IBM HTTP Server पर CSR कैसे जनरेट करें

यह गाइड आपको दिखाती है IBM HTTP Server (IHS) पर CSR (Certificate Signing Request) कैसे जनरेट करें, और HCL Domino (पहले IBM Domino) पर भी वही काम कैसे करें।

IBM HTTP Server कीज़ और सर्टिफिकेट्स को एक CMS key database (एक .kdb फाइल और एक .sth stash) में संग्रहीत करता है, जिसे आप IKEYMAN ग्राफिकल टूल या IHS के साथ आने वाले IBM Global Security Kit (GSKit) के gskcapicmd कमांड लाइन यूटिलिटी से प्रबंधित करते हैं।

नीचे दिए गए स्टेप्स IHS 9.0.5.x (मौजूदा समर्थित रिलीज़) पर दोनों तरीकों को कवर करते हैं, फिर HCL Domino के लिए दो CSR प्रवाह: क्लासिक Server Certificate Administration डेटाबेस (लीगेसी इंस्टॉल के लिए रखा गया) और आधुनिक Certificate Manager टास्क certstore.nsf के साथ, जिसे HCL Domino 12 और उसके बाद के संस्करणों पर अनुशंसित करता है।

IBM HTTP Server पर CSR जनरेट करें

यदि आपने पहले से ही अपना CSR जनरेट कर लिया है, तो IBM HTTP Server पर SSL सर्टिफिकेट कैसे इंस्टॉल करें पर आगे जाएं।

आप IHS पर रिक्वेस्ट दो तरीकों से बना सकते हैं: IKEYMAN GUI के माध्यम से (क्लासिक पॉइंट-एंड-क्लिक यूटिलिटी), या कमांड लाइन पर gskcapicmd के साथ। दोनों प्राइवेट की को एक ही CMS key database में लिखते हैं और एक .arm फाइल के रूप में PKCS #10 रिक्वेस्ट बनाते हैं जिसे आप अपने Certificate Authority को सबमिट करते हैं। डेस्कटॉप या डिस्प्ले वाले सर्वर पर GUI चुनें; हेडलेस बॉक्स पर या जब आप एक दोहराए जाने योग्य स्क्रिप्ट चाहते हैं, तो CLI चुनें।

आवश्यक शर्तें: IBM HTTP Server इंस्टॉल है, GSKit सिस्टम पर है (यह IHS पैकेज के अंदर आता है), और IHS bin डायरेक्टरी आपके PATH पर है या आप इसका पूरा पथ जानते हैं (आमतौर पर Linux/AIX पर /opt/IBM/HTTPServer/bin/, या Windows पर C:Program FilesIBMHTTPServerbin)। आपको एक वर्किंग डायरेक्टरी भी चाहिए जहां आप नया key database और CSR फाइल लिख सकें, और कहीं key database पासवर्ड रिकॉर्ड करने की जगह।

तरीका 1. IKEYMAN (GUI) के साथ CSR जनरेट करें

स्टेप 1. नया CMS key database (.kdb) बनाएं

• IKEYMAN शुरू करें। Windows पर, Start > IBM HTTP Server > Start Key Management Utility खोलें। Linux, AIX, या अन्य UNIX पर, IHS bin डायरेक्टरी से ikeyman रन करें (उदाहरण के लिए /opt/IBM/HTTPServer/bin/ikeyman); आपको एक वर्किंग X11 डिस्प्ले की आवश्यकता है।
• मेनू से, Key Database File > New चुनें।
• Key database type ड्रॉप-डाउन में, CMS चुनें। यह वह फॉर्मैट है जिसे IBM HTTP Server पढ़ता है।
• File Name में, नए डेटाबेस के लिए एक नाम दर्ज करें (उदाहरण के लिए key.kdb)।
• Location में, ऐसे फोल्डर की ओर इशारा करें जिसे आप फिर से ढूंढ सकें (उदाहरण के लिए Linux पर /opt/IBM/HTTPServer/ssl/, या Windows पर C:IBMHTTPServerssl)। OK पर क्लिक करें।
• एक मजबूत पासवर्ड सेट करें, फिर Stash password to a file पर टिक करें ताकि IKEYMAN .kdb के बगल में एक मिलान करने वाली .sth stash फाइल लिखे। IHS स्टार्ट-अप पर stash पढ़ता है ताकि आपको हर बार सर्वर स्टार्ट होने पर पासवर्ड टाइप न करना पड़े। OK पर क्लिक करें।

