RADIUSaaS prüft jedes Zertifikat gegen die CAs, denen du vertraust
RADIUSaaS akzeptiert Zertifikate von SCEPman, Microsoft Cloud PKI, deiner On-Premises-PKI oder jeder anderen CA, die Client-Zertifikate ausstellt, auch mehrere davon gleichzeitig. Für jede CA legst du fest, wofür sie als vertrauenswürdig gilt und wie die Sperrprüfung erfolgt.
- Mehrere CAs parallel
- OCSP oder CRL je CA
- Soft oder Hard Fail
- Serverzertifikat-Erneuerung über SCEPman
Den CAs vertrauen, die du bereits hast
- Regeln lassen sich auf bestimmte CAs beschränken, sodass ein Zertifikat deiner Lab-CA nie im Produktions-VLAN landet
- Zertifikate, die innerhalb von 60 Tagen ablaufen, werden in der Liste markiert
- Suche nach Subject oder Thumbprint
Was passiert, wenn ein Zertifikat gesperrt wird
Wähle aus, wie RADIUSaaS die Sperrung für eine CA prüft, was gerade passiert, und sieh, ob das Gerät Zugang erhält.
Akzeptiert. Der Responder hat das Zertifikat bestätigt.
Beispieldaten.
Vier Methoden zur Sperrprüfung
| Methode | So funktioniert es | Wann du sie wählst |
|---|---|---|
| Statische OCSP-Responder-URL | RADIUSaaS fragt den OCSP-Responder unter der von dir eingetragenen URL bei jeder Anmeldung zu jedem Zertifikat ab. Antwortet er nicht innerhalb von 2 Sekunden, entscheidet Soft Fail. | Deine CA betreibt einen Responder, wie es SCEPman tut. |
| Dynamische OCSP-Responder-URL (AIA) | Wie die statische URL, nur wird die Responder-URL aus der AIA-Extension des jeweiligen Zertifikats gelesen. | Mehrere Responder, oder du möchtest keinen manuell eintragen. Langsamer bei jeder Anmeldung. |
| Zertifikatsperrliste (CRL) | RADIUSaaS prüft gegen seine lokale Kopie der CRL deiner CA, einschließlich Delta-CRLs. Es prüft die CRL stündlich und lädt sie erneut herunter, wenn sie abläuft oder die Kopie drei Stunden alt ist. | Hohes Authentifizierungsvolumen, oder eine CA, die nur CRLs veröffentlicht, wie Microsoft Cloud PKI. |
| Keine | Keine Sperrprüfung. | Nur für Test-Tenants. |
Soft oder Hard Fail wird je CA festgelegt. RADIUSaaS kann außerdem bei jeder Authentifizierung den Sperrstatus des CA-Zertifikats selbst prüfen; standardmäßig ist das deaktiviert, um Anmeldungen schnell zu halten.
Das Serverzertifikat, das deine Geräte prüfen
- Eine Kunden-CA, die nur für deine Instanz gilt
- Dein eigenes Serverzertifikat, von jeder CA, der deine Geräte vertrauen
- Ein Klick, um das aktive Zertifikat zu wechseln
Das Serverzertifikat erneuert sich über SCEPman selbst
- VerbindenVerbindenTrag deine SCEPman-URL in RADIUSaaS ein und den Token, den RADIUSaaS dir anzeigt, in SCEPman.
- VorabgenerierenVorabgenerierenRADIUSaaS fordert ein Serverzertifikat an, ohne es zu aktivieren, damit du prüfen kannst, ob deine Geräteprofile ihm vertrauen.
- EinrichtenEinrichtenAb diesem Zeitpunkt aktiviert RADIUSaaS das Zertifikat und erneuert es, bevor es abläuft.
Welche Zertifikate als nächstes ablaufen
Filter für ablaufende Zertifikate
Vertrauenswürdige Zertifikate und Serverzertifikate, die innerhalb von 60 Tagen ablaufen, erhalten einen eigenen Filter und Status.
Health-Ansicht
Die Servicestatusseite listet Zertifikate, Sperrlisten, Proxys und SCEPman mit ihrem Status auf: gültig, läuft ab, abgelaufen, erreichbar oder nicht erreichbar.
Warnungen im Portal
Das Portal gibt ablaufende Zertifikate als Benachrichtigungen aus, damit die erste Warnung nicht als Helpdesk-Anfrage landet.
Deine CA mit einem RADIUS-Server, den du nicht selbst betreiben musst
Lade deine CA im Trial hoch, lege die Sperrprüfung fest und verbinde dein erstes Gerät.