В современных ИТ‑инфраструктурах запрос на выпуск цифрового сертификата (CSR – Certificate Signing Request) формируется не «с нуля», а на основе заранее подготовленного шаблона․ Шаблон задаёт набор атрибутов, расширений и правил использования ключа, которые будут включены в итоговый запрос и, соответственно, в сам сертификат после его подписи центром сертификации (CA)․ Ниже рассмотрены основные понятия, типичные элементы шаблона и практические способы создания запросов в самых популярных средах: КриптоАРМ ГОСТ, Windows Server с Active Directory Certificate Services (AD CS) и утилитой certreq․

Что такое шаблон запроса сертификата

Шаблон – это предварительно настроенный профиль, который определяет:

• Набор объектных идентификаторов (OID) для расширения Enhanced Key Usage (EKU);
• Тип и длину открытого ключа (RSA 2048, RSA 4096, ECDSA P‑256 и т․д․);
• Наличие или отсутствие подстановочного знака в поле Common Name (CN);
• Дополнительные атрибуты субъекта (Организация, Подразделение, Город, Страна, Email и др․);
• Политики использования (например, подпись кода, клиентская аутентификация, защита канала)․

Когда пользователь выбирает шаблон в интерфейсе программы или указывает его имя в команде, все перечисленные параметры автоматически подставляются в запрос, что избавляет от ручного заполнения множества полей и снижает вероятность ошибок․

---

Создание запроса в КриптоАРМ ГОСТ

КриптоАРМ ГОСТ предоставляет графический мастер, где шаблоны сертификатов представлены в виде списка․ Ниже пошаговая инструкция:

1. Откройте модуль Создать → Сертификаты․
2. В появившемся окне выберите пункт Создать запрос․
3. В списке Шаблон сертификата найдите нужный профиль (например, OV‑SSL, Кодовая подпись или Драйвер‑подпись)․
4. Нажмите Далее и проверьте вкладку Параметры – здесь можно изменить длину ключа, добавить EKU или указать альтернативные именаSubject Alternative Name (SAN)․
5. Заполните обязательные поля субъекта (Организация, Подразделение, Город, Страна)․ При необходимости установите флаг Запрос сертификата с подстановочным знаком и введите корневой домен (например, ․contoso․com)․
6. Нажмите Готово – программа сгенерирует файл ․req (PKCS#10), готовый к отправке в УЦ․

Примечание: в КриптоАРМ ГОСТ шаблоны уже включают набор OID, соответствующих требованиям ФСТЭК и Минцифры, поэтому дополнительная настройка EKU обычно не требуется․

---

Формирование CSR в Windows (AD CS и certreq)

Через консоль сертификатов (MMC)

1. Запустите certmgr․msc (для личных сертификатов) или certsrv․msc (для работы с центром сертификации)․
2. Перейдите в папку Личные → Сертификаты → Все задачи → Дополнительные операции → Создать настраиваемый запрос․
3. Выберите Продолжить без политики регистрации․
4. Укажите Шаблон: Старый ключ (без шаблона) или выберите один из опубликованных в AD CS шаблонов (WebServer, User, CodeSigning и т․д․)․
5. Оставьте формат запроса PKCS 10․
6. Заполните идентифицирующие данные (CN, O, OU, L, S, C) и, при необходимости, добавьте SAN через кнопку Свойства → Расширения․
7. Завершите мастер – получите файл ․req или сразу отправьте запрос в центр сертификации, если у вас настроена автоматическая регистрация․

Через командную строку (certreq)

Для автоматизации удобно использовать файл‑конфигурацию в формате INF․ Пример запроса на сертификат веб‑сервера с подстановочным знаком:

[NewRequest]
Subject = "CN=*․contoso․com, O=Contoso Ltd, OU=IT, L=Moscow, S=Moscow Region, C=RU"
KeySpec = 1
KeyLength = 2048
Exportable = TRUE
MachineKeySet = TRUE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
HashAlgorithm = sha256
RequestType = PKCS10


[Extensions]
2․5․29․17 = "{text}"
_continue_ = "dns=*․contoso․com&dns=contoso․com"

Сохраните вышеуказанный текст как webserver․inf и выполните:

certreq -new webserver․inf webserver․req

Полученный webserver․req можно передать в любой УЦ, поддерживающий PKCS#10․

Примеры шаблонов в Active Directory Certificate Services
В AD CS шаблоны хранятся в контейнере Certificate Templates и могут быть изменены через консоль Certtmpl․msc․ Ниже перечислены наиболее часто используемые шаблоны и их типичное назначение:


Шаблон
Назначение
Ключевые EKU


WebServer
SSL/TLS для веб‑сайтов
Server Authentication (1․3․6․1․5․5․7․3․1)


User
Клиентская аутентификация (VPN, Wi‑Fi, S/MIME)
Client Authentication (1․3․6․1․5․5․7․3․2)


CodeSigning
Подпись исполняемых файлов и драйверов
Code Signing (1․3․6․1․5․5․7․3․3)


EmailProtection
Шифрование и подпись писем
Email Protection (1․3․6․1․5․5․7․3․4)


SmartCardLogon
Аутентификация по смарт‑карте
Smart Card Logon (1․3․6․1․4․1․311․20․2․2)


Каждый из этих шаблонов можно скопировать, переименовать и адаптировать под конкретные нужды (изменить длину ключа, добавить SAN, ограничить срок действия и т․д․)․ После публикации изменённого шаблона он становится доступным для выбора в мастерах запросов как в MMC, так и через веб‑регистрацию (https://<CA>/certsrv)․

Рекомендации по выбору и настройке шаблона

Определите цель сертификата – веб‑сервер, подпись кода, клиентская аутентификация и т․п․ Это сразу сужает список подходящих шаблонов․
Проверьте требуемые EKU – если в политике организации указано, что сертификат должен использоваться только для подписи кода, убедитесь, что шаблон содержит OID 1․3․6․1․5․5․7․3․3․
Учитывайте ограничения по ключу – для внешних ресурсов часто требуется минимум 2048‑бит RSA или ECDSA P‑256; для внутренних систем можно использовать более короткие ключи, если это допустимо политикой․
Добавьте SAN при необходимости – современные браузеры и приложения игнорируют поле CN, если отсутствует соответствующее SAN․ Включите все нужные DNS‑имена, IP‑адреса и URI․
Соблюдайте срок действия – для публичных сертификатов рекомендуется не более 398 дней (как требует CA/B Forum); для внутренних можно устанавливать более длительные периоды, но не забывайте о политике обновления․
Тестируйте в изолированной среде – перед массовым развёртыванием проверьте, что полученный сертификат корректно цепляется к доверенному корневому УЦ и проходит проверку цепочки trust․


Шаблоны запросов сертификатов – это фундаментальный элемент управления PKI в любой организации․ Они позволяют стандартизировать процесс создания CSR, обеспечивать соответствие требованиям безопасности и сокращать время на администрирование․ Независимо от того, используете ли вы графический интерфейс КриптоАРМ ГОСТ, консоль MMC в Windows или автоматические скрипты с certreq, правильный выбор и настройка шаблона гарантирует, что выпущенный сертификат будет обладать необходимыми свойствами и будет принят всеми доверяющими сторонами․
Следуя рекомендациям, изложенным выше, вы сможете быстро и надёжно формировать запросы на сертификаты для самых разных сценариев: от защиты веб‑сайтов и корпоративных приложений до подписи кода и работы со смарт‑картами․