Das sind Spitzfindigkeiten. Ein CA-Zertifikat ist üblicherweise nicht für Webserver-Authentifzierung geeignet. Du signierst also dein eigenes CA-Zertifikat mit sich selbst, richtig. Und dann ein oder mehrere Webserver-Zertifikate mit dieser CA. Und
die Webserver-Zertifikate sind dann auch "selbst-signiert", nämlich von dir bzw. deiner CA. Als Unterscheidung zu einer öffentlichen, die in jedem Browser vorinstalliert ist.
In den meisten Fällen bringt daher das Importieren des Webserver-Zertifikats exakt *nichts*, da es kein CA-Zertifikat ist.
Sorry, aber das Missverständnis ist leider so weit verbreitet, dass ich wider besseres Wissen antworten muss.
"Selbstsigniertes Zertifikat" ist ein wohldefinierter technischer Begriff, und dieser bedeutet NICHT "ein Zertifikat, das von einer CA signiert ist, welche man selbst betreibt"! "selbst" bezieht sich in diesem Fall auf das Zertifikat
und nicht auf die Person, die es generiert.
Ein selbstsigniertes Zertifikat ist aus EKU-Sicht kein CA-Zertifikat, das ist wahr. Es ist in der Regel ein Serverzertifikat. Damit kann man aber dennoch Zertifikate signieren, und genau das passiert auch. Es gibt in diesem Konstrukt
nur ein einziges Zertifikat, und dieses ist widerwillig in die "Trusted Roots" zu importieren, auch wenn's kein "vollwertiges" CA-Zertifikat ist.
Das, was Du meinst, ist ein ganz normales, von einer CA signiertes Serverzertifikat. Nur mit dem Unterschied, dass die Root CA der Trust Chain dieses Zertifikats nicht von vornherein im Browser (Firefox) bzw. im Betriebssystem (alle anderen) als vertrauenswürdig
bekannt ist. Bei einem solchen Zertifikat ist natürlich das Root CA-Zertifikat in die Trusted Roots zu importieren. Aber es ist dann eben kein selbstsigniertes Zertifikat.
Evgenij Smirnov
I work @ msg services ag, Berlin ->
http://www.msg-services.de
I blog (in German) @ http://it-pro-berlin.de
my stuff in PSGallery -->
https://www.powershellgallery.com/profiles/it-pro-berlin.de/
Exchange User Group, Berlin -> http://exusg.de
Windows Server User Group, Berlin ->
http://www.winsvr-berlin.de
Mark Minasi Technical Forum, reloaded ->
http://newforum.minasi.com
