Wie man eine CSR auf FileMaker Server generiert

Dieses Tutorial zeigt Ihnen wie Sie einen CSR auf FileMaker Server erstellen. FileMaker Server erstellt die Anfrage selbst, entweder über die Admin Console oder mit dem Kommandozeilentool fmsadmin, und schreibt zwei Dateien in seinen eigenen CStore-Ordner: die Zertifikatsanforderung (CSR), die Sie an Ihre Zertifizierungsstelle senden, und den dazugehörigen privaten Schlüssel, der auf dem Server verbleibt.

Ein Hinweis zu den Namen, da beide gebräuchlich sind: Das Produkt wird von Claris International Inc., einer Apple-Tochtergesellschaft, entwickelt, die die Plattform als Claris FileMaker vermarktet, während die Server-Komponente den Namen FileMaker Server behält. Die Versionsnummern folgen inzwischen dem Erscheinungsjahr, sodass die aktuelle Reihe FileMaker Server 2023 (Version 20), 2024 (Version 21), 2025 (Version 22) und FileMaker Server 2026 (Version 26), das aktuelle Release, umfasst. Die Versionen 23 bis 25 wurden übersprungen, um die Nummer an das Jahr anzugleichen. Claris unterstützt nur die jeweils aktuellsten Releases, wenn Sie also FileMaker Server 2024 oder älter verwenden, prüfen Sie Ihren Support-Status, bevor Sie ein Zertifikat kaufen, das diesen überdauert.

Bevor Sie beginnen

Ein paar Dinge entscheiden darüber, ob dies reibungslos verläuft:

• Arbeiten Sie auf der Maschine, auf der FileMaker Server läuft. Der private Schlüssel wird in den CStore-Ordner dieser Maschine geschrieben und muss dort verbleiben. Auch das Kommandozeilentool erfordert eine lokale Sitzung: Sie müssen direkt oder über eine Remote-Desktop-Software an dem Server angemeldet sein.
• Verwenden Sie erweiterte Berechtigungen. Das Schreiben der privaten Schlüsseldatei erfordert Administratorrechte. Öffnen Sie unter Windows die Eingabeaufforderung mit Als Administrator ausführen. Unter macOS und Linux authentifizieren Sie sich mit sudo. Ohne diese Rechte schlägt der Befehl mit einem Berechtigungsfehler fehl.
• Legen Sie zuerst den genauen Hostnamen fest. Verwenden Sie den vollqualifizierten Domainnamen, den Clients tatsächlich eingeben, denselben, der in Ihren WebDirect- und Admin-Console-URLs sowie in der fmnet-Adresse erscheint, die FileMaker Pro-Clients öffnen. Ein Zertifikat, das für einen Namen ausgestellt wurde, den niemand verwendet, führt trotzdem zu einer Browserwarnung.
• Wissen Sie, welche Version Sie verwenden. Die Admin Console hat seit FileMaker Server 19 eine Schaltfläche Create CSR. Bei FileMaker Server 17 und 18 war die Kommandozeile fmsadmin die einzige Möglichkeit, eine Anfrage zu erstellen.

FileMaker Server wird mit einem standardmäßigen, von Claris signierten Zertifikat ausgeliefert, das den Servernamen nicht überprüft. Es ist nur für Testzwecke gedacht, und die Admin Console zeigt Sicherheitswarnungen an, solange es verwendet wird. Deshalb ist im Produktivbetrieb ein individuelles Zertifikat einer Zertifizierungsstelle erforderlich.

Ein weiterer Punkt, den Sie einplanen sollten, wenn Sie eine Bereitstellung mit mehreren Maschinen betreiben: Jede Maschine benötigt ihr eigenes Zertifikat. Erstellen Sie auf der primären Maschine sowie auf jeder sekundären Maschine eine separate Anfrage und importieren Sie auf jeder von ihnen ein Zertifikat.

