Einleitung
Harica übernimmt seit dem 10.1.2025 das Austellen und Verwalten von Zertifikaten für Server und S/MIME für den DFN Verein. Wenn Zertifikate für Server oder Mailaccounts der TH Wildau dot bezogen werden sind selbstredent die Nutzungsbedingungen, Policys und Vorgehensweisen von Harica einzuhalten. Diese sind unter https://repo.harica.gr/procedures.phpdokumentiert.
Zertifikate werden im einem Webportal beantragt, bezogen und gegebenenfalls auch wieder zurückgezogen. Die Bedienung und die Arbeitsabläufe sind verständlicherweise etwas anders als bei den bisherigen Anbietern und sollen für die für unsere Einrichung relevanten Zertifikate im folgenden beschrieben werden.
Anmeldung
Öffnen Sie im Browser die Seite https://cm.harica.gr/Login und wählen Sie dort die Schaltfläche Academic Login. Geben Sie im daraufhin erscheinenden Suchfeld Wildau ein und selektieren dann den erscheinenden Eintrag Technical University of Applied Sciences Wildau.
Sie werden daraufhin zu dem hochschulweiten SSO Login geleitet, welches Sie beispielsweise von den Anmeldungen für Webex oder dem SB Portal kennen. Führen Sie dort die Anmeldung mit Ihrem Hochschulaccount durch. Daraufhin wird Ihr Account Initial im Harica System angelegt und Sie können dort Zertifikate beantragen und erhalten.
Serverzertifikate können von allen Mitarbeitern und Studierenden der TH Wildau beantragt werden, sofern die Zertifikate für Servernamen, die auf th-wildau.de enden, beantragt werden. Diese Anträge werden von den Verantwortlichen Mitarbeitern im HRZ geprüft. Anträge von Studierenden werden nur genehmigt, wenn diese im Rahmen von Hochschulprojekten oder für Lehrveranstalungen benötigt wrden. Für alle gilt, dass Zertifikate nur genehmigt werden, wenn deren Namen im DNS eingetragen sind.
E-Mail Zertifikate können als in zwei Varianten beantragt werden.
- nur Mail Zertifikat
diese Variante enthält nur die vorname.nachname@th-wildau.de E-Mailaddresse im Zertifikat. Jeder Angehörige der TH Wildau kann diesen Typ Zertifikat beantragen und per Mail-Challenge erhalten. - Mail Zertifikat mit Mailadresse, Namen und Organisation
diese Variante enthält außer der Mailadresse noch den Namen und Vornamen der Person, sowie den Eintrag Technische Hochschule Wildau unter Organisation.
Diese Zertifikatsanträge werden derzeitig noch im HRZ geprüft, ob die Voraussetzungen für die Ausstellung dieser Zertifikate gegeben sind.
Menü
Harica stellt Zertifikate weltweit aus. Die Webseite ist in englisch und griechisch verfügbar. Auf eine englische Dokumentation wird an dieser Stelle verzichtet, da diese unter https://guides.harica.gr/ verfügbar ist.
Sie sehen hier das um die kostenpflichtigen Funktionen bereinigte Menü, welches Sie auf der linken Seite vorfinden werden.
My Dashboard zeigt Ihnen die für Sie ausgestellten Zertifikate und Anträge an, die Sie gegebenenfalls bearbeiten können. Sie können Server und Email Zertifikate beantragen sowie Informationen erhalten.
Die nicht aufgeführten Menüpunkte stellen kostenpflichtige Leistungen von Harica dar. Diese können Sie auch in Anspruch nehmen, müssen diese allerdings selbst bezahlen.
Im Dashboard sehen Sie ihre Anträge und für Sie genehmigten Zertifikate. Sie können diese herunterladen, die Anträge dazu ansehen und die Zertifikate zurückziehen, wenn das notwendig sein sollte.
Über die Punkte unter Zertifikatsanträge gelangen Sie zu den Eingabemasken zur Erstellung von Server- oder S/MIME Zertifikaten.
Unter mehr finden Sie Ihre überprüften Daten (wenn Sie welche hinterlegt haben), die Datenschutzerklärung sowie den Zugriff auf die Hilfen und Anleitungen
Server Zertifikate
Zunächst wird der zu FQDN Name des Webservers eingetragen. Wenn man das Feld verlässt wird automatisch mit dem Präfix www. vorgeschlagen. Das wird oft nicht benötigt und kann ohne Folgen deaktiviert werden. Mit +Add more domains können bei Bedarf maximal 20 weitere Aliasnamen hinzugefügt werden. Nur was hier vereinbart worden ist, erscheint später im Zertifikat.
