====== Navodilo: Izdaja certifikata ======

<WRAP round info>
**Trajanje:** ~10 minut \\
**Vloga:** PKI operater \\
**Predpogoj:** Odobren CSR
</WRAP>

----

===== Potek dela =====

<mermaid>
flowchart TD
    A[CSR prejet] --> B{Validacija CSR}
    B -->|Neveljaven| C[Zavrniti + Zahtevek]
    B -->|Veljaven| D{Odobritev?}
    D -->|Ne| E[Zahtevati odobritev]
    D -->|Da| F[Podpisati certifikat]
    F --> G{Hibridni način?}
    G -->|Da| H[Dodati PQ razširitev]
    G -->|Ne| I[Klasično podpisati]
    H --> J[Dostaviti]
    I --> J
    J --> K[Revizijski dnevnik]

    style B fill:#fff3e0
    style F fill:#e8f5e9
    style H fill:#e3f2fd
</mermaid>

----

===== Korak 1: Sprejem in validacija CSR =====

<WRAP round important>
**Kontrolni seznam pred podpisovanjem:**
</WRAP>

| # | Kontrolna točka | Ukaz | Pričakovano |
|---|-----------------|------|-------------|
| 1 | Oblika CSR veljavna | ''openssl req -in request.csr -verify -noout'' | ''verify OK'' |
| 2 | Dolžina ključa | ''openssl req -in request.csr -text \| grep "Public-Key"'' | ≥2048 bitov (RSA), ≥256 bitov (EC) |
| 3 | Subject pravilen | ''openssl req -in request.csr -subject -noout'' | Skladno z zahtevo |
| 4 | SANi popolni | ''openssl req -in request.csr -text \| grep -A1 "Subject Alternative"'' | Vsa imena gostiteljev |

<code bash>
# Popolno preverjanje CSR
openssl req -in request.csr -text -noout -verify
</code>

----

===== Korak 2: Preverjanje odobritve =====

| Tip certifikata | Odobri | Dokumentacija |
|-----------------|--------|---------------|
| Strežnik (notranji) | Samodejno / Zahtevek | Št. zahtevka |
| Strežnik (zunanji) | IT varnost | E-pošta + Zahtevek |
| Odjemalec | Vodja oddelka | Obrazec |
| Podpisovanje kode | CISO | Pisno |

----

===== Korak 3: Podpisovanje certifikata =====

==== Klasični način ====

<code bash>
# Podpisovanje strežniškega certifikata (1 leto)
openssl ca -config openssl.cnf \
    -extensions server_cert \
    -in request.csr \
    -out certificate.pem \
    -days 365 \
    -notext

# Zabeležiti serijsko številko
openssl x509 -in certificate.pem -serial -noout
</code>

==== Hibridni način (PQ) ====

<code csharp>
// C# z WvdS.System.Security.Cryptography
using var intermediate = new X509Certificate2("intermediate.pfx", "password");

var csr = CertificateRequest.LoadSigningRequest(
    File.ReadAllBytes("request.csr"),
    HashAlgorithmName.SHA256);

var cert = csr.Create(
    intermediate,
    DateTimeOffset.UtcNow,
    DateTimeOffset.UtcNow.AddDays(365),
    Guid.NewGuid().ToByteArray(),
    CryptoMode.Hybrid);  // PQ razširitev

File.WriteAllText("certificate.pem", cert.ExportCertificatePem());
</code>

----

===== Korak 4: Dostava =====

| Oblika | Uporaba | Ukaz |
|--------|---------|------|
| PEM | Linux, Apache | ''cp certificate.pem /output/'' |
| PFX | Windows, IIS | ''openssl pkcs12 -export -in certificate.pem -inkey private.key -out certificate.pfx'' |
| DER | Java | ''openssl x509 -in certificate.pem -outform DER -out certificate.der'' |

<code bash>
# Dostava z verigo
cat certificate.pem intermediate.pem > fullchain.pem
</code>

----

===== Korak 5: Dokumentacija =====

<WRAP round tip>
**Obvezna polja v zahtevku/dnevniku:**
</WRAP>

| Polje | Primer |
|-------|--------|
| Serijska številka | ''01:23:45:67:89:AB:CD:EF'' |
| Subject | ''CN=server.example.com'' |
| Veljavno do | ''2025-12-15'' |
| Izdal | ''Ime operaterja'' |
| Št. zahtevka | ''INC-2024-12345'' |
| Način | ''Hybrid / Classic'' |

----

===== Odpravljanje težav =====

| Težava | Vzrok | Rešitev |
|--------|-------|---------|
| ''unable to load CSR'' | Napačna oblika | ''openssl req -inform DER -in request.der -out request.pem'' |
| ''signature verify failed'' | CSR spremenjen | Zahtevati nov CSR |
| ''wrong issuer'' | Napačen CA | Preveriti CA certifikat |
| ''certificate request failed'' | Konfiguracijska napaka | Preveriti ''openssl.cnf'' |

----

===== Povezana navodila =====

  * [[.:zertifikat-erneuern|Obnova certifikata]] – Za iztekajoke certifikate
  * [[.:zertifikat-widerrufen|Preklic certifikata]] – Ob ogroženosti
  * [[sl:int:pqcrypt:szenarien:kurzreferenz:csr|CSR kratka referenca]] – Primeri kode

----

<< [[.:start|← Vsakodnevno poslovanje]] | [[.:zertifikat-erneuern|→ Obnova certifikata]] >>

----
//Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional//

{{tag>runbook zertifikat ausstellen operator}}