OS X Mavericks: vernieuwing van certificaten op basis van profielen

OS X Mavericks biedt nu ook ondersteuning voor het vernieuwen van certificaten die via een configuratieprofiel zijn verkregen.

OS X ondersteunt twee methoden voor het inschrijven van certificaten via een configuratieprofiel: SCEP (Simple certificate enrollment protocol) en DCOM/RPC (ADCertificate). ADCertificate vertrouwt op een certificaatautoriteit (CA) van Microsoft Windows Server. SCEP gebruikt vaak een Microsoft CA’s Network Device Enrollment Service (NDES). 

Met OS X Mavericks kunnen certificaten, die via een profiel zijn verkregen, worden vernieuwd via hetzelfde geïnstalleerde profiel.  Als het certificaat binnen vijftien dagen gaat vervallen, verschijnt bij het certificaatprofiel in het paneel Profielen van Systeemvoorkeuren de knop 'Werk bij':

 

 
In het Berichtencentrum van Mavericks verschijnt een banner om aan te geven dat het certificaat moet worden vernieuwd (15 dagen voor de vervaldatum).
 
Deze melding wordt dagelijks herhaald tot het certificaat vervalt of acties worden ondernomen.
 
VERNIEUWING van ADCertificate
Klik op de knop 'Werk bij' in het paneel Profielen van Systeemvoorkeuren. Een nieuwe private sleutel wordt aangemaakt en gebruikt voor de ondertekening van het certificaatverzoek dat naar de CA wordt verstuurd. Wanneer het nieuwe certificaat wordt verkregen van de CA, wordt dit gekoppeld aan de nieuwe private sleutel.
 
Het originele certificaat en de private sleutel, die bij de installatie van het profiel zijn aangemaakt, blijven in de sleutelhanger.
 
VERNIEUWING van SCEP
Klik op de knop 'Werk bij' in het paneel Profielen van Systeemvoorkeuren. De bestaande private sleutel wordt gebruikt voor de ondertekening van het certificaatverzoek dat naar de CA wordt verstuurd. Wanneer het nieuwe certificaat wordt verkregen van de CA, wordt dit gekoppeld aan de oorspronkelijke private sleutel.
 
Het originele certificaat, dat bij de installatie van het profiel is aangemaakt, blijft in de sleutelhanger.

Als het profiel, dat is gebruikt om het ADCert- of SCEP-certificaat te verkrijgen, wordt verwijderd van Mavericks, worden het laatst aangeschafte certificaat en de private sleutel verwijderd uit de sleutelhanger waarin ze zich bevinden. Het oorspronkelijke certificaat, dat nu niet meer aan een private sleutel is gekoppeld, wordt niet verwijderd en kan handmatig worden gewist.

Als het profiel, dat is gebruikt om het certificaat te verkrijgen, ook andere payloads bevat die aan het verkregen certificaat zijn gekoppeld (Netwerk: EAP-TLS, VPN: op aanvraag met op certificaten gebaseerde identiteitscontrole, enz.), worden de afhankelijke configuraties bijgewerkt voor het nieuwe certificaat wanneer het certificaat wordt vernieuwd.

Nadat een certificaat is vernieuwd, wordt het geïnstalleerde profiel gekoppeld aan het nieuwe certificaat.  Als resultaat van de vernieuwing van het certificaat worden er geen extra profielen geïnstalleerd of aangemaakt.

Publicatiedatum: