Wie man einen CSR-Code auf Oracle-Servern generiert

Diese Anleitung zeigt Ihnen, wie Sie einen CSR (Certificate Signing Request) auf Oracle-Servern erzeugen. Sie behandelt die drei Oracle-Produkte, bei denen Sie einen CSR lokal erstellen würden: Oracle Wallet Manager (oder das moderne orapki-Kommando), Oracle iPlanet Web Server und Oracle WebLogic Server (Java keytool). Wählen Sie den Abschnitt, der zu Ihrem Produkt passt, folgen Sie den Schritten und reichen Sie den CSR anschließend bei Ihrer Zertifizierungsstelle ein.

CSR im Oracle Wallet Manager erzeugen

Wenn Sie Ihren CSR bereits erzeugt haben, springen Sie direkt zu SSL-Zertifikat auf Oracle installieren. Andernfalls haben Sie im Oracle Wallet Manager zwei Möglichkeiten: die grafische Oracle Wallet Manager-Oberfläche (OWM) oder das moderne Kommandozeilen-Tool orapki, das mit Oracle-Produkten ausgeliefert wird. Der orapki-Weg ist skriptfähig und die von Oracle für aktuelle Bereitstellungen empfohlene Option; OWM wird für dieselben Vorgänge weiterhin unterstützt.

Option A: Oracle Wallet Manager (GUI)

1. Öffnen Sie den Oracle Wallet Manager. Falls Sie noch kein Wallet haben, wählen Sie Wallet > New, legen Sie ein sicheres Passwort fest und speichern Sie es.
2. Wählen Sie im Hauptmenü Operations > Add Certificate Request.
3. Füllen Sie im Dialogfeld die Angaben zur Zertifikatsanfrage genau so aus, wie Ihr Unternehmen rechtlich registriert ist:
   • Common Name (CN): der vollqualifizierte Domainname, den Sie absichern möchten, zum Beispiel www.ihredomain.de, oder eine Wildcard wie *.ihredomain.de. Geben Sie hier keinen Personennamen ein.
   • Organizational Unit (OU): Öffentliche Zertifizierungsstellen geben dieses Feld nicht mehr aus. Lassen Sie es leer.
   • Organization (O): der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel Ihre Firma GmbH. Bei DV-Zertifikaten (Domain Validation) können Sie dieses Feld leer lassen.
   • Locality / City (L): der vollständige Name der Stadt, in der Ihr Unternehmen registriert ist, zum Beispiel Berlin. Verwenden Sie keine Abkürzungen.
   • State / Province (ST): der vollständige Name des Bundeslandes oder der Provinz, zum Beispiel Bayern. Verwenden Sie kein Zwei-Buchstaben-Kürzel.
   • Country (C): der zweistellige ISO-Ländercode, zum Beispiel US, GB, DE.
   • Key Size: 2048 Bit sind das derzeit übliche öffentliche Minimum. Oracle Wallets bieten 512, 1024, 2048, 4096 und größer, ohne Option für 3072, sodass die nächsthöhere Stufe hier 4096 ist.
4. Klicken Sie auf OK. Ein Bestätigungsfenster meldet die erfolgreiche Erzeugung des CSR. Der Zertifikatsknoten im Navigationsmenü des Wallets zeigt nun den Status Certificate: [Requested].
5. Wählen Sie in der Wallet-Ansicht Operations > Export Certificate Request, geben Sie der Datei einen Namen (zum Beispiel ihredomain.csr) und speichern Sie sie. Schließen oder löschen Sie das Wallet nicht: Es enthält nun den privaten Schlüssel, der zu diesem CSR gehört.

Hinweis: Die grafische Oberfläche des Oracle Wallet Manager bietet kein separates Eingabefeld für Subject Alternative Names (SAN). Moderne Browser und TLS-Clients validieren Zertifikate anhand der SAN-Erweiterung und nicht anhand des Common Name, daher sollten Sie jeden benötigten Hostnamen (zum Beispiel ihredomain.de und www.ihredomain.de) im SAN-Feld des Bestellformulars Ihrer Zertifizierungsstelle angeben. Die CA fügt diese dem ausgestellten Zertifikat hinzu. Wenn Sie die orapki-Kommandozeile verwenden (Option B unten), können Sie SANs mit dem Flag -addext_san direkt in den CSR einbetten.

