TR7 üzerinde CSR oluşturabilir miyim?

Kısa cevap

Evet. Certificates & PKI → SSL/TLS Certificates ekranının CSR (External CA) sekmesinde istek oluşturulur; özel anahtar TR7'de üretilir ya da Private Key Library'den seçilir ve cihazdan çıkmaz. CSR, istek satırının Download the CSR işlemiyle indirilip CA'ya verilir; CA'nın imzaladığı sertifika Upload the signed certificate ile aynı isteğe yüklenir. TR7 sertifikanın isteğin anahtarıyla eşleştiğini doğrular ve sertifika listesinde vService'e atanabilecek yeni bir kayıt oluşturur. Yenilemede aynı CSR yeniden imzalatılır ve Re-issue ile yüklenir; anahtar ve vService atamaları korunur.

Sorun: Özel Anahtar Taşınmadan Kurumsal ya da Ticari CA'dan Sertifika Almak

Kurumsal ya da ticari bir CA'dan sertifika almak için sertifika imzalama isteği (CSR) gerekir. İstek başka bir makinede oluşturulursa özel anahtarın oradan TR7'ye taşınması ve yol boyunca korunması gerekir. Anahtarın doğrudan TR7'de üretilip orada kalması bu riski ortadan kaldırır.

Çözüm: İki Yöntem

Durumunuz	Uygun yöntem
İsteği arayüzden açmak; anahtar TR7'de üretilsin ya da kütüphaneden seçilsin	Yöntem 1: CSR (External CA) sekmesi
İsteği komut satırından üretmek	Yöntem 2: WEB-CLI

Yöntem 1: CSR (External CA) Sekmesi Önerilen

• Nasıl çalışır Anahtar ve CSR TR7'de üretilir; imzalı sertifika isteğe yüklendiğinde anahtarla eşleşmesi denetlenir ve sertifika listesinde yeni bir Manual kayıt oluşur. İstek kaydı silinmez; aynı CSR sonraki yenilemelerde yeniden imzalatılır.
• Nerede açılırCertificates & PKI → SSL/TLS Certificates → CSR (External CA) sekmesi → Add
• Gereksinim Sertifikayı imzalayacak bir CA; anahtar kütüphaneden seçilecekse Private Key Library'de bir anahtar
• Kapsam Oluşan sertifika HTTP ve L7 TCP vService'lerin şifreli frontend'lerinde kullanılır

Adım adım yapılandırma

1

Adım 1 CSR sekmesini aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → SSL/TLS Certificates ekranında üst şeritteki CSR (External CA) sekmesi seçilir (CSR (External CA) sekmesi).

2

Adım 2 Ekleme formunu aç

Add tıklanır (CSR ekleme formu).

3

Adım 3 Konu bilgilerini gir

Request Name girilir. Common Name (CN) zorunludur (en fazla 128 karakter; yalnızca harf, rakam, boşluk ve . - _ ( ) ' kabul edilir). Organization (O), Organizational Unit (OU) ve iki harfli Country (C) isteğe bağlıdır. Sertifikanın kapsayacağı bütün adlar Subject Alternative Names listesine satır satır yazılır; wildcard ad (*.example.com) yalnızca bu listeye yazılabilir.

4

Adım 4 Anahtarı seç

Private Key alanında varsayılan Generate a new key for this request bırakılırsa Key Algorithm seçilir (varsayılan RSA 2048; RSA 3072, RSA 4096, ECDSA P-256, ECDSA P-384). Genel anahtarın sonraki isteklerde de aynı kalması gerekiyorsa Use a key from the library seçilir ve kütüphanedeki anahtar belirlenir (Private Key'leri ayrı yönetebilir miyim (Private Key Library)?).

5

Adım 5 İsteği kaydet

Add tıklanır; anahtar ve CSR üretilir, istek listeye Waiting for Signature durumunda eklenir. CN, SAN ve anahtar seçimi sonradan değiştirilemez; düzenlemede yalnızca ad değişir.

6

Adım 6 CSR'ı indir

İstek satırına sağ tıklanıp Download the CSR seçilir; <istek adı>.csr dosyası CA'ya iletilir. CSR, satıra tıklanınca açılan önizlemedeki Signing Request (PEM) satırından Copy ile de alınabilir.

7

Adım 7 İmzalı sertifika penceresini aç

CA sertifikayı döndürdüğünde istek satırına sağ tıklanıp Upload the signed certificate seçilir (aynı işlem önizlemenin sağ üstünde de bulunur).

8

Adım 8 Sertifikayı yapıştır

Signed Certificate (PEM) alanına CA'nın döndürdüğü sertifika yapıştırılır ya da dosya sürüklenir (en fazla 64 KB). Name for the new certificate alanı isteğin adıyla dolu gelir; gerekirse değiştirilir.