IKEYMAN उस फोल्डर में दो फाइलें बनाता है: डेटाबेस स्वयं (key.kdb) और stash (key.sth)। दोनों को गुप्त मानें। उनकी फाइल अनुमतियों को सख्त रखें (केवल IHS यूजर द्वारा पठनीय) और उन्हें किसी सुरक्षित स्थान पर बैकअप करें, क्योंकि उनके बिना आप प्राइवेट की को पुनर्प्राप्त नहीं कर सकते।

स्टेप 2. सर्टिफिकेट रिक्वेस्ट बनाएं

• नए डेटाबेस के खुले होने पर, Key database content ड्रॉप-डाउन ढूंढें और इसे Personal Certificate Requests में बदलें।
• New पर क्लिक करें। Create New Key and Certificate Request डायलॉग खुलता है।

फील्ड्स को केवल मानक ASCII वर्णों से भरें; गैर-लैटिन अक्षर रिक्वेस्ट को बिगाड़ देते हैं:

• Key Label: key database के अंदर इस सर्टिफिकेट के लिए एक छोटा पहचानकर्ता, उदाहरण के लिए www.example.com। आप इस लेबल को बाद में httpd.conf में SSLServerCert डायरेक्टिव के साथ संदर्भित करते हैं।
• Key Size: 2048 चुनें। यह मौजूदा न्यूनतम है जिसे हर सार्वजनिक CA स्वीकार करता है। केवल तभी 3072 या 4096 चुनें जब आपकी नीति को बड़ी की की आवश्यकता हो; इसका ट्रेड-ऑफ थोड़ा धीमा TLS हैंडशेक है।
• Signature Algorithm: SHA256WithRSA (या मजबूत, जैसे SHA384WithRSA) चुनें। SHA-1 वाली किसी भी चीज़ से बचें; सार्वजनिक CA इसके खिलाफ जारी नहीं करेंगे।
• Common Name: पूरी तरह से क्वालिफाइड डोमेन नाम जिसे आप सुरक्षित करना चाहते हैं, उदाहरण के लिए www.example.com। वाइल्डकार्ड सर्टिफिकेट के लिए, apex के आगे एक तारांकन (asterisk) लगाएं, उदाहरण के लिए *.example.com।
• Organization: आपकी कंपनी का पूरा कानूनी नाम, बिल्कुल पंजीकृत रूप में। OV और EV सर्टिफिकेट्स के लिए आवश्यक; DV के लिए अनदेखा किया जाता है।
• Organizational Unit: यह विशेषता सार्वजनिक सर्टिफिकेट्स के लिए पदावनत (deprecated) है (CA/Browser Forum ने इसे चरणबद्ध रूप से समाप्त कर दिया है)। इसे खाली छोड़ें या IT जैसा छोटा लेबल दर्ज करें।
• Locality: पूरा शहर का नाम (उदाहरण के लिए Seattle, न कि SEA)।
• State/Province: पूरा राज्य या प्रांत का नाम (उदाहरण के लिए Washington, न कि WA)।
• Country: दो-अक्षर वाला ISO देश कोड, उदाहरण के लिए US, GB, या DE।
• Subject Alternative Names (SAN): हर वह होस्टनेम जोड़ें जो सर्टिफिकेट पर दिखना चाहिए, जिसमें आपने Common Name में डाला गया मान भी शामिल है। आधुनिक ब्राउज़र Common Name को अनदेखा करते हैं और केवल SAN सूची के खिलाफ मान्य करते हैं, इसलिए मल्टी-नेम सर्टिफिकेट में यहां प्रविष्टियां होनी चाहिए।
• Enter the name of a file in which to store the certificate request: .arm में समाप्त होने वाला एक पथ और नाम, उदाहरण के लिए /opt/IBM/HTTPServer/ssl/www_example_com.arm। इसे key database के समान फोल्डर में सहेजें ताकि दोनों साथ रहें।

OK पर क्लिक करें। IKEYMAN key database के अंदर की-पेयर जनरेट करता है, रिक्वेस्ट को एक लंबित प्रविष्टि के रूप में स्टोर करता है, और PKCS #10 CSR को आपके द्वारा नामित .arm फाइल में लिखता है।

स्टेप 3. CSR कॉपी करें और इसे CA को सबमिट करें

.arm फाइल को किसी भी टेक्स्ट एडिटर में खोलें (Notepad, vi, nano)। आपको इस तरह का एक ब्लॉक दिखाई देगा:

