mTLS -Ziel konfigurieren

Um ein Ziel mithilfe der gegenseitigen TLS-Authentifizierung (mTLS) zu konfigurieren, wählen Sie das Protokoll mTLS in der Dropdown-Liste im Assistenten zum Hinzufügen von Zielen aus.

1. Führen Sie die Schritte unter Ziel hinzufügenaus.
2. Wählen Sie in der Liste Protokoll mTLSaus.
3. Geben Sie die folgenden erforderlichen Informationen ein:

   Option	Beschreibung
   TLS-Truststore-Quelle	Diese Option legt fest, welche Zertifikate zur Authentifizierung des Servers verwendet werden, wenn WinCollect eine TLS-Verbindung einleitet. Schritte zum Konfigurieren dieser Einstellung finden Sie unter TLS-Ziel mithilfe der Windows-Zertifikatsspeicher konfigurieren .
   Validierung des Hostnamens	Wählen Sie aus, ob der Client überprüft, ob der Hostname des Servers mit dem allgemeinen Namen oder dem alternativen Subjektnamen im eingehenden Serverzertifikat übereinstimmt, bevor eine Verbindung hergestellt wird. Wichtig: Es wird empfohlen, diese Option aktiviert zu lassen, um sicherzustellen, dass das bereitgestellte Zertifikat zum Server gehört. Durch Inaktivierung kann der Client eingehende Zertifikate akzeptieren, die nicht zum Server gehören.

4. Wählen Sie eine Clientzertifikatsquelleaus.
   Diese Option legt fest, welcher Zertifikatstyp für die Konfiguration der mTLS -Verbindung verwendet wird. Ihre Auswahl bestimmt, welche Felder erforderlich sind.
   1. Wählen Sie Zertifikat und Schlüssel aus, um eine Clientzertifikatsdatei, eine verschlüsselte private Schlüsseldatei und eine Kennphrase zu verwenden. Die folgenden Felder sind für diese Option erforderlich.

      mTLS -Clientzertifikat	Verwenden Sie ein "@" gefolgt vom Dateipfad zu einer PEM-Formatdatei. Die Datei muss mindestens ein Zertifikat für die Clientauthentifizierung enthalten, wenn WinCollect eine TLS-Verbindung zum Server einleitet. Sie können ein einzelnes Zertifikat oder eine Zertifikatskette verwenden.
      PrivatermTLS -Clientschlüssel	Verwenden Sie ein "@" gefolgt vom Dateipfad zu einer PEM-Formatdatei. Die Datei muss den privaten Schlüssel enthalten, mit dem das Clientzertifikat generiert wird. Sie müssen einen RSA-oder ECC-Schlüssel verwenden, der mit einer Kennphrase verschlüsselt ist.
      mTLS Kennphrase	Geben Sie die Kennphrase ein, die zum Verschlüsseln des privaten mTLS -Clientschlüsselsverwendet wird.

   2. Wählen Sie PKCS#12 -Datei aus, um eine Datei im Format PKCS#12 (PFX) zu verwenden, die ein Zertifikat und privaten Schlüssel enthält. Sie müssen auch die Kennphrase zum Entschlüsseln der Datei PKCS#12 bereitstellen.

      mTLS -Clientzertifikat und -Schlüsselpaar

      Verwenden Sie ein "@" gefolgt vom Dateipfad zu einer Datei im Format PKCS#12 (PFX). Die Datei muss das Zertifikat für die Clientauthentifizierung enthalten, wenn WinCollect eine TLS-Verbindung zum Server und den zugehörigen privaten Schlüssel einleitet. Sie können ein einzelnes Zertifikat oder eine Zertifikatskette verwenden. Hinweis: Nur ein Paar aus privatem Schlüssel und zugehörigem Zertifikat kann in der Datei enthalten sein. Wenn mehrere Paare vorhanden sind, wird nur das erste gefundene Paar verwendet. Wenn weitere Zertifikate in der Datei enthalten sind, werden sie als Zertifikatskette eingeschlossen.

      mTLS Kennphrase

      Geben Sie die Kennphrase ein, die zum Verschlüsseln der Datei PKCS#12 verwendet wird. Da die Datei PKCS#12 mit einer Kennphrase verschlüsselt werden muss, ist dieses Feld erforderlich.

   3. Wählen Sie Windows certificate store aus, um ein Zertifikat und den zugehörigen privaten Schlüssel zu verwenden, die in einem Windows-Zertifikatsspeicher auf der lokalen Maschine installiert sind. Das Zertifikat muss über einen entsprechenden privaten Schlüssel verfügen, der mit ihm installiert wird (z. B. durch Installation als .p12 -Datei), und der private Schlüssel muss bei der Installation als Exportierbar festgelegt werden.

      mTLS -Clientzertifikatsspeicher	Dies ist der Zertifikatsspeicher, in dem nach dem Clientzertifikat gesucht werden soll. Dieser Zertifikatsspeicher muss für die lokale Maschine verfügbar sein. Alle Geschäfte, die nur für einen bestimmten Benutzer verfügbar sind, werden nicht geprüft. Anmerkung: Der Name des Zertifikatsspeichers, der in der Windows-Zertifikatsmanagementkonsole angezeigt wird, kann ein Alias für den Namen des realen Zertifikatsspeichers sein. Sie können die Namen der realen Zertifikatsspeicher im Allgemeinen mithilfe von PowerShell (ls Cert:\LocalMachine\) ermitteln.
      mTLS Clientzertifikats-ID	Die Methode, mit der das Clientzertifikat im Windows-Zertifikatsspeicher identifiziert wird. Die Optionen sind entweder Anzeigename oder Fingerabdruck. Die Option für Anzeigenamen ist die Standardeinstellung.
      Anzeigename desmTLS -Clientzertifikats	Der Wert, der als Anzeigename für das Zertifikat im Windows-Zertifikatsspeicher festgelegt wird.
      Fingerabdruck desmTLS -Clientzertifikats	Dies ist der Fingerabdruck oder SHA1 -Hashwert des zu verwendenden Zertifikats. Sie finden diesen Wert in den Details Ihres Zertifikats in der Windows-Zertifikatsmanagementkonsole.

5. Klicken Sie auf Speichern.
   Der WinCollect -Agent versucht, unter Verwendung von TLS mit gegenseitiger Authentifizierung eine Verbindung zum Ziel herzustellen.

   Hinweis: Um sicherzustellen, dass Clientzertifikate, die für die Verbindung mit mTLS bereitgestellt wurden, gültig sind, wird eine Nachricht protokolliert, wenn ein Clientzertifikat bald abläuft. Diese Prüfung wird ausgeführt, wenn ein Ziel zum ersten Mal eine Verbindung herstellt und als INFO -Nachricht protokolliert wird. Außerdem wird täglich eine Nachricht WARN für jedes Clientzertifikat protokolliert, das bald abläuft. Sie können konfigurieren, wie viel Zeit verbleibt, bis ein Zertifikat abläuft, das diese Warnungen auslöst, indem Sie den Parameter Warnungsschwellenwert für Zertifikatverfallszeit in der erweiterten Benutzerschnittstelle aktualisieren. Der Standardschwellenwert ist 30 Tage.