Windows CA: “The certificate validity period will be shorter…”

Certificate Template mit 5 Jahren Gültigkeitsdauer

Kurz notiert: Die maximale Gültigkeitsdauer eines Zertifikates ist standardmäßig seitens der Windows Zertifikatsstelle (“Certification Authority“) auf 2 Jahre beschränkt. Wird eine Zertifikatsanforderung (“Certificate Signing Request“) mit einer längeren Gültigkeitsdauer eingereicht, beschwert sich die Windows CA aufgrund der zu langen Dauer. Das Zertifikat wird zwar dennoch erfolgreich ausgestellt, jedoch beschränkt sich die Gültigkeit dieses Zertifikates dann auf die maximal zulässige Dauer.

Certificate Template mit 5 Jahren Gültigkeitsdauer

Ein Grund für eine längere Gültigkeitsdauer ist unter anderem, dass die Zertifikate weniger oft auf den Zielsystemen gewechselt werden müssen. Spart natürlich ein wenig Arbeit ein. Jedoch sollte man vorab die Pro und Kontras diesbezüglich abwägen, bevor es zur Umsetzung geht – natürlich kommt es auch stark auf den geplanten Einsatzzweck an. Nicht vergessen: Die Dauer des Zertifikates kann nicht die Dauer des Root-Zertifikates übersteigen!

Die Antwort seitens der Certificate Authority von certreq fällt wie folgt aus:

Meldung aufgrund überschrittener Maximaldauer

Certificate retrieved(Issued) Issued The certificate validity period will be shorter than the WebServerSec5y Certificate Template specifies, because the template validity period is longer than the maximum certificate validity period allowed by the CA. Consider renewing the CA certificate, reducing the template validity period, or increasing the registry validity period.

(“WebServerSec5y” ist hierbei ein von mir selbst erstelltes CA-Template mit einer Gültigkeitsdauer von 5 Jahren)

Doch was wäre, wenn man dennoch länger gültige Zertifikate haben möchte?
Read full article »

VMware VCSA 6: Bash-Shell “dauerhaft” aktivieren

VCSA Console

Standardmäßig kann die Bash-Shell der VMware vCenter Server Appliance 6.0 nur für maximal 86400 Sekunden – also 24 Stunden – aktiviert werden. Nach dem Ablauf wird die Bash-Shell wieder deaktiviert und die eingebaute limitierte “ApplianceSh”-Shell verwendet.

In älteren VCSA 6.0-Versionen gab es hier einen Trick, indem man das Timeout einfach auf den Maximalwert einstellte, welcher etwa 68 Jahre entsprach. Dieser funktioniert in den neueren Versionen leider nicht mehr:Read full article »

Neu von Veeam: Veeam Backup for Linux

Aktuell findet in Las Vegas die VeeamON 2015 statt, wo sich Experten, Partner und Kunden von Veeam aus aller Welt treffen, sich gegenseitig austauschen, an Konferenzen teilnehmen und das sicherlich großzügige Buffet genießen werden. Zudem stehen Präsentationen zu neuen Produktvorstellungen und Technologien von Veeam an.

Soweit nun kurz die VeeamON erklärt, kommen wir nun zum Kernthema, worüber ich eigentlich schreiben wollte: Veeam hatte auf der besagten Veranstaltung ein neues Produkt angekündigt, was mich ehrlich gesagt sehr begeistert und worauf ich schon sehr gespannt bin. Um euch nun nicht noch weiter auf die Folter zu spannen: Es wurde das Produkt “Veeam Backup For Linux” angekündigt.Read full article »

VMware: Fehler beim Upgrade des HP MicroServer Gen8 von ESXi 5.5U1 auf 5.5U2

Durch die Umstrukturierung meiner privaten IT-Umgebung Zuhause wollte ich zugleich meine vorhandene VMware ESXi-Installation auf meinem HP MicroServer Gen8 aktualisieren: Nämlich von der Version 5.5 Update 1 auf 5.5 Update 2. Als Installationsmedium kam die von HP angebotene ESXi-ISO mit den dazupassenden Treibern zum Einsatz, welche auf der HP-Webseite zum Download bereit steht. Die Firmware der Hardware und vom iLO befand sich auf dem Stand des “HP Service Pack For ProLiant” vom Mai 2015.

Also, nun einen USB-Stick aus meinen unendlich tiefen Schrank voller IT-Zeug geholt, mit Hilfe von Rufus die vorhin heruntergeladene ISO auf einen USB-Stick gepackt und die HP-Kiste davon gebootet. Nach der Auswahl der richtigen Festplatte mit der ESXi-Installation und der Angabe, dass ein “Upgrade” gewünscht ist, wird nun das “System gescannt“… Aber genau hier war nun auch Schluss. Nach wenigen Sekunden tauchte dann folgende Fehlermeldung auf:

ValueError: Cannot merge VIBs Mellanox_bootbank_net-mst_2.0.0.0-1OEM.550.0.0.472560, Mellanox_bootbank_net-mst_2.0.0.0-1OEM.550.0.0.472560 with unequal payloads attributes ([net-mst: 8.250 KB], [net-mst: 8.242 KB])

Fehlermeldung im VMware ESXi-Installer

Es scheinen sich anscheinend zwei VIBs mit denselben Versionen auf dem vorhandenen ESXi und der 5.5U2-ISO zu befinden, welche unterschiedlich groß sind. Dadurch scheint der ESXi-Installer etwas verwirrt zu sein. Das war dann natürlich nicht so erfreulich. Aber zum Glück gibt es ja die Freund und Helfer: Die Suchmaschinen. Meist gibt es dann auch andere Personen aus der IT-Welt, die ein ähnliches oder gar das selbe Problem hatten und bei meiner Problemstellung, war das glücklicherweise der Fall…Read full article »

[QuickTipp] Zertifikatsdatei .pfx aus Zertifikat und Key erstellen (und umgekehrt)

Noch ein kleiner Tipp für Zwischendurch: Falls man mal eine Zertifikatsdatei .pfx benötigen sollte, aber nur das Zertifikat (.cer, .crt) und den Key (.key) besitzen sollte, kann man sich mit einem einfachen Befehl mit dem Tool openssl die Zertifikatsdatei erstellen:

openssl pkcs12 -export -out domain.pfx -inkey domain.key -in domain.crt

Update 21.01.2015: Thomas aus den Kommentaren wies mich darauf hin, wie das nun umgekehrt möglich ist: Natürlich gibt es auch hierfür Situationen, wo das durchaus hilfreich sein könnte. Das Extrahieren klappt auch hier mit zwei Befehlen:

Key aus .PFX exportieren: (Achtung: Der Key wird verschlüsselt exportiert!)
openssl pkcs12 -in domain.pfx -nocerts -out domain.key

Zertifikat aus .PFX exportieren:
openssl pkcs12 -in domain.pfx -clcerts -nokeys -out domain.crt

Das Passwort der Key-Datei kann man mit einem Befehl entfernen – falls man das überhaupt möchte. Man wird zur Bestätigung nach dem Passwort des Zertifikates gefragt.
openssl rsa -in domain.key -out domain_decrypted.key

Quelle #1: stackoverflow.com
Quelle #2: markbrilman.nl