9

Adım 9 Kaydet

Accept tıklanır. Sertifika isteğin anahtarıyla eşleşmiyorsa yükleme reddedilir ve hiçbir şey yazılmaz; eşleşirse sertifika listesinde yeni kayıt oluşur, istek Signed olur. Cluster kurulumunda varsayılan auto-sync ile kayıt eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Oluşan sertifikanın zinciri Chain sekmesinde kontrol edilir ve sertifika vService'in Certificate alanında seçilerek kullanılır (Intermediate certificate chain'i nasıl eklerim?). Yenileme zamanı geldiğinde aynı CSR CA'ya yeniden imzalatılır ve istek satırındaki Re-issue: upload a newly signed certificate ile yüklenir; sertifika kaydının kimliği ve anahtarı değişmediği için vService'lerde ayrıca işlem gerekmez.

Doğrulama

1İstek ve sertifikaTR7 tarafı

CSR (External CA) sekmesinde isteğin durumu ve Issued Certificate sütunu kontrol edilir; bağlantıdan sertifika kaydına geçilip Chain sekmesine bakılır.

BeklenenStatus: Signed · Trust chain is complete

Chain sekmesi zinciri kök CA'ya kadar arar; kök sertifika kayıtta yoksa "Missing intermediate certificate — required issuer" iletisinde kök CA'nın adı görünür. Adı geçen bir ara CA ise ara sertifika eklenir.

Yöntem 2: WEB-CLI

• Nasıl çalışırlb certificate create-csr anahtarı ve CSR'ı cihazda üretir ve isteği CSR sekmesinde değil, sertifika listesinde CSR (external CA) türünde bir kayıt olarak oluşturur. CSR'ın indirilmesi ve imzalı sertifikanın yapıştırılması arayüzden yapılır.
• Nerede açılır TR7 WEB-CLI → lb certificate create-csr · SSL/TLS Certificates sertifika listesi
• Gereksinim WEB-CLI erişimi; sertifikayı imzalayacak bir CA
• Kapsam Oluşan sertifika HTTP ve L7 TCP vService'lerin şifreli frontend'lerinde kullanılır

Adım adım yapılandırma

1

Adım 1 İsteği üret

name ve cn zorunludur; --san virgülle ayrılmış adlar alır, --keyAlgo varsayılan olarak rsa2048'dir (create-csr):

lb certificate create-csr name portal-istek cn portal.example.com --o "Example Ltd" --c TR --san "portal.example.com,www.example.com" --keyAlgo rsa2048

2

Adım 2 CSR'ı indir

Certificates & PKI → SSL/TLS Certificates sertifika listesinde portal-istek satırına sağ tıklanıp Download CSR seçilir; dosya CA'ya iletilir.

3

Adım 3 Kaydın düzenleme formunu aç

CA sertifikayı döndürdüğünde aynı satır seçilip Edit tıklanır; formda CSR içeriği ve Certificate Content alanı görünür.

4

Adım 4 Sertifikayı yapıştır

CA'nın döndürdüğü sertifika Certificate Content alanına yapıştırılır; gerekiyorsa ara sertifika Intermediate Cert. Content alanına eklenir.

5

Adım 5 Kaydet

Formun altındaki Edit tıklanır; sertifika kayıttaki anahtarla eşleşmiyorsa kayıt reddedilir.

Doğrulama

1KayıtTR7 tarafı

Kayıt WEB-CLI'da listelenir; sertifika yapıştırıldıktan sonra sertifika listesinde CN ve Valid Until sütunları dolar.

Komut: lb certificate list

Beklenenportal-istek kaydı listede

Sık Yapılan Hatalar

• CN alanına wildcard yazmak. Common Name (CN) alanı * karakterini kabul etmez; wildcard ad Subject Alternative Names listesine yazılır.
• İmzalı sertifikayı Manual türünde ayrıca yüklemek. Anahtar TR7'de olduğu için sertifika, isteğin kendisine Upload the signed certificate ile yüklenir; ayrı bir Manual kayıt için anahtar elde yoktur.
• CSR kaydını vService'e atamaya çalışmak. İstekler vService ve backend formlarındaki sertifika seçicilerinde listelenmez; vService'e, imzalı sertifika yüklenince oluşan sertifika kaydı atanır.
• Yenilemede yeni istek açmak. Yeni istek yeni bir anahtar üretir ve yeni bir sertifika kaydı oluşturur; vService'lerde sertifikanın yeniden seçilmesi gerekir. Aynı isteğin Re-issue işlemi kaydı ve anahtarı korur.
• İsteği silip sertifikanın da silindiğini düşünmek. İstek silindiğinde ondan üretilen sertifika kaydı listede kalır; ancak o istekle Re-issue artık yapılamaz.

Dokümantasyonda nasıl yapılır

• SSL/TLS Certificates · CSR (External CA) sekmesi
• SSL/TLS Certificates · CSR (External CA) ekleme formu
• SSL/TLS Certificates · Harici CA akışı
• WEB-CLI · lb certificate create-csr

İlgili sorular

• Private Key'leri ayrı yönetebilir miyim (Private Key Library)?
• Wildcard sertifika kullanabilir miyim?
• Sertifikayı yenilediğimde vService'lerde tek tek değiştirmem gerekir mi?