# Инструкция для аутентификации в веб-консоли по x.509 сертификату
# Симптомы

*Выпуск сертификатов с помощью Microsoft CA для входа в веб-консоль.*

:::info
Важно! Для 6-й версии не получится осуществить аутентификацию доменного пользователя с именем и фамилией на кириллице (особенность реализации отображения имен в NGFW).
:::


![](https://sd.usergate.com/attachments/6/X/6XFU7EY22x7JYtGU_a/изображение.png)

Тот же пользователь (красный прямоугольник) на 7-й версии.
![](https://sd.usergate.com/attachments/f/m/fm4Hk2cOwKjq20Jw_a/изображение.png)

# Решение

Общие действия:

1.   На сервере Microsoft CA открыть `certmgr.msc`
2.  Перейти "Доверенные корневые центры сертификации" -> "Сертификаты" -> Сертификат, которым будут подписаны сертификаты администраторов.
    ![](https://sd.usergate.com/attachments/z/7/z7_-VXGSjkSZrnDh_a/изображение.png)
3.  Экспортировать сертификат.
    ![](https://sd.usergate.com/attachments/T/g/Tgqt8PMPth63P9m5_a/изображение.png)![](https://sd.usergate.com/attachments/f/-/f-JR5gY015fIhqu__a/изображение.png)
    ![](https://sd.usergate.com/attachments/s/E/sEnxYQ6sfcWGYa7C_a/изображение.png)
4.  Импортировать данный сертификат на NGFW.
    ![](https://sd.usergate.com/attachments/X/I/XICzXpv-ioHvqwYw_a/изображение.png)![](https://sd.usergate.com/attachments/Z/j/ZjC6HHE-9sfKYCom_a/изображение.png)
5.  Отредактировать сертификат. 
    В поле "Используется" выбрать "УЦ для авторизации в веб-консоли".
    ![](https://sd.usergate.com/attachments/M/V/MVd2wt8TqCQ6GgjH_a/изображение.png)![](https://sd.usergate.com/attachments/q/e/qe5fVssRU20HNHWK_a/изображение.png)
6.  Создать шаблон для сертификатов администратора.
    Открыть `certsrv.msc`
    Перейти "Шаблоны сертификатов" -> "Управление".
    ![](https://sd.usergate.com/attachments/t/l/tl1N9chkXAEJ8jON_a/изображение.png)
7.  Выбрать сертификат, с которого будет скопирован шаблон (в данном случае это шаблон "Пользователь") -> "Скопировать шаблон".
    ![](https://sd.usergate.com/attachments/x/a/xaywZvZra5hl4F6p_a/изображение.png)
8.  Во вкладке "Общие" задать имя.
    ![](https://sd.usergate.com/attachments/-/k/-kENmg_GqpQwvTAN_a/изображение.png)
9.  Во вкладке "Безопасность" необходимые доступы.
10. (ВАЖНО) Во вкладке "Имя субъекта" выбрать "Предоставляется в запросе".
    ![](https://sd.usergate.com/attachments/_/f/_fdbKn1oGcEYF0Ak_a/изображение.png)
11. Нажать "Применить" -> "ОК".
12. Добавить шаблон.
    "Шаблоны сертификатов" -> "Создать" -> "Выдаваемый шаблон сертификата".
    ![](https://sd.usergate.com/attachments/C/q/CqqLMjStdXgp2Mjv_a/изображение.png)
13. Добавить созданный сертификат.
    ![](https://sd.usergate.com/attachments/R/J/RJV48sc605IjNAUR_a/изображение.png)

:::tip
Для локальных администраторов
:::

