Voraussetzungen / Vorbereitungen

• Hohenheimer Benutzerkonto (für die Anmeldung über unseren IDP)
• Zuordnung des Hohenheimer Benutzerkontos zu einer Einrichtung. Dies muss nur einmal vorgenommen werden. Bitte wenden Sie sich per E-Mail an kim-pki@uni-hohenheim.de und teilen uns neben Ihrer Nutzerkennung auch die Subdomain mit, die Ihre Einrichtung nutzt.
• Der FQDN für den Server steht fest (z. B. servername.[subdomain.]uni-hohenheim.de) und ist im DNS registriert.
  [Falls noch nicht geschehen, bitte unter kim-dns@uni-hohenheim.de eine IP-Adresse und DNS-Namen beantragen.]
• Im Formular wird der CSR des Servers abgefragt. Bitte bereiten Sie diesen vor.
  
  Für die einfache Erstellung eines Zertifikatsantrages stellen wir ein Skript bereit, welches Sie durch den Prozess leitet. Sie können es verwenden indem Sie sich per ssh mit Ihrem Hohenheimer Benutzerkonto auf login.uni-hohenheim.de einloggen und das Skript dort starten:
  
  user@login1:~> certificateapplication.sh

Vorgehensweise

• Wenn Sie die o.g. Voraussetzungen erfüllen und alle Vorbereitungen getroffen haben, rufen Sie in Ihrem Browser folgende URL auf und wählen unter „Your Institution“ „University of Hohenheim – uni-hohenheim.de“ aus:
  https://cert-manager.com/customer/DFN/ssl/hoh-servercertificate
• Authentifizieren Sie sich mit Ihrem Hohenheimer Benutzernamen und dem zugehörigen Passwort.
• Wählen Sie nun im unteren Bereich unter „Select Enrollment Account“ den für Sie mit der passenden Einrichtung versehenen Eintrag „Universität Hohenheim – [Einrichtungsname] (Server Certificate)“.
  Sollten Sie sich nicht direkt in dieser Enrollment-Ansicht befinden, sondern in der Ansicht „Certificate List“, wählen Sie bitte den grünen Button „Enroll Certificate“ im rechten oberen Eck.
• Füllen Sie nun alle erforderlichen Felder aus.
• Certificate Profile & Certificate Term ist nicht abzuändern!
• Unter dem Button „Upload CSR“ oder über Copy & Paste im darunterliegenden Feld können Sie den CSR einfügen.
• Sollten Sie bei Erstellung des CSR noch keinen „Subject Alternative Name“ angegeben haben und nun doch wünschen, können Sie diesen nun eingeben.
• Unter „External Requesters“ können Sie weitere E-Mail-Adressen angeben, die über die Erstellung, Verlängerung, Sperrung oder Löschung des Zertifikats informiert werden sollen. Mehrere Einträge bitte mit einem Komma trennen.
• Unter „Comments“ tragen Sie bitte die Art des Servers ein (bspw. Webserver).
• Wenn der Button „Auto Renew“ aktiviert wird, können Sie angeben, wie viele Tage Sie vor Ablauf des Zertifikats ein neues Zertifikat beantragen möchten. Diese Option verlängert das bisherige Zertifikat nicht! Sobald wir die erneute Beantragung übermittelt bekommen und genehmigen, bekommen Sie wieder eine E-Mail in der Sie das neue Zertifikat herunterladen können.
• Sobald Sie den Antrag über „Submit“ abgeschickt haben, werden wir den Antrag prüfen und Ihnen antworten.

Zertifikatsformate

Wenn Sie die E-Mail vom Certificate Service Manager erhalten haben, können Sie das Zertifikat über die Links in verschiedenen Formaten in der E-Mail herunterladen. Folgend finden Sie eine kurze Zusammenfassung der verschiedenen Formate:

• as Certificate only, PEM encoded:
  Enthält einzig das Server-Zertifikat im PEM-Format.
• as Certificate (w/ issuer after), PEM encoded:
  Empfohlen für Apache/nginx
  Als erstes das Server-Zertifikat, dann das Issuing-CA-Zertifikat und dann weitere CA-Zertifikate der CA-Kette, allerdings nicht das Root-CA-Zertifikat im PEM-Format enthalten.
• as Certificate (w/ chain), PEM encoded:
  Enthält das Root-CA-Zertifikat, sowie die Intermediate-CA-Zertifikate und als letztes das Server-Zertifikat im PEM-Format.
• as PKCS#7:
  Empfohlen für MS Windows Server mit IIS
  Enthält eine binäre PKCS#7-Struktur, bestehend aus als erstes dem Server-Zertifikat, dann das Issuing-CA-Zertifikat und dann weitere CA-Zertifikate der CA-Kette und am Ende das Root-CA-Zertifikat.
• as PKCS#7, PEM encoded:
  Enthält eine PKCS#7-Struktur im PEM-Format, bestehend aus als erstes dem Server-Zertifikat, dann das Issuing-CA-Zertifikat und dann weitere CA-Zertifikate der CA-Kette und am Ende das Root-CA-Zertifikat.
• as Root/Intermediate(s) only, PEM encoded:
  Enthält die CA-Zertifikatkette (ohne das Server-Zertifikat) von der Root-CA (zuerst) bis zur Issuing-CA des Server-Zertifikats im PEM Format.
• as Intermediate(s)/Root only, PEM encoded:
  Enthält die CA-Zertifikatkette (ohne das Server-Zertifikat) von der Issuing-CA des Server-Zertifikats (zuerst) bis hin zum Root-CA-Zertifikat im PEM Format.