El certificado estará vinculado a uno o varios nombres de dominio, por ejemplo: subdominio.unex.es. La misma persona que solicitó la entrada DNS debe cursar la petición del certificado SSL vinculado a ese nombre de dominio; así tendremos la seguridad de que el certificado será utilizado por la misma persona que es legítima concesionaria del nombre de servidor.

En el proceso de gestión del certificado habrá tres elementos implicados:

• Clave privada del servidor a la que aplicaremos el principio de mínimo privilegio exponiendo ésta al menor número de personas y sistemas.
• CSR (Certificate Signing Request): petición de solicitud del certificado firmada con la clave privada.
• Certificado SSL y cadena de certificación. Desde el Servicio de Informática de la UEx te facilitaremos dos ficheros: FQDNname_unex_es.crt y FQDNname_unex_es_chain.crt

Pasos para solicitar el certificado SSL

1. Generar la CSR (Certificate Signing Request).

Si no tiene experiencia con la gestión de certificados SSL, la parte más complicada puede ser generar la CSR. Aquí puedes encontrar información sobre cómo generarla en distintos entornos.

Recuerda, en ningún caso la clave privada asociada (archivo.key) debe salir de su entorno de uso, es decir, de su servidor.

En un sistema Linux/UNIX, normalmente podrás hacerlo con una órden como esta:

openssl req -new -newkey rsa:2048 -nodes -out subdominio_unex_es.csr \
-keyout subdominio_unex_es.key \
-subj "/C=ES/ST=Extremadura/L=Badajoz/O=Universidad de Extremadura/OU=Centro, Servicio, Departamento/CN=subdominio.unex.es"

Esta órden creará (o sobreescribirá) la clave privada subdominio_unex_es.key. En caso de querer reutilizar una clave privada previamente existente especifícala con el parámetro -key en lugar de -keyout_:

openssl req -new -nodes -out subdominio_unex_es.csr> \
-key subdominio_unex_es.key \
-subj "/C=ES/ST=Extremadura/L=Badajoz/O=Universidad de Extremadura/OU=Centro, Servicio, Departamento/CN=subdominio.unex.es"

Atención: Nunca confíes en un proveedor de certificados que ofrezca generar la CSR o la clave privada por ti. Es una mala práctica de seguridad.

2. Solicitar la emisión del certificado.

Accede con los datos de tu correo de la UEx (nombre de usuario y contraseña)  al Centro de Atención a Usuario de la UEx y abre un tiket. En él debes adjuntar tu CSR e indicar el correo para las notificaciones del certificado en cuestión.

Tambien debes indicarnos si ncesitas que el certificado se renueve automaticamente cada año o si lo necesitas por un periodo inferior.

“Categoría TIC -> Gestión de identidades -> Gestión de certificados”

3. Esperar a recibir el certificado.

El personal del Servicio de Informática de la UEx solicitará el certificado usando la CSR adjunta. En el proceso de solicitud especificaremos el mail con el que hayas abierto el ticket en CAU como persona que solicita el certificado.

Recibirás un correo de la plataforma SECTIGO avisando de la emisión del certificado

FROM: Certificate Services Manager <support>@cert-manager.com>
SUJECT: Enrollment Successful - Your SSL certificate is ready

La vigencia de los certificados que podemos facilitarte es de 1 año. Treinta días antes del fin de vigencia del certificado recibirás un correo de la plataforma SECTIGO con el aviso para la renovación. Puedes consultar la seccion de renovación de certificados.

La primera vez, como respuesta a tu solicitud en el CAU, el servicio de informatica te facilitará los archivos para su primera instalacion en servidor.

4. Instalación del certificado

Dependiendo del sistema operativo y del tipo de certificados necesitaras unos archvos u otros. En la primera instalación como ya hemos referido en la seccion anterior, el Servicio de Informática te facilitará en tu propio CAU de solicitud los archivos necesarios para su instalación en el servidor.

Puedes buscar ayuda, si es la primera vez que instalas, en la plataforma de Sectigo para cada caso. El siguiente enlace por ejemplo es para un Apache, pero puedes encontrar en las librerias de ayuda cada uno de los casos:

https://www.sectigo.com/resource-library/install-certificates-apache-open-ssl