Mit einem Klick auf next fahren Sie mit dem nächsten Schritt fort.
Nun muss der Typ des zu erstellenden Zertifikats gewählt werden.
Zur Auswahl stehen Domain-only (DV) für Zertifikate, die lediglich die eingegebenen FQDN enthalten sowie For enterprises or Organizations (EV) mit Zertifikaten die zusätlich dazu den Namen Technische Hochschule Wildau, das Bundesland Brandenburg und dal Land Deutschland enthalten. Wählen Sie das für Ihren Zweck passende Zertifikat aus und klicken auf next. (Webserver funktioniren mit beiden Typen problemlos. Ob Sie zusätzlich den Namen der Einrichtung anzeigen wollen ist eher für Seiten die auch von extern zu sehen sind sinnvoll.)
Der ausgewählte Typ wird noch einmal zur Kontrolle angezeigt und mit next geht es zum nächsten Schritt.
Es wird Ihnen eine Zusammenfassung zur Kontolle angezeigt. Aktivieren Sie die Auswahlbox um zu bestätigen, dass Sie die Nutzungsbedingungen, die Vorschriften zum Umgang mit den Zertifikaten akzeptieren und der Speichung dieser Akzeptanz in Einklang mit den Datenschutzgesetz zustimmen.
WEnn Sie das getan haben, können Sie mit einem Klick auf next fortfahren.
Nun muss ausgwählt werden, wie der Antrag eingereicht werden soll.
Auto-generate CSR erzeugt auf dem Harica Server aus den bisher eingegebenen Daten den Antrag und einen privaten Schlüssel. Den Schlüssel bekommen Sie sofort nach der Erstellung zum Download angeboten. Der Prozess kann nur fortgesetzt werden, wenn Sie versichert haben, dass sich der Schlüssel in Ihrem Besitz befindet also heruntergeladen worden ist. Die Bearbeiter für Zertifikate werden informiert und können den Antrag dann bearbeiten. Sobald das geschehen ist, erhalten Sie eine Mail mit der Information, dass das Zertifikat zur Verfügung steht oder abgelehnt worden ist. Erstellte Zertifikate finden Sie im Dashboard und können von dort heruntergeladen, angesehen und bei Bedarf zurückgezogen werden.
Alternativ können Sie einen Zertifikatsantrag auf der Konsole erzeugen und die so erzeugte Datei mit Submit CSR manually an den Server übertragen. Der Schlüssel für das Zertifikat ist dabei von vornherein bei Ihnen und kann in seiner Länge selbst gewählt werden. Die im Antrag angegbenen Alternativnamen werden derzeit nicht ausgelesen und berücksichtigt, sondern diejenigen verwendet, die am Anfang eingegeben worden sind.
Zertifikatsrequest
Éin Zertifikatsrequest kann man beispielsweise mit Openssl auf folgende Weise auf der Kommandozeile (Linux, wenn Sie Windows verwenden können Sie sich openssl auch installieren und in einem cmd Window ausführen.) erstellen:
openssl req -nodes -newkey rsa:3072 -keyout servername.key -out servername.csr
-nodes generiert einen zufälligen Schlüssel der beim Starten des Dienstes nicht eingegben werden muss. Wenn Sie diese Funktionalität nicht möchten, lassen Sie den Parameter einfach weg und vergeben eine Passphrase. rsa:3072 erzeugt eine Schlüssel mit einer Mindestlänge von 3072 Bit. Da könnenSie auch höhere Werte angeben. Den Namen der Dateien können sie frei vergeben.
Wenn Sie den Befehl abgesetzt haben, werden einíge Sachen abgefragt. Die ersten vier Einträge müssen genau so gesetzt werden. Der Servername muss auf th-wildau.de enden und Sie müssen Ihre Hochschulmailadresse angeben. Anderenfalls wird der Request nicht akzeptiert. Aliasnamen können später beim Hochladen ergänzt werden.
_____
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:DE
State or Province Name (full name) []:Brandenburg
Locality Name (eg, city) [Default City]:Wildau
Organization Name (eg, company) [Default Company Ltd]:Technische Hochschule Wildau
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:meinserver.th-wildau.de
Email Address []:max.name@th-wildau.de
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:***********
An optional company name []:
