Comment générer un CSR sur Citrix Access Gateway 5.0 (obsolète)

Ce tutoriel vous montre comment générer une CSR (Certificate Signing Request) sur Citrix Access Gateway 5.0 à l’aide de la console Access Gateway Management Console.

Important : Citrix Access Gateway 5.0 est en fin de vie. Citrix a retiré la gamme autonome Access Gateway il y a plusieurs années, et les charges de travail d’accès distant fonctionnent désormais sur NetScaler Gateway (anciennement Citrix Gateway, et faisant partie de la plateforme NetScaler sous Cloud Software Group depuis octobre 2022). Si vous déployez ou migrez vers une plateforme prise en charge, suivez plutôt notre guide complémentaire sur comment générer une CSR sur NetScaler. Les étapes ci-dessous sont conservées pour les administrateurs qui maintiennent encore une appliance CAG 5.0 héritée et doivent renouveler son certificat.

Générer une CSR sur Citrix Access Gateway 5.0

Si vous avez déjà généré votre CSR et reçu le certificat émis par votre CA, passez directement à l’installation du certificat sur Citrix Access Gateway 5.0.

Vous pouvez créer la CSR de deux façons : sur l’appliance avec l’assistant intégré (voir ci-dessous), ce qui conserve la clé privée sur l’appliance, ou en dehors de l’appareil avec notre générateur de CSR, qui produit la CSR et la clé privée correspondante à importer ultérieurement. Conservez cette clé en lieu sûr, car vous en aurez besoin lors de l’installation du certificat. Les étapes sur l’appliance suivent.

Étape 1 : Ouvrir l’assistant de demande de certificat

• Connectez-vous à la console Access Gateway Management Console et cliquez sur Certificates.
• Dans le panneau de droite, cliquez sur New pour ouvrir l’onglet Certificate Signing Request.

Étape 2 : Remplir les champs de la CSR

Utilisez des caractères ASCII standard dans chaque champ. Les lettres accentuées ou non latines peuvent invalider la demande. Complétez le formulaire comme suit :

• Key length : sélectionnez l’option 2048-bit. Le RSA 2048 bits est le minimum accepté par toutes les CA publiques et le bon choix pour cette appliance.
• Common Name : le nom de domaine complet (FQDN) que vous souhaitez sécuriser, par exemple yoursite.com. Pour un certificat wildcard, ajoutez un astérisque devant le domaine, par exemple *.yoursite.com.
• Email : une adresse email valide. Les CA publiques n’utilisent plus ce champ pour valider ou émettre des certificats SSL/TLS, il n’a donc aucune incidence sur l’émission. Remplissez-le uniquement si l’assistant exige une valeur.
• Description : une étiquette pour la demande sur l’appliance, par exemple Certificate Signing Request. Il s’agit uniquement d’un nom local qui n’est pas inscrit dans le certificat.
• Company name : le nom légal complet de votre organisation, exactement tel qu’enregistré. Ce champ est utilisé pour les certificats à validation d’organisation (OV) et à validation étendue (EV). Pour un certificat à validation de domaine (DV), l’organisation n’est pas validée et n’apparaît pas dans le certificat émis, la valeur est donc en pratique ignorée. Laissez-le vide si l’assistant le permet, ou saisissez votre véritable nom légal. N’entrez pas de texte fictif tel que NA.
• Department name : il s’agit de l’unité organisationnelle (OU). Le CA/Browser Forum a déprécié cet attribut : les certificats émis à partir du 1er septembre 2022 ne doivent plus inclure d’unité organisationnelle, et les CA publiques la suppriment lors de l’émission. Laissez ce champ vide.
• City : le nom complet de la ville où votre organisation est enregistrée, par exemple Los Angeles (pas LA).
• State or Province : le nom complet de l’État ou de la région, par exemple California (pas CA).
• Country Code : dans le menu déroulant, sélectionnez le code pays ISO à deux lettres où votre organisation est enregistrée, par exemple US.

Étape 3 : Générer et copier la CSR

Vérifiez à nouveau chaque valeur, puis cliquez sur Save. Une boîte de dialogue apparaît avec votre CSR. Cliquez sur le bouton Copy pour copier l’ensemble du bloc, puis collez-le dans un éditeur de texte brut tel que Notepad. La CSR est un bloc de texte en base64 encadré par des marqueurs BEGIN et END :

-----BEGIN CERTIFICATE REQUEST-----
MIIDXjCCAkYCAQAwgZQxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlh
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Copiez l’ensemble du bloc, y compris les lignes -----BEGIN CERTIFICATE REQUEST----- et -----END CERTIFICATE REQUEST-----, sans espaces ni lignes vides supplémentaires. Enregistrez le fichier (par exemple yourdomain.csr) sur votre PC. Vous coller cette CSR dans le formulaire de commande lors de l’achat de votre certificat. Une fois que la CA a validé la demande et émis le certificat, installez-le en suivant comment installer un certificat SSL sur Citrix Access Gateway 5.0.

Vérifier la CSR avant de la soumettre (facultatif)

Il est utile de confirmer les détails avant d’envoyer la demande à votre CA. Collez le contenu de la CSR dans notre décodeur de CSR pour relire chaque champ, et vérifiez que le Common Name correspond au nom d’hôte que les clients utiliseront. Les erreurs détectées à ce stade sont peu coûteuses à corriger ; les erreurs découvertes après l’émission nécessitent une réémission.