Option B: orapki (Kommandozeile)

Das Tool orapki wird mit Oracle-Produkten ausgeliefert (in den Distributionen der Datenbank, Fusion Middleware und HTTP Server) und ist die skriptfähige Alternative zu OWM. Der Ablauf besteht aus zwei Befehlen: zunächst wird das Wallet mit Schlüsselpaar erstellt, dann wird der CSR exportiert.

Erstellen Sie ein Auto-Login-Wallet und fügen Sie ein Schlüsselpaar hinzu:

orapki wallet create -wallet /etc/oracle/wallet -auto_login -pwd "YourStrongPassword"

orapki wallet add -wallet /etc/oracle/wallet 
  -dn "CN=www.yourdomain.com, O=Your Company LLC, L=Seattle, ST=Washington, C=US" 
  -keysize 2048 
  -addext_san "DNS:yourdomain.com,DNS:www.yourdomain.com" 
  -pwd "YourStrongPassword"

Exportieren Sie anschließend den CSR aus dem Wallet:

orapki wallet export -wallet /etc/oracle/wallet 
  -dn "CN=www.yourdomain.com, O=Your Company LLC, L=Seattle, ST=Washington, C=US" 
  -request /tmp/yourdomain.csr 
  -pwd "YourStrongPassword"

Ersetzen Sie den Wallet-Pfad, den DN und das Passwort durch Ihre eigenen Werte. Der DN im export-Befehl muss mit dem DN übereinstimmen, den Sie beim Hinzufügen des Schlüsselpaares verwendet haben. Das Flag -addext_san (orapki 12.2.1.1 und höher) bettet die Subject Alternative Names direkt in den CSR ein; listen Sie jeden Hostnamen auf, den das Zertifikat abdecken muss, einschließlich sowohl der Hauptdomain als auch der Subdomain www. Die Datei ihredomain.csr enthält nun den CSR, bereit zur Einreichung.

CSR einreichen

Öffnen Sie die Datei .csr in einem beliebigen Texteditor (zum Beispiel Notepad). Die Datei ist Klartext, beginnt mit -----BEGIN NEW CERTIFICATE REQUEST----- (oder -----BEGIN CERTIFICATE REQUEST-----) und endet mit der entsprechenden Zeile -----END. Kopieren Sie den gesamten Block einschließlich dieser Kopf- und Fußzeilen und fügen Sie ihn während des Bestellvorgangs bei Ihrer CA in das CSR-Feld ein.

CSR auf dem Oracle iPlanet Web Server erzeugen

Oracle iPlanet (früher Sun Java System Web Server, dann Sun ONE) speichert Serverzertifikate und die zugehörigen Schlüssel in einem Token-Speicher. Der CSR-Assistent befindet sich in der Admin-Konsole:

1. Öffnen Sie in der Admin-Konsole von Oracle iPlanet den Bereich Server Certificates und klicken Sie auf Request.
2. Wählen Sie in der Liste Configuration die Konfiguration aus, für die das Zertifikat bestimmt ist.
3. Wählen Sie das Token (Cryptographic Device), das den Schlüssel enthalten soll. Wenn der Schlüssel auf dem Server gespeichert wird, wählen Sie Internal; andernfalls wählen Sie Ihr externes Token aus der Auswahlliste. Geben Sie das Passwort für das gewählte Token ein.
4. Füllen Sie die Zertifikatsangaben aus:
   • Server Name: der vollqualifizierte Domainname, den Sie absichern möchten, zum Beispiel www.ihredomain.de. Für ein Wildcard-Zertifikat setzen Sie einen Stern voran, zum Beispiel *.ihredomain.de.
   • Organization (O): der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel Ihre Firma GmbH.
   • Organizational Unit (OU): von öffentlichen CAs nicht mehr vergeben. Lassen Sie das Feld leer.
   • Locality (L): der vollständige Name der Stadt, in der Ihr Unternehmen registriert ist.
   • State or Province (ST): der vollständige Name des Bundeslandes oder der Provinz, in dem/der Ihr Unternehmen registriert ist.
   • Country (C): der zweistellige ISO-Ländercode, zum Beispiel US für die Vereinigten Staaten. Siehe die vollständige Liste der Ländercodes.
5. Wählen Sie für Key Type RSA mit 2048 Bit (oder mehr).
6. Wählen Sie für die Certificate Signing Authority (CSA) die Option CA Signed.
7. Überprüfen Sie die eingegebenen Werte, klicken Sie dann auf Generate Request und anschließend auf Finish.
8. Kopieren Sie den neu erzeugten CSR (einschließlich der Zeilen -----BEGIN NEW CERTIFICATE REQUEST----- und -----END NEW CERTIFICATE REQUEST-----) in eine Textdatei und klicken Sie dann auf Close.

