Automatische S/MIME-Erstellung - wann wird neues Zertifikat vor Ablauf des alten angefordert?

[mabu]

Hallo.

Wir nutzen bereits seit Jahren die Schlüsselanforderung über die CA von SwissSign.

Ich bin mir eigentlich sicher, dass in der Vergangenheit die Erneuerung eines zum Tag x ablaufenden S/MIME-Zertifikates immer erst wenige Tage vor dem Ablauf durchgeführt worden ist. Habe sowas wie 3 Tage im Kopf.

Nun fällt mir gerade auf, dass bei den beiden zuletzt automatisch erneuerten Zertifikaten die neue Anforderung 14 Tage vor Ablauf erzeugt worden ist.


Hat sich da in den letzten Versionen mal was dran geändert?

Ist der Zeitraum administrierbar?

 

[JanJäschke]

Hallo Martin,

ja das hat sich geändert.
Ohne geschaut zu haben müsste das aber schon seit v14 so sein

Grund ist, dass es bei den drei Tagen immer wieder zu Problemen gekommen ist und fast alle MPKIs das sauber verrechnen.

Gruß
Jan

 

[Fabian_FD]

Hallo,

wir betreiben den NSP mit einer SwissSign MPKI. Da viele user vor dem Umstieg auf NSP (vor ca. 2 Jahren) noch gut 2 Jahre gültige S/MIME Zertifikate hatten, habe ich diese in den NSP importiert.

Für alle neuen User werden automatisch via AD-Gruppe SwissSign-Zertifikate angefordert. Da die alten S/MIME Zertifikate nun auslaufen, habe ich vorbereitend auch die User mit manuell importierten Zertifikaten in die AD-Gruppe aufgenommen. Grundsätzlich funktioniert das automatische ausstellen, da sich bei einem User der Nachname geändert hat und NSP dann ein neues Zertifikat angefordert hat.

Die Zertifikate laufen nun in 7 Tagen ab, allerdings wurde für keinen der verbleibenden User bisher ein neues Zertifikat angefordert. Gelten die 14 Tage nur für vorher ebenfalls über die gleiche MPKI angeforderte Zertifikate oder sollte das auch bei auslaufenden, manuell importierten Zertifikaten einer anderen PKI funktionieren?

viele Grüße

Fabian

 

[MichiH]

Hallo,

wir betreiben den NSP mit einer SwissSign MPKI. Da viele user vor dem Umstieg auf NSP (vor ca. 2 Jahren) noch gut 2 Jahre gültige S/MIME Zertifikate hatten, habe ich diese in den NSP importiert.

Für alle neuen User werden automatisch via AD-Gruppe SwissSign-Zertifikate angefordert. Da die alten S/MIME Zertifikate nun auslaufen, habe ich vorbereitend auch die User mit manuell importierten Zertifikaten in die AD-Gruppe aufgenommen. Grundsätzlich funktioniert das automatische ausstellen, da sich bei einem User der Nachname geändert hat und NSP dann ein neues Zertifikat angefordert hat.

Die Zertifikate laufen nun in 7 Tagen ab, allerdings wurde für keinen der verbleibenden User bisher ein neues Zertifikat angefordert. Gelten die 14 Tage nur für vorher ebenfalls über die gleiche MPKI angeforderte Zertifikate oder sollte das auch bei auslaufenden, manuell importierten Zertifikaten einer anderen PKI funktionieren?

viele Grüße

Fabian

Moin Fabian,

wenn die alten Zertifikate noch von der alten (und nicht mehr funktionierenden) SwissSign MPKI ausgestellt worden sind, könnte ich mir vorstellen, das Du für die Benutzer mit den importierten Zertifikaten einmalig manuell die Ausstellung anfordern musst.
Ich bin mir da nicht 100% sicher, habe aber irgendwie im Hinterkopf, das wir das Thema schon mal bei einem unserer Kunden hatten.

Die 14 Tage Frist sollte nach meinem Verständnis für alle Zertifkate gelten, die über den NSP angefordert wurden.