1.   Создать локального администратора, заполнить обязательные поля.
    ![](https://sd.usergate.com/attachments/J/i/Ji-11LNjk_pebv7x_a/изображение.png)![](https://sd.usergate.com/attachments/U/2/U2dhtjgbaOCCHhhx_a/изображение.png)
2.  Открыть `certmgr.msc`
3.  Запросить сертификат.
    "Личное"->"Все задачи" -> "Запросить новый сертификат".
    ![](https://sd.usergate.com/attachments/s/g/sga4_M1KkfXSTxhu_a/изображение.png)
4.  Выбрать созданный раннее шаблон.
    ![](https://sd.usergate.com/attachments/a/x/axxHe1eM9XYBfVeT_a/изображение.png)
5.  Перейти в изменения параметров.
    Выбрать "Общее имя".
    ![](https://sd.usergate.com/attachments/P/z/PzAWMCmDlXYlNfcm_a/изображение.png)
6.  Написать в "Значение" имя созданного администратора на NGFW (в случае примера: "ngfwlocal") -> нажать "Добавить".
7.  Во вкладке "Центр сертификации" проверить каким сертификатом будет подписан текущий сертификат администратора. 
    Должен быть выбран сертификат, который импортирован на NGFW.
    ![](https://sd.usergate.com/attachments/X/2/X2z71Ejj7fmBxRBI_a/изображение.png)
8.  После настроек нажимаем "ОК" -> делаем заявку на выпуск сертификата.
    ![](https://sd.usergate.com/attachments/Q/N/QNQo4c5kNHSlnFWn_a/изображение.png)
9.  Поменять на NGFW условние доступа в веб-консоль.
    Во вкладке "Настройки" в пункте "Режим аутентификации веб-консоли" выбрать "По X.509 сертификату". 
    ![](https://sd.usergate.com/attachments/C/P/CPUpjg8Akd7arnBb_a/изображение.png)
10. Перезапустить браузер и выбрать необходимый сертификат.
    ![](https://sd.usergate.com/attachments/N/d/Nd8xGOPg3VvjkzL3_a/изображение.png)
    \-
    ![](https://sd.usergate.com/attachments/y/F/yF-FT5U-C5xD0voy_a/изображение.png)

:::tip
Для LDAP администраторов 
:::

Для примера создан пользователь "ngfwdomain".
![](https://sd.usergate.com/attachments/Y/q/YqkQejF5ZWSzOfGs_a/изображение.png)

1.  Добавляем пользователя LDAP.
    ![](https://sd.usergate.com/attachments/K/r/KrASclMnlB5uREoB_a/изображение.png)
    \-
    ![](https://sd.usergate.com/attachments/W/p/WpGQHMJ1HTrK_d1n_a/изображение.png)
    \-
    ![](https://sd.usergate.com/attachments/q/n/qnRgV392wszdbKHV_a/изображение.png)
2.  Открыть `certmgr.msc`
3.  Запросить сертификат.
    "Личное"->"Все задачи" -> "Запросить новый сертификат".
    ![](https://sd.usergate.com/attachments/s/g/sga4_M1KkfXSTxhu_a/изображение.png)
4.  Выбрать ранее созданный шаблон.
    ![](https://sd.usergate.com/attachments/a/x/axxHe1eM9XYBfVeT_a/%D0%B8%D0%B7%D0%BE%D0%B1%D1%80%D0%B0%D0%B6%D0%B5%D0%BD%D0%B8%D0%B5.png)
5.  Перейти в изменения параметров.
    Выбрать "Общее имя".
    ![](https://sd.usergate.com/attachments/P/z/PzAWMCmDlXYlNfcm_a/изображение.png)
    \-
    ![](https://sd.usergate.com/attachments/b/h/bhWS_Ic1VwpHknHT_a/изображение.png)
6.  Написать в "Значение" имя созданного администратора на NGFW (в случае примера: "testdomain.com\ngfwdomain") -> нажать "Добавить".
7.  Во вкладке "Центр сертификации" проверить каким сертификатом будет подписан текущий сертификат администратора. 
    Должен быть выбран сертификат, который импортирован на NGFW.
    ![](https://sd.usergate.com/attachments/X/2/X2z71Ejj7fmBxRBI_a/изображение.png)
8.  После настроек нажимаем "ОК" -> делаем заявку на выпуск сертификата.
    ![](https://sd.usergate.com/attachments/Q/N/QNQo4c5kNHSlnFWn_a/изображение.png)
9.  Поменять на NGFW условние доступа в веб-консоль.
    Во вкладке "Настройки" в пункте "Режим аутентификации веб-консоли" выбрать "По X.509 сертификату". 
    ![](https://sd.usergate.com/attachments/C/P/CPUpjg8Akd7arnBb_a/изображение.png)
10. Перезапустить браузер и выбрать необходимый сертификат.
    ![](https://sd.usergate.com/attachments/8/A/8AJvKVJcF9IXTgam_a/изображение.png)
    \-
    ![](https://sd.usergate.com/attachments/u/U/uUVa13vfP21nsHit_a/изображение.png)