Hinweis: Wie beim Oracle Wallet Manager bietet auch der iPlanet-CSR-Assistent kein SAN-Feld. Geben Sie jeden Hostnamen, den das Zertifikat abdecken muss (Hauptdomain plus www sowie weitere Subdomains), im SAN-Feld des Bestellformulars Ihrer CA an.

CSR auf dem Oracle WebLogic Server erzeugen

Oracle WebLogic Server verwendet Java-Keystores. Sie erzeugen den CSR mit dem Java-Tool keytool in zwei Befehlen: Zuerst erstellt keytool -genkeypair den Keystore und den privaten Schlüssel unter einem gewählten Alias, dann exportiert keytool -certreq den zugehörigen CSR. Derselbe Alias muss später beim Import des signierten Zertifikats erneut verwendet werden, damit der Schlüssel, der CSR und das spätere Zertifikat alle an einem Ort liegen.

Schritt 1: Keystore und privaten Schlüssel erstellen

Öffnen Sie ein Terminal auf dem WebLogic-Server und erstellen Sie einen neuen Keystore im Format PKCS12. PKCS12 ist seit JDK 9 das Standard-Keystore-Format in Java und der moderne, portable Standard. Das ältere proprietäre Format JKS gilt offiziell als veraltet:

keytool -genkeypair 
  -alias server 
  -keyalg RSA -keysize 2048 
  -storetype PKCS12 
  -keystore yourdomain.p12 
  -validity 825

Bedeutung der Parameter:

• -alias server: der Eintragsname innerhalb des Keystores. Wählen Sie eine Bezeichnung, die Sie wiedererkennen (häufig server oder Ihre Domain). Notieren Sie sich diesen Wert. Sie müssen genau diesen Alias erneut verwenden, wenn Sie den CSR erzeugen und später das signierte Zertifikat importieren.
• -keyalg RSA -keysize 2048: ein 2048-Bit-RSA-Schlüssel ist das derzeit übliche öffentliche Minimum. Für neue Keystores ist 3072 Bit ein sinnvolles Upgrade für langlebigere Schlüssel. Die meisten öffentlichen CAs akzeptieren auch ECDSA (-keyalg EC -groupname secp256r1), wenn Sie einen kleineren, schnelleren Schlüssel bevorzugen; -groupname erfordert JDK 13 oder höher, verwenden Sie daher auf den Java-8- und Java-11-Laufzeitumgebungen, die ältere WebLogic-Releases unterstützen, stattdessen -keyalg EC -keysize 256, was dieselbe Kurve auswählt.
• -storetype PKCS12: erzwingt den modernen PKCS12-Keystore. Die passende Dateiendung ist .p12 (oder .pfx).
• -keystore yourdomain.p12: die zu erstellende Keystore-Datei. Ersetzen Sie diese durch einen Namen, den Sie sich merken können, und bewahren Sie die Datei sicher auf: Sie enthält Ihren privaten Schlüssel.
• -validity 825: wie lange das selbstsignierte Platzhalterzertifikat im Keystore gültig ist. Das signierte Zertifikat der CA ersetzt es später, sodass der genaue Wert die Produktionslaufzeit nicht beeinflusst.

Hinweis: Wenn Sie für eine ältere WebLogic-Bereitstellung weiterhin JKS verwenden müssen, ersetzen Sie -storetype PKCS12 durch -storetype JKS und verwenden Sie die Endung .jks. Der restliche Ablauf bleibt identisch. Verwenden Sie bei Wildcard-Zertifikaten keinen Stern im Namen der Keystore-Datei: Dieses Zeichen wird von den meisten Dateisystemen nicht unterstützt.

keytool fragt anschließend nach einem Keystore-Passwort. Wählen Sie ein starkes Passwort und speichern Sie es in Ihrem Passwortmanager: Sie benötigen es für jeden weiteren keytool-Befehl und für die Keystore-Konfiguration von WebLogic. Bei PKCS12-Keystores entspricht das Schlüsselpasswort dem Keystore-Passwort, sodass Sie sich nur ein Passwort merken müssen.

Schritt 2: Organisationsdaten eingeben (DN)

keytool fragt nun nach dem Distinguished Name (DN): den Identitätsfeldern, die in den CSR aufgenommen werden. Beantworten Sie jede Eingabeaufforderung mit dem exakten, rechtlich korrekten Wert für Ihr Unternehmen. Zeichensetzung und Genauigkeit sind wichtig, da eine CA Abweichungen von öffentlichen Handelsregistereinträgen ablehnt.

• First and last name (CN): dies ist die Formulierung von keytool, meint aber das Common-Name-Feld. Geben Sie den exakten FQDN ein, den Sie absichern möchten, zum Beispiel www.ihredomain.de, oder eine Wildcard wie *.ihredomain.de. Geben Sie hier keinen Personennamen ein.
• Organizational unit (OU): wird von öffentlichen CAs nicht mehr ausgestellt. Versuchen Sie nicht, dies durch Drücken der Eingabetaste zu überspringen: keytool setzt seinen eigenen Standardwert und schreibt OU=Unknown in die Anfrage, und die Eingabe eines Leerzeichens führt zum gleichen Ergebnis. Es gibt keine interaktive Möglichkeit, das Feld auszulassen; geben Sie also entweder den Abteilungsnamen ein, zum Beispiel IT, oder verwenden Sie die unten gezeigte -dname-Form und lassen Sie die OU-Komponente in der Zeichenkette weg.
• Organization (O): der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel Ihre Firma GmbH. Wenn der Name Ihres Unternehmens Symbole wie & oder @ enthält, schreiben Sie diese aus oder lassen Sie sie weg; keytool weist manche Sonderzeichen zurück.
• City or locality (L): der vollständige Stadtname, zum Beispiel Frankfurt am Main. Verwenden Sie keine Abkürzungen.
• State or province (ST): der vollständige Name des Bundeslandes oder der Provinz, zum Beispiel Hessen. Verwenden Sie kein Zwei-Buchstaben-Kürzel.
• Country code (C): der zweistellige ISO-Ländercode, zum Beispiel US, GB, DE.

Nach der letzten Abfrage zeigt keytool eine Zusammenfassung wie CN=www.ihredomain.de, OU=Unknown, O=Ihre Firma GmbH, L=Frankfurt am Main, ST=Hessen, C=DE. Geben Sie yes ein, um zu bestätigen. Die Keystore-Datei existiert nun mit einem Eintrag: Ihr Alias, der den privaten Schlüssel und ein selbstsigniertes Platzhalterzertifikat enthält.

Wenn Sie einen nicht interaktiven Befehl bevorzugen, übergeben Sie den DN inline und überspringen Sie die Abfragen:

keytool -genkeypair 
  -alias server 
  -keyalg RSA -keysize 2048 
  -storetype PKCS12 
  -keystore yourdomain.p12 
  -dname "CN=www.yourdomain.com, O=Your Company LLC, L=San Francisco, ST=California, C=US" 
  -validity 825

Schritt 3: CSR mit SAN erzeugen

Moderne Browser und TLS-Clients validieren Zertifikate anhand der Erweiterung Subject Alternative Name (SAN) und nicht allein anhand des Common Name. Fordern Sie die SANs direkt im CSR an, damit die CA sie in das ausgestellte Zertifikat aufnimmt. Verwenden Sie denselben Alias und Keystore wie in Schritt 1:

keytool -certreq 
  -alias server 
  -keystore yourdomain.p12 
  -file yourdomain.csr 
  -ext san=dns:yourdomain.com,dns:www.yourdomain.com

Bedeutung der Parameter:

• -alias server: muss mit dem Alias aus Schritt 1 übereinstimmen. Dies ist der Alias, dessen privater Schlüssel die Anfrage signiert.
• -keystore yourdomain.p12: muss mit dem Keystore aus Schritt 1 übereinstimmen.
• -file yourdomain.csr: der Ausgabedateiname für den CSR.
• -ext san=dns:…: die Erweiterung Subject Alternative Name. Listen Sie jeden Hostnamen auf, den das Zertifikat abdecken muss, einschließlich sowohl der reinen Hauptdomain (ihredomain.de) als auch der Subdomain www. Fügen Sie weitere Einträge durch Kommas getrennt hinzu, zum Beispiel dns:api.ihredomain.de.

keytool fragt nach dem Keystore-Passwort und schreibt den CSR als yourdomain.csr in das aktuelle Verzeichnis.

Wichtig: Alias und Keystore aufbewahren

Der häufigste keytool-Fehler bei WebLogic ist der Import des signierten Zertifikats unter einem neuen Alias. Dadurch wird das Zertifikat als eigenständiger vertrauenswürdiger Eintrag ohne zugehörigen privaten Schlüssel gespeichert, und der SSL-Listener von WebLogic startet nicht. Importieren Sie die signierte Antwort immer zurück in denselben Alias, der den privaten Schlüssel enthält (den Alias aus Schritt 1).

Notieren Sie sich diese drei Werte jetzt, bevor Sie das Terminal schließen:

• Den Alias (in dieser Anleitung server).
• Den Pfad zur Keystore-Datei (zum Beispiel yourdomain.p12).
• Das Keystore-Passwort.

Wenn Sie nicht sicher sind, welcher Alias Ihren Schlüssel enthält, listen Sie den Inhalt des Keystores auf und suchen Sie nach dem Eintrag mit dem Typ PrivateKeyEntry:

keytool -list -v -keystore yourdomain.p12

Schritt 4: CSR vor dem Einreichen überprüfen

Erkennen Sie Tippfehler im DN oder fehlende SANs, bevor die CA sie validiert. Geben Sie den CSR mit keytool aus:

keytool -printcertreq -file yourdomain.csr

Oder, falls OpenSSL installiert ist:

openssl req -noout -text -in yourdomain.csr

Prüfen Sie drei Dinge in der Ausgabe: Der Subject zeigt Ihren exakten DN, der Subject Alternative Name listet jeden benötigten Hostnamen auf, und die Public-Key-Größe entspricht dem, was Sie angefordert haben (2048-Bit-RSA oder was auch immer Sie gewählt haben). Sie können den CSR auch in unseren CSR Decoder einfügen, um dieselbe Prüfung im Browser durchzuführen.

Schritt 5: CSR bei Ihrer Zertifizierungsstelle einreichen

Öffnen Sie yourdomain.csr in einem beliebigen Texteditor. Die Datei ist Klartext, beginnt mit -----BEGIN NEW CERTIFICATE REQUEST----- und endet mit -----END NEW CERTIFICATE REQUEST-----. Kopieren Sie den gesamten Block einschließlich dieser Kopf- und Fußzeilen und fügen Sie ihn während des Bestellvorgangs bei Ihrer CA in das CSR-Feld ein. Verwenden Sie unter Windows Strg + A und dann Strg + C, um den gesamten Text zu erfassen; unter macOS verwenden Sie Cmd + A und dann Cmd + C.

Sichern Sie die Keystore-Datei (yourdomain.p12) an einem sicheren Ort, bevor Sie das Terminal schließen. Wenn Sie den Keystore verlieren, verlieren Sie den privaten Schlüssel, und das von der CA ausgestellte Zertifikat wird nutzlos.

Nachdem die CA Ihre Anfrage validiert und das Zertifikat ausgestellt hat, fahren Sie fort mit SSL-Zertifikat auf Oracle installieren. Bei WebLogic importieren Sie das signierte Zertifikat zurück in denselben Alias im selben Keystore und verweisen anschließend den SSL-Listener auf diesen Keystore.