Cara Membuat CSR di Aruba ClearPass

Panduan ini menunjukkan kepada Anda cara membuat CSR (Certificate Signing Request) pada Aruba ClearPass Policy Manager (CPPM). ClearPass adalah perangkat AAA / kontrol akses jaringan milik HPE Aruba Networking, sehingga CSR dibuat sepenuhnya di konsol admin web, tanpa akses shell. Langkah-langkah di bawah ini berlaku untuk CPPM 6.x, termasuk lini 6.12 yang sedang berjalan, dan alur kerjanya tetap stabil pada rilis-rilis terbaru.

Satu hal yang perlu dipahami sebelum Anda mulai: ClearPass mengikat setiap CSR ke node tertentu (perangkat tempat Anda membuatnya) dan ke Usage tertentu (RADIUS/EAP, HTTPS, RadSec, Database, atau sertifikat Service). Private key tetap berada di node tersebut, dan ketika sertifikat yang telah ditandatangani kembali dari CA, Anda harus mengimpornya ke node dan Usage yang sama. Jika Anda menjalankan cluster ClearPass, ulangi proses ini per node.

Membuat CSR di Aruba ClearPass

Jika Anda sudah memiliki CSR yang dibuat di tempat lain (misalnya dengan CSR Generator kami), Anda dapat langsung menuju petunjuk instalasi SSL Aruba ClearPass. Namun, perlu diketahui bahwa CSR yang dibuat di luar perangkat juga menghasilkan private key di luar perangkat, sehingga Anda akan menginstal sertifikat yang telah ditandatangani sebagai bundel PKCS#12 alih-alih menyelesaikan permintaan yang tertunda di node.

Langkah 1: Masuk ke ClearPass Policy Manager

Buka URL admin ClearPass (misalnya https://clearpass.example.com/tips/) dan masuk dengan akun administrator yang memiliki hak untuk mengelola sertifikat.

Langkah 2: Buka Certificate Store

Dari menu di sebelah kiri, pergi ke Administration > Certificates > Certificate Store, dan pastikan tab Server Certificates terpilih. Pada build CPPM yang lebih lama, jalurnya adalah Administration > Certificate > Server Certificate; selain itu, tampilannya sama.

Di bagian atas halaman, atur dua selektor yang menentukan lingkup CSR:

• Select Server: pilih node ClearPass tempat Anda membuat CSR. Private key hanya akan berada di node ini.
• Select Usage (pada beberapa build juga diberi label Type): pilih peran sertifikat yang dituju oleh CSR ini. Pilihan yang umum adalah RADIUS/EAP Server Certificate (default, digunakan untuk autentikasi 802.1X), HTTPS Server Certificate (UI web admin dan captive-portal), RadSec Server Certificate (RADIUS melalui TLS), dan Database Server Certificate. Setiap peran dapat memiliki sertifikatnya sendiri, jadi buat satu CSR untuk setiap peran yang perlu Anda ganti.

Kemudian, di sisi kanan, klik Create Certificate Signing Request.

Langkah 3: Isi detail sertifikat

Di jendela Create Certificate Signing Request, lengkapi kolom-kolom berikut:

• Common Name (CN): nama domain lengkap yang ingin Anda amankan, misalnya clearpass.example.com. Untuk sertifikat wildcard, awali dengan tanda bintang dan titik, misalnya *.example.com.
• Organization (O): nama resmi lengkap perusahaan Anda, misalnya Example Holdings LLC.
• Organizational Unit (OU): biarkan kosong. CA publik tidak lagi menyertakan kolom OU dalam sertifikat TLS yang tepercaya secara publik (CA/Browser Forum Baseline Requirements menghapusnya pada tahun 2022), dan banyak CA menghapus nilai ini saat penerbitan.
• Location (L): kota tempat organisasi terdaftar, misalnya San Jose.
• State (ST): nama lengkap negara bagian, wilayah, atau kabupaten. Gunakan California, bukan CA.
• Country (C): kode negara dua huruf sesuai ISO 3166, misalnya US, GB, atau DE.
• Subject Alternative Name (SAN): daftar semua nama DNS dan alamat IP yang harus dicakup oleh sertifikat, termasuk Common Name. ClearPass mengharapkan entri dengan awalan jenisnya, dipisahkan dengan koma (lihat contoh di bawah daftar ini).
• Private Key Password: tetapkan frasa sandi yang kuat. Anda akan memerlukannya saat mengimpor sertifikat yang telah ditandatangani nanti, jadi simpan dengan aman.
• Verify Private Key Password: masukkan kembali frasa sandi yang sama.
• Key Length: pilih 2048 bit. Pilih 4096 hanya jika kebijakan keamanan Anda mengharuskannya, karena kunci RSA yang lebih panjang menambah beban CPU pada setiap handshake TLS. ECDSA (P-256) juga diterima pada jenis Usage yang didukung jika CA Anda menerbitkan sertifikat ECDSA.
• Digest Algorithm: pilih SHA-256. SHA-1 tidak diterima oleh CA publik dan ditolak oleh klien modern.
• Valid for: biarkan kolom ini kosong jika CSR akan dikirim ke CA publik. CA yang menentukan masa berlaku sertifikat yang diterbitkan, saat ini dibatasi maksimal 200 hari untuk sertifikat TLS publik baru yang diterbitkan pada atau setelah 15 Maret 2026.

Nilai SAN yang valid terlihat seperti ini:

DNS:clearpass.example.com, DNS:cppm-node1.example.com, IP:10.0.0.10

Periksa kembali setiap kolom, lalu klik Submit.

Langkah 4: Unduh CSR

ClearPass menampilkan isi Base64 dari CSR yang baru. Klik Download CSR untuk menyimpan berkas dengan ekstensi .csr. Private key dibuat pada saat yang bersamaan dan tetap berada di perangkat, terkait dengan node dan Usage yang Anda pilih, sampai sertifikat yang telah ditandatangani diimpor.

Buka berkas yang telah diunduh menggunakan editor teks biasa (Notepad, TextEdit dalam mode teks biasa, atau editor kode pilihan Anda). Isinya dimulai dan diakhiri seperti ini:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

Salin seluruh blok, termasuk baris BEGIN dan END, kemudian tempelkan ke dalam kolom CSR pada halaman pemesanan sertifikat SSL Anda. Sebelum mengirimkannya, Anda dapat memeriksa kembali isinya (CN, SAN, ukuran kunci, algoritme tanda tangan) dengan CSR Decoder kami.

Setelah CA Anda memvalidasi permintaan dan menerbitkan sertifikat, ikuti petunjuk instalasi SSL Aruba ClearPass untuk mengimpor sertifikat yang telah ditandatangani. Pastikan Anda memilih node dan Usage yang sama saat mengimpor: private key yang tertunda hanya cocok dengan sertifikat yang diimpor ke slot tempat private key tersebut dibuat.