-----BEGIN NEW CERTIFICATE REQUEST-----
MIIDXjCCAkYCAQAwgZQxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApXYXNoaW5ndG9u
... (many lines of base64) ...
-----END NEW CERTIFICATE REQUEST-----

पूरे ब्लॉक को चुनें, जिसमें BEGIN और END लाइनें शामिल हैं, इसे कॉपी करें, और अपने ऑर्डर फॉर्म पर CSR फील्ड में पेस्ट करें। प्राइवेट की सर्वर पर key database में ही रहती है; केवल CSR टेक्स्ट मशीन से बाहर निकलता है।

तरीका 2. gskcapicmd (CLI) के साथ CSR जनरेट करें

gskcapicmd यूटिलिटी (कभी-कभी Java रैपर के लिए gskcmd या 64-बिट GSKit इंस्टॉलेशन पर gsk8capicmd_64 के रूप में सूचीबद्ध) बिना ग्राफिकल सेशन के IKEYMAN के समान काम करती है। इसे IHS bin डायरेक्टरी से चलाएं।

स्टेप 1. CMS key database और stash फाइल बनाएं

key database के लिए एक फोल्डर चुनें, फिर रन करें:

gskcapicmd -keydb -create 
  -db /opt/IBM/HTTPServer/ssl/key.kdb 
  -pw your_strong_password 
  -type cms 
  -stash

आर्ग्युमेंट का विवरण:

• -db: नई .kdb फाइल का पूरा पथ।
• -pw: वह पासवर्ड जो key database की सुरक्षा करता है।
• -type cms: वह फॉर्मैट जिसे IHS पढ़ता है।
• -stash: डेटाबेस के बगल में एक मिलान करने वाली .sth stash फाइल लिखता है ताकि IHS स्टार्ट-अप पर प्रॉम्प्ट किए बिना इसे पढ़ सके।

कमांड लाइन पर, पासवर्ड प्रोसेस लिस्टिंग और शेल हिस्ट्री में दिखाई देता है। डेटाबेस बनने के बाद, gskcapicmd -keydb -changepw के साथ पासवर्ड को किसी ऐसे में बदलें जो हिस्ट्री में रिकॉर्ड न हो, या एनवायरनमेंट वेरिएबल के माध्यम से पासवर्ड पास करें और उसे अनसेट करें।

स्टेप 2. सर्टिफिकेट रिक्वेस्ट बनाएं

एक ही चरण में की-पेयर और PKCS #10 CSR जनरेट करें, हर उस होस्टनेम के लिए SAN प्रविष्टियों के साथ जिसे आप सर्टिफिकेट पर चाहते हैं:

gskcapicmd -certreq -create 
  -db /opt/IBM/HTTPServer/ssl/key.kdb 
  -pw your_strong_password 
  -label www.example.com 
  -dn "CN=www.example.com,O=Example Inc,L=Seattle,ST=Washington,C=US" 
  -size 2048 
  -sigalg SHA256WithRSA 
  -san_dnsname "www.example.com,example.com" 
  -file /opt/IBM/HTTPServer/ssl/www_example_com.arm

आर्ग्युमेंट का विवरण:

• -label: key database के अंदर इस सर्टिफिकेट के लिए पहचानकर्ता। इसे बाद में httpd.conf से SSLServerCert डायरेक्टिव के साथ संदर्भित करें।
• -dn: Distinguished Name, अल्पविराम-अलग विशेषताओं के साथ एक स्ट्रिंग के रूप में लिखा गया। FQDN के लिए CN= और C= में दो-अक्षर वाले ISO कोड का उपयोग करें।
• -size: 2048 न्यूनतम है। केवल तभी 3072 या 4096 का उपयोग करें यदि आपकी नीति इसे अनिवार्य करती है।
• -sigalg: SHA256WithRSA (या SHA384WithRSA)। SHA-1 का उपयोग न करें।
• -san_dnsname: हर उस होस्टनेम की एक अल्पविराम-अलग सूची जो सर्टिफिकेट पर दिखनी चाहिए। इस सूची में Common Name मान शामिल करें। ब्राउज़र और अधिकांश TLS लाइब्रेरीज़ केवल SAN को मान्य करते हैं, CN को नहीं।
• -file: वह पथ जहां gskcapicmd .arm CSR फाइल लिखता है।

