Certaines applications pour pouvoir voir communiquer à travers des protocoles SSL sécurisés telles que LDAPS (port 636) et GC over SSL (3269) doivent avoir l'ensemble de la chaîne de certification d'un certificat d'un contrôleur de domaine (DC). L'export des certificats de la chaîne de certification ainsi que la constitution du certificat finale peut se faire à travers les outils natifs de Windows Server.
Exporter un certificat depuis la console de certification
L'ensemble des manipulations décrites peuvent se faire à distance depuis la console de certificat, mais dans un souci de clarté, les actions décrites sont réalisés directement depuis un contrôleur de domaine.
Depuis une invite de commande, entrer la commande suivante
certlm #cmdlet qui permet d'ouvrir la console de certificats avec le contexte de l'ordinateur local, donc ici le contrôleur de domaine
Déployer le dossier Personal puis Certificates
Identifier le certificat qui sert à l'authentification des clients du contrôleur de domaine :
- La colonne Issued To contient habituellement : le FQDN du contrôleur de domaine
- La colonne Intended Purposes contient habituellement : Client Authentication, Server Authentication
- La colonne Certificate Template contient habituellement : Domain Controller
Faire un click droit sur le certificat > All Tasks > Export...
L'utilitaire d'exportation de certificat se lance, choisir de ne pas exporter la clé privée : No, do not export the private key
Choisir un format Base-64 encoded X.509 (.CER)
Choisir un dossier de destination dans lequel exporter le certificat
Finir l'export du certificat via l'utilitaire
Le certificat du contrôleur de domaine a été exporté, il faut désormais exporter les autres certificats de la chaîne de certification : le certificat racine et les certificats intermédiaires
Exporter chaque certificat de la chaîne de certification
De retour dans la console certlm, faire un click droit sur le certificat > All Tasks > Export...
Ouvrir l'onglet Certification Path, l'ensemble des certificats de la chaîne de certification est listé, le premier de la liste étant le certificat racine, le dernier le certificat du contrôleur de domaine, et les certificats entre les deux sont les certificats intermédiaires.
Cliquer sur le certificat racine puis sur View Certificate, le certificat racine s'affiche alors dans son propre onglet, cliquer sur l'onglet Details puis Copy to File...
Le même utilitaire d'export de certificat s'affiche, compléter l'exporter du certificat racine avec les mêmes options que pour le certificat du contrôleur de domaine en donnant un nom explicite au certificat pour pouvoir le différencier.
Exporter de la même façon l'ensemble des certificats intermédiaires.
Assembler les certificats de la chaîne de certification
Une fois l'ensemble des certificats de la chaîne de certification exportés, il faut les assembler dans un seul certificat.
- Créer un fichier texte et remplacer l'extension .txt par .cer, dans cet exemple, on l'appellera DCCertificateFullChain.cer
- Ouvrir le certificat racine avec un éditeur de texte comme Notepad et copier coller le contenu dans le certificat jusqu'alors vide DCCertificateFullChain.cer
- Dans le fichier DCCertificateFullChain.cer faire un saut de ligne après ----END CERTIFICATE----
- Ouvrir chaque certificat intemédiaire et les copier coller à la suite du certificat racine dans le fichier DCCertificateFullChain.cer en respectant le saut de ligne
- Finir par le certificat du contrôleur de domaine
Les certificats doivent se suivre comme suit :
Le certificat avec l'ensemble de la chaîne de certification est prêt.