VG
Michi

 

[JanJäschke]

Hey,

Eigentlich sollte dein gewünschtes Szenario hier funktionieren. Da scheint also was nicht zustimmen.

am besten erstellst du dafür ein Troubelshooting log.
Dafür brauchst du die Kategorie für den User Import, Zertifikatshandling, ausrollen auf der intranet Rolle.

Die genauen Namen kann ich morgen mal editieren.

LG
Jan

 

[Fabian_FD]

wenn die alten Zertifikate noch von der alten (und nicht mehr funktionierenden) SwissSign MPKI ausgestellt worden sind, könnte ich mir vorstellen, das Du für die Benutzer mit den importierten Zertifikaten einmalig manuell die Ausstellung anfordern musst.
Ich bin mir da nicht 100% sicher, habe aber irgendwie im Hinterkopf, das wir das Thema schon mal bei einem unserer Kunden hatten.

Die 14 Tage Frist sollte nach meinem Verständnis für alle Zertifkate gelten, die über den NSP angefordert wurden.

danke für den Hinweis. Die alte PKI war allerdings Certum, hat also nix mit SwissSign zu tun.

Eigentlich sollte dein gewünschtes Szenario hier funktionieren. Da scheint also was nicht zustimmen.

am besten erstellst du dafür ein Troubelshooting log.
Dafür brauchst du die Kategorie für den User Import, Zertifikatshandling, ausrollen auf der intranet Rolle.

Die genauen Namen kann ich morgen mal editieren.

Ich habe mal "Active Directory user import", "Automatic user import", "certifacte enrollment" und "Certificate Management" angehakt. Ich kann sehen dass die Benutzer reinkommen, dass die Gruppen gecheckt werden. Viel mehr steht im Trace zu einer Person nicht drin. Vielleicht fehlt noch ein Haken? Ich würde erwarten, dass die Zertifikatsgültigkeit auch geprüft wird und dann eine "Aktion" entschieden wird.

 

[JanJäschke]

Guten Morgen =)

Fast richtig, schalte mal bitte noch "UserManagement Service" an, dann sollten die INfos die du gesucht hast auch sichtbar werden


Gruß
Jan

 

[Fabian_FD]

Ah besten Dank, das sieht nun besser aus, für die relevanten User sehe ich folgendes:

- Auto enrollment is enabled for this usser.
- Checking for an existing certificate via the primary email address of user@company.de
- Searching for a certificate with thumbprint <ABC...> in store My
- Get 1 certificates
- Deserializing public certificate entry <ABC...>
- Sucessfully deserialized certfificate "..."
- Searching for a certificate with thumbprint <ABC...> in store My
- Get 1 certificates
- Deserializing public certificate entry <ABC...>
- Sucessfully deserialized certfificate "..."
- Searching for a certificate with thumbprint <ABC...> in store My
- Using the existing certificate 'ABC... , ABC...'.

Das Zertifikat 'ABC...' läuft am 28.4.2025 ab.

Einen Hinweis auf einen erfolgten Restlaufzeit-Check sehe ich nicht.

 

[JanJäschke]

So sollte das Log übergeordnet an der Stelle bei dir ausgesehen haben, korrekt?

Gibt es den Eintrag "All keys valid longer than renewal" bei dir?

Lass mir sonst auch gerne das Log zukommen, dann schaue ich einmal direkt rein.

Gruß
Jan

 

[Fabian_FD]

Hallo Jan,

das log sieht vom Aufbau bei mir etwas anders aus (15.2), vielleicht fehlt auch noch eine Datenquelle. Wie kann ich es Dir am besten zukommen lassen?

viele Grüße
Fabian

 

[Fabian_FD]

Kurz als Update:

Die alten Certum Zertifikate laufen ab, und werden nicht durch ein SwissSign Zertifikat ersetzt. Erst wenn ich das abgelaufene Certum Zertifikat manuell lösche wird automatisch bei nächsten Import ein SwissSign Zertifikat angefordert.

Tatsächlich werden die abgelaufenen Zertifikate auch erst nach einem Neustart der Intranetrolle als "abgelaufen" angezeigt. Das Bildschirmfoto ist von 16:47 - das Zertifikat ist um 16:34 abgelaufen.