minus)(minus)(plus)
УЦИмя удостоверяющего центра.(plus)(plus)(plus)(plus)
Шаблон сертификата УЦЗагружается из выбранного удостоверяющего центра.

(plus)

(plus)(plus)(plus)
Префикс имени ключа

Если префикс не задан, то имя контейнера, содержащего ключевую пару, будет сформировано случайным образом.

Если указан префикс, то он добавится перед именем контейнера.

Значение префикса отображается в Indeed CM (имя контейнера в разделе СКЗИ) и в стороннем ПО для работы с контейнерами закрытого ключа (КриптоПро CSP, клиенты устройств и пр.). Имя контейнера с префиксом может не поддерживаться устройством.


(plus)


(plus)


(plus)


(minus)

Включить в имя субъекта
Укажите атрибуты для формирования имени субъекта (Subject) сертификата:
  • Полное различающееся имя (значение по умолчанию)
  • Общее имя(CN)
  • Имя
  • Фамилия
  • Инициалы
  • E-mail
  • Должность
  • Подразделение
  • Организация
  • Адрес
  • Город
  • Область
  • Страна

Для формирования имени субъекта (Subject) и альтернативного имени субъекта (Subject Alternative Name) сертификата из списка атрибутов в свойствах шаблона Microsoft CA на вкладке Имя субъекта (Subject Name) укажите Предоставляется в запросе (Supply in the request).

   (plus)

    (minus)


(minus)

   (minus)
Включить в альтернативное имя субъекта

Укажите атрибуты для формирования альтернативного имени субъекта (Subject Alternative Name) сертификата:

  • E-mail
  • Дополнительные e-mail адреса
  • UPN-имя пользователя

Атрибут пользователя Active Directory, из которого вычитываются дополнительные e-mail адреса, указывается в разделе Microsoft CA Мастера настройки Indeed CM.
Атрибут по умолчанию: proxyAddresses.

   (plus)

    (minus)


(minus)   (minus)

Выпускать сертификат на указанного пользователя

Если опция включена, то в свойствах шаблона отобразится поле поиска пользователя в каталоге ЦР КриптоПро УЦ, на которого будут выпускаться сертификаты.

Опция доступна при включении Разрешить выпуск сертификатов на имя общей учетной записи в разделе КриптоПро УЦ 2.0 Мастера настройки Indeed CM.
Изменить значение опции при редактировании шаблона нельзя.


   (minus)


(plus)


(minus)


(minus)

Использовать аппаратную криптографию, если поддерживается

Если опция включена, то при выпуске сертификата ключевая пара будет создаваться с использованием криптографических алгоритмов, поддерживаемых устройством.

Если устройство не поддерживает аппаратную криптографию, то будет использоваться КриптоПро CSP, установленный на рабочей станции, к которой подключено устройство. Изменить значение опции при редактировании шаблона нельзя.


(minus)


(plus)



(plus)


(minus)

Создать резервную
копию ключа

Если опция включена, то в этом случае при генерации ключевой пары на смарт-карте будет применена опция её архивации. Это значит, что ключевая пара будет сгенерирована на смарт-карте и ее копия (открытый и закрытый ключи) будут отправлены на сервер Indeed CM и затем в хранилище системы. Архивация ключевой пары возможна только один раз. 

Если опция выключена, то ключевая пара сразу генерируется на устройстве.


(plus)


(plus)


(plus)


(minus)

Записывать копию
ключа при временной замене устройства

Если опция включена, то копии сертификатов и закрытых ключей будут записаны на временное устройство при замене, как и в случае с постоянной заменой.

Если опция отключена, то копии сертификатов и закрытых ключей не будут записаны на временное устройство при замене.


(plus)


(plus)


(plus)


(minus)

Использовать ключи повторно

Если опция включена, то при обновлении сертификатов, записанных на устройство, существующий ключ шифрования будет использован повторно.

(plus)(minus)(minus)(minus)

Импортировать сертификат, если существует

Если опция включена, то система будет искать существующие сертификаты на устройстве (для указанного пользователя, УЦ и шаблона) и использовать их, не создавая новых ключей. Импорт сертификата невозможен, если устройство будет инициализировано перед выпуском.

(plus)

(plus)

(plus)

(plus)

Не удалять сертификат при обновлении/очистке устройства

Если опция включена, то при обновлении или очистке устройства истекающий/истекший сертификат не будет удален с устройства и отозван на УЦ.
В процессе обновления будет запрошен новый сертификат с новым закрытым ключом и записан на устройство.

Для шаблона сертификата MSCA:

Если включена опция Использовать ключи повторно, то при обновлении устройства истекающий/истекший сертификат будет удален с устройства. На устройство будет запрошен и записан новый сертификат со старым закрытым ключом.

Истекающий/истекший сертификат будет удален, если устройство изъято с инициализацией.

    (plus)

    (plus)(plus)   (minus)

Отзывать сертификат при отзыве или выключении устройства

Если опция включена, то сертификаты пользователя будут отозваны при выключении или отзыве устройства.

Если опция выключена, то при выключении или отзыве устройства сертификаты не будут отозваны.


