憑證需求

適用於： Azure Stack Edge Pro - GPUAzure Stack Edge Pro 2Azure Stack Edge Pro RAzure Stack Edge Mini R

本文描述必須先符合的憑證需求，然後才能在 Azure Stack Edge Pro 裝置上安裝憑證。 這些需求與 PFX 憑證、核發授權單位、憑證主體名稱和主體別名，以及支援的憑證演算法有關。

憑證核發授權單位

憑證核發需求如下：

• 憑證必須由內部憑證授權單位或公用憑證授權單位發出。

• 不支援使用自我簽署憑證

• 憑證的「核發對象:」欄位不得與 [核發者:] 欄位相同，但根 CA 憑證除外。

憑證演算法

您的裝置僅支援 Rivest–Shamir–Adleman (RSA) 憑證。 不支援橢圓曲線數位簽章演算法 (ECDSA) 憑證。

包含 RSA 公開金鑰的憑證稱為 RSA 憑證。 包含橢圓曲線密碼編譯 (ECC) 公開金鑰的憑證稱為 ECDSA (橢圓曲線數位簽章演算法) 憑證。

憑證演算法需求如下：

• 憑證必須使用 RSA 金鑰演算法。

• 僅支援具有 Microsoft RSA/Schannel 密碼編譯提供者的 RSA 憑證。

• 憑證簽章演算法不能是 SHA1。

• 金鑰大小下限為 4096。

憑證主體名稱和主體別名

憑證必須符合下列主體名稱和主體別名需求：

• 您可以使用單一憑證，涵蓋憑證主體別名 (SAN) 欄位中的所有命名空間。 或者，您可以針對每個命名空間使用個別憑證。 這兩種方法都需要在必要時將萬用字元用於端點，例如二進位大型物件 (Blob)。

• 確定主體名稱 (主體名稱中的一般名稱) 是主體別名延伸中主體別名的一部分。

• 您可以使用單一萬用字元憑證，涵蓋憑證 SAN 欄位中的所有名稱空間。

• 建立端點憑證時，請使用下表：

  類型	主體名稱 (SN)	主體別名 (SAN)	主體名稱範例
  Azure Resource Manager	management.<Device name>.<Dns Domain>	login.<Device name>.<Dns Domain> management.<Device name>.<Dns Domain>	management.mydevice1.microsoftdatabox.com
  Blob 儲存體	*.blob.<Device name>.<Dns Domain>	*.blob.< Device name>.<Dns Domain>	*.blob.mydevice1.microsoftdatabox.com
  本機 UI	<Device name>.<DnsDomain>	<Device name>.<DnsDomain>	mydevice1.microsoftdatabox.com
  各端點的多 SAN 單一憑證	<Device name>.<dnsdomain>	<Device name>.<dnsdomain> login.<Device name>.<Dns Domain> management.<Device name>.<Dns Domain> *.blob.<Device name>.<Dns Domain>	mydevice1.microsoftdatabox.com
  節點	<NodeSerialNo>.<DnsDomain>	*.<DnsDomain> <NodeSerialNo>.<DnsDomain>	mydevice1.microsoftdatabox.com
  VPN	AzureStackEdgeVPNCertificate.<DnsDomain> * AzureStackEdgeVPNCertificate 已硬式編碼。	*.<DnsDomain> <AzureStackVPN>.<DnsDomain>	edgevpncertificate.microsoftdatabox.com

PFX 憑證

安裝在 Azure Stack Edge Pro 裝置上的 PFX 憑證應符合下列需求：

• 當您從 SSL 授權單位取得憑證時，請確定您取得憑證的完整簽署鏈結。

• 當您匯出 PFX 憑證時，請確定您已選取 [包含鏈結中的所有憑證 (可能的話)] 選項。

• 針對端點、本機 UI、節點、VPN 和 Wi-Fi 使用 PFX 憑證，因為 Azure Stack Edge Pro 需要公開金鑰和私密金鑰。 私密金鑰必須有本機電腦金鑰屬性集。

• 憑證的 PFX 加密應該是 3DES。 這是從 Windows 10 用戶端或 Windows Server 2016 憑證存放區匯出時使用的預設加密。 如需與 3DES 相關的詳細資訊，請參閱三重 DES。

• 憑證 PFX 檔案必須在 [金鑰使用方法] 欄位中具有有效的 [數位簽章] 和 [KeyEncipherment] 值。

• 憑證 PFX 檔案必須在 [增強型金鑰使用方法] 欄位中具有 [伺服器驗證 (1.3.6.1.5.5.7.3.1)] 和 [用戶端驗證 (1.3.6.1.5.5.7.3.2)] 值。

• 如果您是使用 Azure Stack 整備檢查工具，則所有憑證 PFX 檔案的密碼必須在部署時都相同。 如需詳細資訊，請參閱使用 Azure Stack Hub 整備檢查工具建立 Azure Stack Edge Pro 的憑證。

• 憑證 PFX 的密碼必須是複雜密碼。 請記下此密碼，因為其會用作部署參數。

• 僅使用 RSA 憑證搭配 Microsoft RSA/Schannel 密碼編譯提供者。

如需詳細資訊，請參閱使用私密金鑰匯出 PFX 憑證。

下一步

• 建立裝置的憑證

  • 透過 Azure PowerShell Cmdlet
  • 透過 Azure Stack 整備檢查工具。