目录

简介

先决条件

要求

问题

解决方法

简介

本文档介绍如何在思科邮件安全设备(ESA)GUI上添加/导入新的公钥加密标准(PKCS)#12证书。

先决条件

要求

Cisco 建议您了解以下主题：

- 思科ESA

- AsyncOS 7.1及更高版本

问题

自AsyncOS 7.1.0.及更高版本以来，可以在电子邮件设备的GUI中管理/添加证书。但是，对于此新证书，它必须采用PKCS#12格式，因此此要求在收到证书颁发机构(CA)证书后添加一些额外步骤。

生成PKCS#12证书也需要私钥证书。如果从Cisco ESA CLI命令certconfig运行证书签名请求(CSR)，您将不会收到私钥证书。在GUI菜单(Mail Policies > Signing Keys)中创建的私钥证书在与PKCS#12证书一起生成时将无效CA证书。

解决方法

1. 如果工作站没有OpenSSL应用，请安装它。可以从此处下载Windows版本。
确保在OpenSSL Win32之前安装了Visual C++ 2008可重分发文件。

2. 使用模板创建脚本，在此处生成CSR和私钥。
脚本如下所示：

openssl req -new -newkey rsa:2048 -nodes -out test_example.csr -keyout test_example.key -subj "/C=AU/ST=NSW/L=Sydney/O=Cisco Systems/OU=IronPort/CN=test.example.com"

3. 将脚本复制并粘贴到OpenSSL窗口，然后按Enter。

C:\OpenSSL-Win32\bin>openssl req -new -newkey rsa:2048 -nodes -out test_example.csr -keyout

test_example.key -subj "/C=AU/ST=NSW/L=Sydney/O=Cisco Systems/OU=IronPort/CN=test.example.com"

输出：

test_example.csr and test_example.key in the C:\OpenSSL-Win32\bin or in the

'bin' folder where OpenSSL is installed

test_example.csr = Certificate Signing Request

example.key = private key

4. 使用.CSR文件请求CA证书。

5. 收到CA证书后，将其另存为cacert.pem文件。将私钥文件test_example.key重命名为test_example.pem。现在，您可以使用OpenSSL生成PKCS#12证书。

命令:

openssl pkcs12 -export -out cacert.p12 -in cacert.pem -inkey test_example.pem

如果使用的CA证书和私钥正确，OpenSSL会提示您输入导出密码并再次确认密码。否则，它建议您使用的证书和密钥不匹配，无法继续该过程。

输入:

cacert.pem = CA certificate

test_example.pem = private key

Export password: ironport
输出：

cacert.p12 (the PKCS#12 certificate)

6. 转到IronPort GUI菜单，网络>证书。

选择“添加证书”。

在“添加证书”选项中选择导入证书。

选择Choose并浏览到第5步中生成的PKCS#12证书的位置。

输入在OpenSSL中生成PKCS#12证书时使用的密码(在本例中，密码为ironport)。

选择Next，下一个屏幕将显示用于证书的属性详细信息。

选择 Submit。

选择“提交更改”。

执行这些步骤后，新证书将添加到证书列表中，并可以分配给使用。