#language cs
## 20160415 AK
----
'''česky''' | [[MicrosoftServer|english]]
----
= Internet Information Server (IIS) =
[Dotaz] Pokouším se instalovat IIS 6.0 na Windows 2003 Server. Viděl jsem předtím odkaz "Paste your CSR below..." (Vložte žádost o certifikát sem...), ale není dostupný.
[Odpověď] [[http://www2.futureware.at/svn/sourcerer/CAcert/IIS6.0HowTo.pdf|IIS6.0 s pěknými snímky oken dialogů]] (poskytl Alaric Dailey)
--([Odpověď] [[http://www.windowsitlibrary.com/Content/141/07/2.html|Přehled IIS SSL]])--
[[http://www.microsoft.com/resources/documentation/WindowsServ/2003/all/deployguide/en-us/Default.asp?url=/resources/documentation/windowsserv/2003/all/deployguide/en-us/iisdg_mea_nfmd.asp|Konfigurace serverových certifikátů pro SSL (IIS 6.0)]]
[[http://support.microsoft.com/default.aspx?scid=kb;EN-US;228991|Jak vytvořit a instalovat serverový SSL certifikát do Internet Information Serveru 4.0]]
[[http://support.microsoft.com/kb/290625/EN-US/|Jak konfigurovat SSL ve Windows 2000 IIS 5.0 testovém prostředí s použitím Certifikátového serveru 2.0]]
[[http://blog.webhosting.uk.com/2006/11/27/howto-set-up-ssl-using-iis-50-and-certificate-se/|Vytvoření SSL u IIS 5.0]]
--( http://blog.eukhost.com/2006/10/12/wildcard-ssl-importing-in-windows-iis-server - Wildcard SSL - Importing in Windows IIS Server )--
--( http://blog.eukhost.com/2006/10/12/wildcard-ssl-exporting-in-windows-iis-server - Wildcard SSL - Exporting in Windows IIS Server )--
[[http://vicryhc.wordpress.com/2012/03/13/create-certificate-iis-7-with-cerficate-free-from-cacert-org| Jak vytvořit certifikát na IIS 7.0]]
. v současnosti:
. Poskytovatelé kryptografických služeb:
a. Microsoft RSA SChannel Cryptographic Provider, délka bitů: 384, 512, 1024, 2048, 4096, 8192, 16384
a. Microsoft DH SChannel Cryptographic Provider, délka bitů: 512, 1024
[[HowTo/CertForIIS85/CZ| Jak vytvořit certifikát serveru na IIS 8.5]]
Související :[[Technology/KnowledgeBase/ClientCerts/CZ#Microsoft_Internet_Information_Server_8_na_systému_Windows_Server_2012|MS IIS8 na systému Windows Server 2012]]
Chcete-li to "dělat po svém", pak si stáhněte kopii [[http://www.stunnel.org/download/stunnel/win32/|OpenSSL binární soubory]].
== Windows 2000 IIS vyžaduje SSL i po jeho vypnutí ==
[Dotaz] Nejsem-li schopen vypnout SSL na webu IIS nebo virtuální složce:
Například: Výchozí web IIS je nastaven, aby vyžadoval https, a já odstraním zaškrtnutí u "Vyžadovat zabezpečený kanál (SSL) pro podsložku/virtuální složku a pak restartuji služby IIS; pak se pokusím připojit se k složce odkazem http://... a dostávám chybové hlášení:
{{{
HTTP 403.4 - Forbidden: SSL required (zakázáno: nutná SSL)
}}}
což znamená, že SSL je stále vyžadováno.
[Odpověď] Vypínejte SSL správným způsobem!
Při vypínání možnosti "Require secure channel (SSL)" (Vyžadovat zabezpečený kanál SSL), '''''je-li vystínováno "Require 128-bit encryption" (Vyžadovat šifrování 128 bity), vyberte "Require secure channel (SSL)", klikem zrušte "Require 128-bit encryption" a pak znovu vyčistěte možnost "Require secure channel (SSL)".'''''
== Poznámka k IIS wildcard certifikátu ==
IIS (s jistotou IIS 6.0) není schopen generovat žádost o wildcard certifikát, které by automatický systém CAcertu rozuměl. Při pokusu podat takovou žádost o certifikát nastane chyba přibližně s takovým textem:
{{{
Následující názvy počítačů byly odmítnuty, protože je systém nedokáže spojit s Vaším účtem; jsou-li platné, prosím ověřte domény podle Vašeho účtu. Zamítnuto:
\x00*\x00.\x00y\x00o\x00u\x00r\x00d\x00o\x00m\x00a\x00i\x00n\x00.\x00o\x00r\x00g
}}}
(*.yourdomain.org)
Řešením je použít jeden z alternativních způsobů generování žádosti (funguje například openVPN).
=== Chci použít zprostředkující certifikát třídy 3 se starším systémem Windows ===
. Máte-li problémy s použitím nového zprostředkujícího certifikátu třídy 3 a s vytvářením klientských certifikátů třídy 3, pravděpodobně Váš starší systém Windows (Windows XP, Windows 2003) nemá instalovánu opravu '''[[http://www.microsoft.com/en-US/download/details.aspx?id=4670|Základní kryptografický poskytovatel Microsoft Smart Card (KB909520)]]'''.
. KB909520 instaluje podporu SHA256 a další kryptografické poskytovatele: AES128, AES192, AES256 a další
. Další informace o kryptografických poskytovatelích ve Windows - čtěte [[http://msdn.microsoft.com/en-us/library/windows/desktop/bb931357%28v=vs.85%29.aspx|Článek knihovny MSDN: CryptoAPI - Poskytovatelé kryptografických služeb]]
=== Doporučení MS pro starší systémy serverů a stanic Windows pro práci se SHA2 ===
Z materiálu [[http://blogs.technet.com/b/pki/archive/2010/09/30/sha2-and-windows.aspx|Windows a SHA2]]
Organizacím, které chtějí nasadit SHA2 a organizacím spolupracujím s 3. stranami, které začnou brzy používat SHA2, doporučujeme:
* Používají-li ještě systémy XP, potřebují instalovat Service Pack 3. Má funkčnost SHA2 a je ještě jako jediný podporován (září 2010).
* Potřebují-li systémy Windows XP získat certifikáty od certifikační autority SHA2, pak je třeba instalovat KB 968730.
* Používají-li Windows Server 2003, pak je třeba instalovat Service Pack (1 nebo 2) a KB 938397.
* Potřebuje-li Windows Server 2003 získat certifikáty od certifikační autority SHA2, pak je třeba instalovat Service Pack 2 a KB 968730. Plánujete-li instalovat KB 968730, pak instalace KB 938397 není potřebná.
* Je-li třeba používat S/MIME se SHA2 pro podepisování těl e-mailových zpráv, měl by být na pracovní stanice instalován alespoň systém Windows Vista s Office 2003.
----
. CategorySoftware
. CategoryCommunity
. CategoryGuide
. CategorySupport
. CategoryConfiguration