(plus)


(plus)


(plus)


(plus)

Устанавливать сертификат в локальное хранилище

Если опция включена, то при выпуске (обновлении) устройства через Self Service записанные на него сертификаты добавятся в локальное хранилище пользователя на рабочей станции.


(plus)


(plus)


(plus)


(minus)

Публиковать сертификат в каталоге пользователей

Если опция включена, то выпущенный сертификат опубликуется в профиле пользователя в Active Directory на вкладке Опубликованные сертификаты (Published Certificates). Сертификат удалится из профиля при включении опции Удалять опубликованный сертификат при отзыве устройства.

Необходимо наличие прав на Запись: userCertificate (Write userCertificate) для сервисной учетной записи для работы с каталогом пользователей Active Directory. 


(minus)


(plus)


(plus)


(plus)

Публиковать сертификат в ЕСИА

Если опция включена, то выпущенный квалифицированный сертификат будет зарегистрирован в Единой системе идентификации и аутентификации (ЕСИА). 

Опция доступна при включении Интеграция со СМЭВ в разделе Общие функции Мастера настройки Indeed CM.

    (minus)    (plus)(plus)   (minus)

Публиковать сертификат в файловое хранилище

Если опция включена, то выпущенный сертификат будет помещен в сетевое хранилище (папку). При отзыве устройства сертификаты из хранилища не удаляются.

Опция доступна при включении Публикация сертификатов в файловое хранилище в разделе Общие функции Мастера настройки Indeed CM.

(plus)(plus)(minus)(minus)

Публиковать сертификат в ЦФТ

Если опция включена, то выпущенный сертификат будет помещен в базу приложений ЦФТ. При отзыве устройства сертификаты из базы приложений ЦФТ не удаляются.

Опция доступна при включении Публиковать сертификаты пользователей КриптоПро УЦ 2.0 в базе приложений ЦФТ в разделе КриптоПро УЦ 2.0 Мастера настройки Indeed CM.

(minus)(plus)(minus)(minus)

Публиковать список отозванных сертификатов

Если опция включена, то при выключении, включении и отзыве устройств будет выполняться внеочередная публикация списка отозванных сертификатов (CRL).

(plus)

(plus)(minus)(minus)
Использовать комментарий
устройства в качестве комментария пользователя к запросу на сертификат
Если опция включена, то в поле "Заметки пользователя" запроса сертификата будет добавлен текст комментария устройства.

   

    (minus)

   

    (plus)


(minus)

 

   (minus)

Автоматически одобрять запрос на сертификат

Если опция включена, то запросы на сертификат будут автоматически одобрены.

Если опция выключена, то для завершения выпуска потребуется дождаться одобрения запроса на УЦ или отменить выпуск, если запрос будет отклонен.

(plus)

(plus)

(minus)

(plus)

Автоматически одобрять подписанный запрос на обновление сертификата

Если опция включена, то запрос на обновление сертификата будет одобрен автоматически.

Если опция выключена, то для обновления сертификата потребуется дождаться одобрения запроса на УЦ.


(plus)


(plus)


(minus)


(minus)

Отслеживаемые атрибуты пользователя

Укажите атрибуты пользователя при изменении которых необходимо обновление сертификата:

  • Общее имя(CN)
  • E-mail
  • UPN-имя пользователя

Изменение E-mail приводит к обновлению сертификата в случае, если этот атрибут включен в свойствах шаблона сертификата в Microsoft CA на вкладке Имя субъекта (Subject Name) опции Включить имя электронной почты в имя субъекта (Include e-mail name in subject name) и Имя электронной почты (E-mail name).

Дополнительный список отслеживаемых атрибутов пользователей задается в разделе Обновляемые атрибуты Мастера настройки Indeed CM.

 



    (plus)

   



    (plus)




(plus)




   (minus) 

Шаблон печати запроса на сертификат

Если параметр: Не задано, то используется стандартный шаблон печати запроса на сертификат.

Если в систему добавлены Шаблоны печати запроса сертификата, то выберите шаблон из выпадающего меню.

    (plus)    (plus)(plus)   (minus)
Шаблон печати сертификата

Если параметр: Не задано, то используется стандартный шаблон печати сертификата.

Если в систему добавлены Шаблоны печати сертификата, то выберите шаблон из выпадающего меню.

    (plus)    (plus)(plus)   (minus)
Шаблон печати запроса на отзыв сертификата

Если параметр: Не задано, то используется стандартный шаблон печати запроса на отзыв сертификата.

Если в систему добавлены Шаблоны печати запроса на отзыв сертификата, то выберите шаблон из выпадающего меню.

    (plus)    (plus)(plus)   (minus)
Использовать по умолчанию

Если опция включена, то сертификат отмечается как используемый по умолчанию для входа в операционную систему Windows XP.

(plus)(minus)(minus)(minus)
Период обновления (дней)

Период времени, в течение которого сертификат и закрытый ключ можно обновить. Значение по умолчанию – 30 дней.

(minus)(plus)(plus)(plus)
Необязательный сертификат

Если опция включена, то при выпуске устройства появится возможность выбора сертификатов для записи из числа отмеченных, как необязательные.

Если опция выключена, то сертификат считается обязательным для записи на устройство.

(plus)(plus)(plus)(plus)


  • No labels