Exportoptionen

Sie können jedes Zertifikat aus TLSPilot im Format exportieren, das das Zielsystem verlangt. Das ist einfacher als der Export aus dem Zertifikatsspeicher mit certlm.msc, da Sie das Format direkt wählen.

1. Klicken Sie in der Liste mit der rechten Maustaste auf das Zertifikat und wählen Sie Export…

2. Format: Wählen Sie das Format der Datei:
   • PKCS #12 (PFX): Eine passwortgeschützte und verschlüsselte Datei, die immer das Zertifikat und den privaten Schlüssel enthält. Zertifikat und Schlüssel lassen sich nicht trennen.
   • PKCS #8 (PEM): Der private Schlüssel wird unverschlüsselt gespeichert.
   • PKCS #1 (PEM RSA): Für ältere Anwendungen, die RSA-Schlüssel in diesem Format verlangen, zum Beispiel weil sie keine Schlüssel mit elliptischen Kurven akzeptieren. Nur für RSA-Schlüssel verfügbar; bei anderen Schlüsseln lautet der Hinweis PKCS#1 requires RSA.
   • Encrypted PEM: Nur der private Schlüssel wird verschlüsselt, nie das Zertifikat. Ein Passwort ist deshalb nur nötig, wenn Include private key eingeschaltet ist.

3. Optionen: Wählen Sie, was die Datei enthält:
   • Include private key: Fügt den privaten Schlüssel hinzu. Bei PFX ist er immer enthalten.
   • Include chain: Fügt die Zwischenzertifikate nach dem Zertifikat hinzu (vollständige Kette). Standardmässig eingeschaltet. Ausgeschaltet: Die Datei enthält nur das Zertifikat selbst (Leaf).
   • Include root: Fügt am Ende zusätzlich das Root-Zertifikat hinzu. Standardmässig ausgeschaltet und nur verfügbar, wenn Include chain eingeschaltet ist. Ist das Root-Zertifikat nicht Teil der von der CA erhaltenen Kette, sucht TLSPilot es in den lokalen Zertifikatsspeichern des Management-Hosts. Wird es dort nicht gefunden, wird die Datei ohne Root-Zertifikat geschrieben, und es erscheint eine Warnung.
   • Reverse chain order (root first): Schreibt die Kette mit dem Root-Zertifikat zuerst. Standardmässig ausgeschaltet, nur verfügbar, wenn Include chain eingeschaltet ist, und nur für Software, die diese Reihenfolge erwartet. Auf eine PFX-Datei hat es keine Wirkung; sie beginnt immer mit dem Zertifikat.
   • Separate CRT and key: Erstellt eine ZIP-Datei mit Zertifikat und Schlüssel als separate Dateien. Standardmässig ausgeschaltet, nur mit Include private key verfügbar und nicht für PFX.
4. Password: Geben Sie das Passwort ein. Das Feld erscheint bei PFX und bei Encrypted PEM mit privatem Schlüssel und ist als Pflichtfeld markiert. Bei Encrypted PEM ist es Pflicht und schützt nur den privaten Schlüssel; bei PFX schützt es die ganze Datei. Bei PFX ist das Passwort Pflicht: Ohne Passwort exportiert TLSPilot nicht und zeigt A PFX password is required. Bei PFX ist Reverse chain order (root first) ausgegraut, da eine PFX-Datei immer mit dem Zertifikat beginnt.

5. Klicken Sie auf Export, wählen Sie den Ordner und klicken Sie auf Save.

TLSPilot speichert die Datei im gewählten Ordner und bestätigt mit Saved to und dem Pfad. Ist Include root eingeschaltet und wurde das Root-Zertifikat nicht gefunden, zeigt die Bestätigung zusätzlich The root certificate was not in the stored chain and was not found on this management host. The file was written without the root. Für den Export braucht es den privaten Schlüssel auf dem Management-Host; sonst meldet die Desktop Admin Console No retained private key. Use Renew or Force Renew. und die WebUI No private key for this certificate on this management host. Issue or renew once so the key is stored.

Dieselben Formate und Optionen, einschliesslich der Kettenoptionen, stehen für die Deployment-Ziele File Path (WinRM), UNC share und File Path (SSH) zur Verfügung, siehe Kapitel Meine ersten Deployments. Formate, Kettenreihenfolge und Dateinamen im Detail: Kapitel Zertifikatsformate.