CSR auf FileMaker Server generieren

Wenn Sie Ihren CSR bereits an anderer Stelle generiert haben, überspringen Sie diesen Abschnitt und fahren Sie mit den Installationsschritten für FileMaker Server fort, sobald Ihr Zertifikat ausgestellt ist. Andernfalls wählen Sie eine der beiden unten stehenden Methoden. Sie erzeugen dasselbe Dateipaar, verwenden Sie also die Methode, die zu Ihrem Zugriff auf den Server passt.

Methode 1: CSR in der Admin Console erstellen

Dies ist der kürzeste Weg auf FileMaker Server 19 und später, einschließlich FileMaker Server 2023, 2024, 2025 und 2026.

1. Melden Sie sich bei der Admin Console an und öffnen Sie den Tab Configuration > SSL Certificate.
2. Klicken Sie auf Create CSR.
3. Füllen Sie die Anfragefelder aus:
   • Domain name: der vollqualifizierte Domainname Ihres Servers, zum Beispiel fms.yourcompany.com. Für ein Wildcard-Zertifikat tragen Sie hier stattdessen die Wildcard ein, zum Beispiel *.yourcompany.com.
   • Organization (Company name): der vollständige rechtliche Name Ihres Unternehmens, exakt wie eingetragen.
   • Organization unit: die Abteilung, die das Zertifikat anfordert, zum Beispiel IT. Dieses Feld spielt inzwischen kaum noch eine Rolle: Seit dem 1. September 2022 untersagen die Baseline Requirements des CA/Browser-Forums öffentlichen CAs, das Feld Organizational Unit in ausgestellte Zertifikate aufzunehmen, sodass das, was Sie hier eingeben, nicht im Zertifikat erscheint.
   • City: die Stadt, in der sich Ihr Server befindet, ausgeschrieben.
   • State or Province: das Bundesland oder die Provinz, ebenfalls ausgeschrieben (Florida, nicht FL).
   • Country: der zweistellige Code für Ihr Land, zum Beispiel US.
4. Geben Sie ein Verschlüsselungspasswort für die private Schlüsseldatei ein und bestätigen Sie es. Notieren Sie es sich. Sie müssen dasselbe Passwort später in das Feld Private Key Password eingeben, wenn Sie das signierte Zertifikat importieren, und es gibt keine Möglichkeit, es aus dem Schlüssel wiederherzustellen.
5. Klicken Sie auf Create. FileMaker Server schreibt serverRequest.pem und serverKey.pem in den CStore-Ordner.
6. Klicken Sie auf Copy, um die Anfrage in die Zwischenablage zu legen, und fügen Sie sie dann in das CSR-Feld Ihres Bestellformulars ein.

Methode 2: CSR über die Kommandozeile fmsadmin erstellen

Die Kommandozeile funktioniert bei jeder Version ab FileMaker Server 17, einschließlich der aktuellen Releases. Das Tool fmsadmin befindet sich hier:

• Windows: [drive]:Program FilesFileMakerFileMaker ServerDatabase Serverfmsadmin.exe
• macOS: /Library/FileMaker Server/Database Server/bin/fmsadmin
• Linux: /opt/FileMaker/FileMaker Server/Database Server/bin/fmsadmin

Der Installer legt unter macOS (/usr/local/bin/fmsadmin) und unter Linux (/usr/bin/fmsadmin) einen symbolischen Link an, sodass der Befehl dort aus jedem Verzeichnis funktioniert. Wenn der Befehl unter Windows nicht erkannt wird, wechseln Sie zunächst in den oben gezeigten Ordner Database Server oder rufen Sie die ausführbare Datei über ihren vollständigen Pfad auf.

Die einfachste Form benötigt nur den Servernamen:

fmsadmin certificate create fms.yourcompany.com --keyfilepass yourSecretPassphrase

Die meisten Zertifizierungsstellen benötigen mehr als nur den Hostnamen, geben Sie deshalb stattdessen einen vollständigen Subject-String an. Beachten Sie die doppelten Anführungszeichen: Sie sind erforderlich, sobald ein Wert ein Leerzeichen enthält.

fmsadmin certificate create "/CN=fms.yourcompany.com/O=Your Company LLC/C=US/ST=Florida/L=Miami" --keyfilepass yourSecretPassphrase

Was in die einzelnen Attribute gehört:

• CN (Common Name): der vollqualifizierte Domainname, den Sie absichern möchten, oder eine Wildcard wie *.yourcompany.com.
• O (Organization): der vollständige rechtliche Name Ihres Unternehmens.
• C (Country): der zweistellige Ländercode, zum Beispiel US.
• ST (State or Province): der vollständige Name des Bundeslandes oder der Provinz, keine Abkürzung.
• L (Locality): der vollständige Name der Stadt.
• --keyfilepass: das Passwort, das serverKey.pem verschlüsselt. Die integrierte CLI-Hilfe von FileMaker beschreibt diese Option als für den Vorgang create erforderlich, und jedes Beispiel in der Dokumentation von Claris enthält sie, legen Sie also eines fest und notieren Sie es sich. Beim Import benötigen Sie dasselbe Passwort erneut. Da Sie es auf der Kommandozeile eingeben, bleibt es auf dem Bildschirm sichtbar und wird normalerweise im Befehlsverlauf der Shell gespeichert, löschen Sie diesen Eintrag daher anschließend auf jeder Maschine, auf der sich auch andere Personen anmelden können.

Der Subject folgt derselben Syntax wie das Argument -subj des OpenSSL-Befehls req: Es wird nicht zwischen Groß- und Kleinschreibung unterschieden, es ist als /type=value-Paare formatiert, und Sonderzeichen innerhalb eines Werts müssen mit einem Backslash maskiert werden. Um die genauen Optionen zu sehen, die Ihre Build unterstützt, führen Sie aus:

fmsadmin help certificate

Wo FileMaker Server die Dateien ablegt

Beide Methoden schreiben dieselben zwei Dateien in den Ordner CStore:

• serverRequest.pem: Ihre Zertifikatsanforderung (CSR). Dies ist die Datei, deren Inhalt Sie an die CA senden.
• serverKey.pem: der verschlüsselte private Schlüssel. Er verlässt den Server nie und wird nie an die CA gesendet. Wer ihn besitzt, kann sich als Ihr FileMaker Server ausgeben. Falls er offengelegt wird, beginnen Sie mit einer neuen Anfrage von vorn und lassen Sie das Zertifikat neu ausstellen.

Der CStore-Ordner befindet sich je nach Betriebssystem hier:

• Windows: [drive]:Program FilesFileMakerFileMaker ServerCStore
• macOS: /Library/FileMaker Server/CStore/
• Linux: /opt/FileMaker/FileMaker Server/CStore/

Das Erstellen eines CSR ändert nichts daran, wie der Server läuft, daher ist an dieser Stelle kein Neustart erforderlich. Der Neustart erfolgt später, nachdem Sie das signierte Zertifikat importiert haben. Wenn Sie eine Anfrage verwerfen und neu beginnen müssen, entfernen Sie zuerst die vorhandene Anfrage und den Schlüssel:

fmsadmin certificate delete

Seien Sie bei diesem Befehl auf einem produktiven Server vorsichtig: Er entfernt die Zertifikatsanforderung, den privaten Schlüssel und jedes bereits installierte individuelle Zertifikat, und die Änderung wird nach einem Neustart wirksam. Bis wieder ein individuelles Zertifikat vorhanden ist, greift FileMaker Server auf das Standard-Claris-Zertifikat zurück.