यदि आपको RSA के बजाय ECDSA की चाहिए, तो -sigalg SHA256WithRSA को -sigalg SHA256WithECDSA से बदलें और अपने लक्ष्य वक्र से मेल खाने के लिए -size बदलें (P-256 के लिए -size 256, P-384 के लिए -size 384)। समर्थित वक्र secp256r1 (P-256), secp384r1 (P-384), और secp521r1 (P-521) हैं। IHS में ECDSA समर्थन केवल gskcapicmd के माध्यम से पूरी तरह से उजागर होता है; IKEYMAN आपको पुराने IHS रिलीज़ पर ECDSA चुनने नहीं देता। किसी विशिष्ट IHS रिलीज़ पर ECDSA के लिए, IBM के सर्टिफिकेट मैनेजमेंट मार्गदर्शन का पालन करें।

स्टेप 3. रिक्वेस्ट को सूचीबद्ध करें और सत्यापित करें

पुष्टि करें कि रिक्वेस्ट key database में जोड़ी गई थी:

gskcapicmd -certreq -list 
  -db /opt/IBM/HTTPServer/ssl/key.kdb 
  -pw your_strong_password

CSR को वापस पढ़ने और Common Name, SAN प्रविष्टियों, की साइज़, और सिग्नेचर एल्गोरिथ्म की जांच करने के लिए:

gskcapicmd -certreq -details 
  -db /opt/IBM/HTTPServer/ssl/key.kdb 
  -pw your_strong_password 
  -label www.example.com

फिर .arm फाइल को टेक्स्ट एडिटर में खोलें, पूरे BEGIN NEW CERTIFICATE REQUEST से END NEW CERTIFICATE REQUEST ब्लॉक को कॉपी करें, और इसे अपने CA ऑर्डर फॉर्म पर सबमिट करें।

सबमिट करने से पहले CSR की जांच करें (वैकल्पिक)

यदि आपके पास OpenSSL इंस्टॉल है, तो subject, SAN सूची, और की साइज़ की पुष्टि करने के लिए उसी मशीन पर यह रन करें:

openssl req -noout -text -in www_example_com.arm

ऑनलाइन टूल पसंद करते हैं? समान विवरण वापस पढ़ने के लिए रिक्वेस्ट की सामग्री को SSL Dragon के CSR Decoder में पेस्ट करें। पुष्टि करें कि Common Name क्लाइंट्स द्वारा उपयोग किए जाने वाले होस्टनेम से मेल खाता है और हर आवश्यक होस्टनेम Subject Alternative Name के तहत दिखाई देता है।

CA द्वारा आपका सर्टिफिकेट जारी करने के बाद

हस्ताक्षरित सर्टिफिकेट को उसी key database में वापस आना चाहिए जिसने CSR तैयार किया था, उसी लेबल के खिलाफ। इसे CLI के साथ प्राप्त करें:

gskcapicmd -cert -receive 
  -db /opt/IBM/HTTPServer/ssl/key.kdb 
  -pw your_strong_password 
  -file www_example_com.crt

या IKEYMAN में Personal Certificates > Receive के तहत वही काम करें। पहले रूट और इंटरमीडिएट सर्टिफिकेट्स को signer certificates के रूप में जोड़ें, फिर httpd.conf को KeyFile और SSLServerCert डायरेक्टिव्स के साथ अपडेट करें और IHS को पुनः आरंभ करें। पूरी प्रक्रिया IBM HTTP Server पर SSL सर्टिफिकेट कैसे इंस्टॉल करें में शामिल है।

HCL Domino पर CSR जनरेट करें

नोट: IBM Domino अब HCL Domino है। HCL ने 1 जुलाई, 2019 को IBM के सहयोग पोर्टफोलियो (Notes/Domino सहित) के अधिग्रहण को पूरा किया। Domino 12 और उसके बाद के संस्करणों पर, HCL सभी नए TLS काम के लिए Certificate Manager टास्क (certstore.nsf और TLS Credentials दस्तावेज़ों के साथ) की अनुशंसा करता है। क्लासिक Server Certificate Administration डेटाबेस (CERTSRV.NSF) अभी भी लीगेसी इंस्टॉल के लिए काम करता है और नीचे दस्तावेज़ीकृत है, लेकिन नए डिप्लॉयमेंट को Certificate Manager का उपयोग करना चाहिए।

तरीका A. Certificate Manager के साथ CSR बनाएं (Domino 12+ / 14.x)

