Exportação de Certificados e Chaves Privadas no XCA
Este procedimento descreve como exportar certificados digitais e chaves privadas a partir do banco de dados PKI do XCA.
A exportação correta é necessária para:
- instalação da Autoridade Certificadora nos clientes
- instalação de certificados HTTPS nos servidores
- backup controlado de material criptográfico
Objetivo
Exportar:
- certificado público da CA
- certificado público dos servidores
- chave privada dos servidores
Exportar o Certificado da Autoridade Certificadora
Abrir o banco PKI no XCA.
Ir na aba:
Certificates
Selecionar o certificado:
MWS_CA_Raiz
Clicar em:
Export
Selecionar a pasta de destino.
Marcar:
Export comment into PEM file
Selecionar o formato:
DER (*.cer)
Clicar em:
OK
Este arquivo será utilizado para instalação da CA nas estações Windows.
Exportar Certificados de Servidores
Ainda na aba:
Certificates
Expandir a Autoridade Certificadora para visualizar os certificados vinculados.
Selecionar o certificado desejado.
Exemplo:
nas.localmws
Clicar em:
Export
Selecionar a pasta de destino.
Marcar:
Export comment into PEM file
Manter o formato padrão:
PEM (*.crt)
Clicar em:
OK
Repetir o procedimento para outros servidores.
Exportar Chave Privada do Servidor
Ir na aba:
Private Keys
Selecionar a chave correspondente ao servidor.
Exemplo:
nas.localmws_KEY
Clicar em:
Export
Selecionar a pasta de destino.
Marcar:
Export comment into PEM file
Manter o formato:
PEM (*.pem)
Clicar em:
OK
Observações Importantes
A chave privada da Autoridade Certificadora não deve ser exportada.
A exposição desta chave compromete toda a infraestrutura PKI.
Os nomes dos arquivos exportados devem ser mantidos conforme definidos no campo:
Subject → Internal Name
Isso facilita a identificação e organização dos certificados no laboratório.
Os certificados de servidores só serão visíveis após expandir a árvore da Autoridade Certificadora na aba Certificates.
Boas Práticas
- armazenar chaves privadas em diretórios protegidos
- não versionar chaves privadas em repositórios Git
- manter backup seguro do banco
.xdbdo XCA - documentar quais certificados foram exportados e instalados
Este procedimento deve ser realizado sempre que um novo servidor HTTPS for configurado.