CSR bei Ihrer Zertifizierungsstelle einreichen

Öffnen Sie serverRequest.pem in einem reinen Texteditor wie Notepad oder TextEdit. Sie sehen einen Block wie diesen:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEDAOBgNVBAgMB0Zsb3JpZGEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Markieren Sie den gesamten Block, einschließlich der Zeilen BEGIN CERTIFICATE REQUEST und END CERTIFICATE REQUEST (jeder Marker hat auf beiden Seiten fünf Bindestriche), und fügen Sie ihn in das CSR-Feld Ihres Bestellformulars ein. Öffnen Sie die Datei nicht in einer Textverarbeitung, die Formatierungen hinzufügt, und tippen Sie sie nicht von Hand ab.

Bevor Sie die Bestellung aufgeben, lohnt es sich, die Anfrage noch einmal zu überprüfen. Fügen Sie sie in unseren CSR Decoder ein und bestätigen Sie, dass der Common Name mit dem von Clients verwendeten Hostnamen übereinstimmt und die Organisationsdetails korrekt geschrieben sind. Ein Tippfehler hier bedeutet, dass die CA ein Zertifikat ausstellt, das Sie nicht verwenden können, und eine Neuausstellung kostet Sie eine weitere Validierungsrunde. Wenn Sie OpenSSL auf einer Arbeitsstation haben, läuft dieselbe Prüfung auch lokal:

openssl req -noout -text -verify -in serverRequest.pem

Wenn das Zertifikat eintrifft, importieren Sie es zusammen mit dem privaten Schlüssel und der Zwischenzertifikat-Datei (CA-Bundle) und starten anschließend den Database Server neu. Unsere Anleitung zur Installation eines SSL-Zertifikats auf FileMaker Server behandelt sowohl den Import über die Admin Console als auch über fmsadmin. Eine Anforderung, die Sie bei der Bestellung beachten sollten: Das Zertifikat muss in der Kodierung Base64 (PEM) geliefert werden, und Dateinamen dürfen keine nicht unterstützten Zeichen wie ein Sternchen enthalten.

Wildcard- und Multi-Domain-Zertifikate (SAN)

FileMaker Server kann nach dem Import ein Einzeldomain-Zertifikat, ein Wildcard-Zertifikat oder ein Multi-Domain-Zertifikat (SAN) verwenden. Die Einschränkung betrifft nur die Anforderungswerkzeuge: Die Admin Console und der Befehl fmsadmin können eine Anfrage für eine einzelne Domain oder eine Wildcard erstellen, jedoch nicht für ein SAN-Zertifikat. Claris dokumentiert diese Einschränkung für beide Wege, und sie ist in den aktuellen Releases unverändert.

Für eine Wildcard ist nichts Besonderes erforderlich: Geben Sie die Wildcard als Domainnamen oder Common Name ein, zum Beispiel *.yourcompany.com. Für mehrere unterschiedliche Hostnamen haben Sie zwei Möglichkeiten.

Option 1, der von Claris dokumentierte Weg: Erstellen Sie wie oben beschrieben eine normale Einzeldomain-Anfrage, senden Sie sie an Ihre CA und bitten Sie diese, das ausgestellte Zertifikat um die zusätzlichen Namen zu erweitern.

Option 2, die Anfrage außerhalb von FileMaker Server erstellen: Generieren Sie den CSR und den Schlüssel selbst und stellen Sie den Schlüssel beim Import bereit. Dies wird ausdrücklich unterstützt: Der Importbildschirm der Admin Console fordert Sie auf, den privaten Schlüssel auszuwählen, den Sie über die von Ihnen verwendete Methode erhalten haben, und die Kommandozeile verfügt genau für diesen Fall über die Option --keyfile. Unser CSR Generator erstellt eine SAN-Anfrage über ein einziges Formular, oder Sie verwenden OpenSSL auf beliebiger Maschine:

openssl req -new -newkey rsa:2048 -nodes 
-keyout fms.key 
-out fms.csr 
-subj "/CN=fms.yourcompany.com/O=Your Company LLC/C=US/ST=Florida/L=Miami" 
-addext "subjectAltName=DNS:fms.yourcompany.com,DNS:db.yourcompany.com"