• अपने निर्दिष्ट Certificate Manager सर्वर पर CertMgr टास्क जोड़ें ताकि यह certstore.nsf बनाए। हर Domino सर्वर पर जिसे TLS कीज़ पढ़ने की आवश्यकता है, CertMgr भी चलाएं ताकि डेटाबेस रेप्लिकेट हो।
• certstore.nsf खोलें, TLS Credentials पर जाएं, और Add TLS Credentials पर क्लिक करें।
• Host names: वह सटीक FQDN दर्ज करें जिसका उपयोग क्लाइंट्स करेंगे, और हर अतिरिक्त होस्टनेम को Subject Alternative Name के रूप में जोड़ें।
• Servers with access: उन Domino सर्वरों को चुनें जिन्हें प्राइवेट की पढ़ने में सक्षम होना चाहिए।
• Certificate Provider: किसी भी थर्ड-पार्टी CA के लिए Manual चुनें। (केवल तभी Let’s Encrypt चुनें जब आप चाहते हैं कि CertMgr स्वचालित रूप से एक मुफ्त ACME-जारी सर्टिफिकेट प्राप्त करे।)
• Key type: RSA या ECDSA चुनें।
• RSA: 2048 बिट्स चुनें (या अपनी नीति के अनुसार बड़ा)।
• ECDSA: एक वक्र चुनें (P-256 या P-384; P-384 सूचीबद्ध डिफ़ॉल्ट है)।
• Submit Request पर क्लिक करें। CertMgr की-पेयर जनरेट करता है, CSR पर हस्ताक्षर करता है, और दस्तावेज़ Status = Waiting पर चला जाता है।
• दस्तावेज़ खोलें, Certificate signing request (CSR) के मान को कॉपी करें (या प्रोसेसिंग के बाद दिखाई देने वाली Copy CSR क्रिया का उपयोग करें), और PEM ब्लॉक को अपने CA ऑर्डर फॉर्म में पेस्ट करें।

प्राइवेट की certstore.nsf के अंदर ही रहती है, आपके द्वारा अधिकृत सर्वरों के लिए एन्क्रिप्ट की गई। आप इसे कभी एक्सपोर्ट नहीं करते। जब CA आपका सर्टिफिकेट जारी करता है, तो हस्ताक्षरित सर्टिफिकेट (जारी करने वाली चेन सहित) को उसी TLS Credentials दस्तावेज़ में वापस पेस्ट करें और CertMgr इसे आपके लिए इंस्टॉल करता है। पूरा संदर्भ HCL की Certificate Manager दस्तावेज़ीकरण में है।

तरीका B. क्लासिक Server Certificate Administration (लीगेसी Domino)

इस तरीके का उपयोग केवल उन Domino रिलीज़ों पर करें जो अभी भी key ring फाइलों (.kyr + .sth) पर निर्भर करती हैं। HCL इसे Domino 12 और बाद के संस्करणों पर लीगेसी के रूप में चिह्नित करता है।

• Domino Administrator क्लाइंट में, Server Certificate Administration खोलें।
• Create Key Ring चुनें। एक key ring नाम और एक मजबूत पासवर्ड दर्ज करें।
• Key Size: 2048 बिट्स चुनें।
• Distinguished Name भरें:
• Common Name: वह FQDN जिसे आप सुरक्षित करना चाहते हैं, उदाहरण के लिए www.example.com।
• Organization: आपकी कंपनी का पूरा कानूनी नाम।
• Organizational Unit: खाली छोड़ें या IT जैसा छोटा लेबल दर्ज करें (यह विशेषता सार्वजनिक सर्टिफिकेट्स के लिए पदावनत है)।
• City or Locality: पूरा शहर का नाम, उदाहरण के लिए Seattle।
• State or Province: पूरा राज्य का नाम, उदाहरण के लिए Washington।
• Country: दो-अक्षर वाला ISO कोड, उदाहरण के लिए US।
• विवरणों की समीक्षा करें और Continue पर क्लिक करें। Domino key ring फाइल बनाता है।
• Create Certificate Request चुनें। Method के तहत, Paste into form on CA’s site चुनें। Domino CSR टेक्स्ट प्रदर्शित करता है।
• पूरे CSR ब्लॉक को कॉपी करें (जिसमें BEGIN और END लाइनें शामिल हैं) और इसे अपने CA ऑर्डर फॉर्म में पेस्ट करें।

क्लासिक key ring फाइलें इस डायलॉग के माध्यम से SAN प्रविष्टियों का समर्थन नहीं करतीं। यदि आपको मल्टी-नेम सर्टिफिकेट की आवश्यकता है, तो Certificate Manager (तरीका A) पर जाएं या ऑफ-सर्वर CSR जनरेट करें।

अक्सर पूछे जाने वाले प्रश्न