Wiederholen Sie den Common Name innerhalb der SAN-Liste wie gezeigt, da Clients Hostnamen anhand der SAN-Einträge validieren und den Common Name ignorieren. Bewahren Sie fms.key an einem Ort auf, zu dem Sie von der Admin Console aus navigieren können; Sie müssen ihn nicht selbst in den CStore-Ordner kopieren. Da -nodes den Schlüssel unverschlüsselt belässt, lassen Sie das Feld Private Key Password beim Import leer.

Wenn Sie überhaupt keinen CSR benötigen

FileMaker Server kann selbständig ein kostenloses Let’s Encrypt-Zertifikat anfordern, ohne CSR und ohne manuellen Import, jedoch nur bei aktuellen Releases. In FileMaker Server 2025 (Version 22) und später erledigt dies die Admin Console: Öffnen Sie Configuration > SSL Certificate, klicken Sie auf Request Let’s Encrypt Certificate, geben Sie Ihren vollqualifizierten Domainnamen ein und aktivieren Sie optional Automatically Renew Certificate. Test Validation prüft, ob FileMaker Server unter diesem Namen öffentlich erreichbar ist, was Aufschluss darüber gibt, ob eine Anfrage erfolgreich wäre.

Ältere Releases sind nicht gleichwertig, prüfen Sie also Ihre Version, bevor Sie nach dieser Schaltfläche suchen. FileMaker Server 2024 (Version 21.0.1) war das erste Release mit einer integrierten Funktion, und diese ist nur über die Kommandozeile verfügbar: ein Paar von Request- und Renew-Shellskripten im Ordner Tools/Lets_Encrypt der FileMaker-Server-Installation, wofür Sie zudem Certbot selbst installieren müssen. Lesen Sie die README neben diesen Skripten für die genauen Dateinamen und Voraussetzungen, da sich die Namen zwischen den 2024er-Releases unterscheiden. FileMaker Server 19 und FileMaker Server 2023 (Version 20) bieten überhaupt keine integrierte Let’s-Encrypt-Unterstützung, bei diesen Releases ist also der oben beschriebene CSR-Weg die einzige Möglichkeit.

Zwei Bedingungen entscheiden darüber, ob dies für Sie überhaupt infrage kommt: Die Domain muss während der HTTP-Validierung über Port 80 öffentlich erreichbar sein, und Wildcards werden nicht unterstützt. Server, die nicht dem Internet ausgesetzt sind, sowie alle, die eine Wildcard, Organization Validation, Extended Validation oder eine längere Laufzeit benötigen, gehen den oben beschriebenen CSR-Weg.

FileMaker Server 15 und 16 (Legacy)

Diese Releases sind längst am Ende ihres Lebenszyklus angelangt und erhalten keine Sicherheitsupdates mehr, behandeln Sie dies also als Übergangslösung und planen Sie ein Upgrade ein. Bei FileMaker Server 15 und 16 erstellt die Admin Console die Anfrage an anderer Stelle: Öffnen Sie den Tab Database Server > Security und klicken Sie auf Create Request. Füllen Sie Domain name (auch hier wird eine Wildcard wie *.yourcompany.com akzeptiert), Company name, Organization, City, State or Province und Country aus, geben Sie dann ein Verschlüsselungspasswort für den privaten Schlüssel ein und bestätigen Sie es, und klicken Sie auf Create.

Die Konsole, nicht die Kommandozeile, schreibt serverRequest.pem und serverKey.pem in den CStore-Ordner, und Sie kopieren den Inhalt von serverRequest.pem genau wie oben beschrieben in Ihr Bestellformular. Die SAN-Einschränkung gilt auch hier.

Häufig gestellte Fragen