Active Directory Certificate Services (AD CS) ist eine der Serverrollen, die in Windows Server 2008 eingeführt wurden und Benutzern anpassbare Dienste zum Erstellen und Verwalten von Public Key Infrastructure (PKI) -Zertifikaten bietet, die zum Verschlüsseln und digitalen Signieren von elektronischen Dokumenten, E-Mails und Nachrichten verwendet werden können .
Zu den von AD CS unterstützten Anwendungen gehören sichere drahtlose Netzwerke, virtuelle private Netzwerke (VPN), Internet Protocol Security (IPSec), Network Access Protection (NAP), Encrypting File Systems (EFS), Smartcard-Anmeldung und mehr.
Eigenschaften
AD CS bietet zahlreiche Funktionen, darunter:
-
Zertifizierungsstelle (CA):
Die Zertifizierungsstelle (CA) in AD CS ist hauptsächlich für die Verwaltung und Ausstellung von Public-Key-Zertifikaten zuständig. Mehrere CAs können zu einer Public-Key-Infrastruktur (PKI) verknüpft werden. Eine typische PKI ist eine Kombination aus Software, Hardware, Standards, Diensten und Richtlinien zur Verwaltung der in einer PKI verwendeten digitalen Zertifikate. Es gibt zwei Arten von CAs:
- Unternehmenszertifizierungsstelle
- Eigenständige Zertifizierungsstelle
Die Unternehmenszertifizierungsstelle muss Domänenmitglied sein und kann Zertifikate für digitale Signaturen und Authentifizierungen für den Zugriff auf geschützte Webbrowser ausstellen sowie E-Mail-Transaktionen sichern. Eine eigenständige Zertifizierungsstelle benötigt keine Active Directory-Domänendienste und kann offline arbeiten. Sie sollte nicht einmal mit einem Netzwerk verbunden sein.
-
Zertifizierungsstellen-Webregistrierung
Die CA-Webregistrierung in AD CS ermöglicht externen Clients, die nicht Teil des Domänennetzwerks sind, die Verbindung zur Zertifizierungsstelle über einen Internetbrowser. Die CA-Webregistrierung unterstützt nur interaktive Anfragen, die der Anforderer manuell über die Site stellt und hochlädt. Das Zertifikat kann nach der Ausstellung durch die Zertifizierungsstelle im Browser heruntergeladen werden. Darüber hinaus kann die Zertifikatsperrliste (Certificate Revocation List, CRL) angefordert werden, die alle innerhalb der PKI abgelaufenen oder gesperrten Zertifikate enthält.
Bei Benutzern, die Teil der Domäne sind, ermöglicht die Vertrauensstellung der Zertifizierungsstelle die sichere Ausstellung von Zertifikaten. Die Webregistrierung ermöglicht externen Clients, Zertifikate von der Zertifizierungsstelle anzufordern und zu widerrufen. Die Registrierung kann auch gesamtstrukturübergreifend erfolgen, d. h. Clients einer Gesamtstruktur können Zertifikate von einer Zertifizierungsstelle einer anderen Gesamtstruktur erhalten. Um die gesamtstrukturübergreifende Registrierung nutzen zu können, müssen Sie eine Vertrauensstellung zwischen allen beteiligten Gesamtstrukturen herstellen. Die Gesamtstrukturvertrauensstellung und die Gesamtstrukturebene müssen auf Windows Server 2008 R2 oder eine andere relevante Version eingestellt sein.
-
Online-Responder
Der Online-Responder ist ein Microsoft Windows-Dienst, der auf dem OCSP-Server mit Netzwerkdienstberechtigungen ausgeführt wird. In AD CS empfängt und verarbeitet der Online-Responder Anfragen zum Status der Zertifikate. Die Gültigkeit des Zertifikats und der digitalen Signatur wird überprüft, um die Echtheit des Zertifikats festzustellen. Darüber hinaus wird geprüft, ob das Zertifikat Teil der Zertifikatsperrliste (Certificate Revocation List, CRL) ist.
Aus verschiedenen Gründen können Zertifikate vor Ablauf des Zertifikats durch die Zertifizierungsstelle vorübergehend oder dauerhaft widerrufen werden. Solche Zertifikate werden in der CRL aufgeführt. Außer über die CRL kann die Widerrufsprüfung auch über die Antwort des Online Certificate Status Protocol (OCSP) erfolgen. Das OCSP prüft den Status der betreffenden Website, indem es die URL an die Zertifizierungsstelle sendet. Die Zertifizierungsstelle gibt eine signierte Antwort mit dem Status des angeforderten Zertifikats aus.
-
Netzwerkgeräte-Registrierungsdienst
Der Netzwerkgeräte-Registrierungsdienst (NDES) ist eine Funktion von Active Directory-Systemadministrator (AD CS), die Zertifikate für Netzwerkgeräte wie Router, Firewalls und Switches ausstellen kann, die den Datenverkehr verwalten. Diese Geräte sind keine Mitglieder der Active Directory-Domäne und besitzen daher keine exklusiven Active Directory-Anmeldeinformationen. NDES ermöglicht die Verwendung von Einmalkennwörtern für diese Netzwerkgeräte. Diese Kennwortanforderungen werden zur Verarbeitung an die Zertifizierungsstelle (CA) gesendet, und die von der CA erhaltenen Zertifikate werden an das Gerät weitergeleitet. Administratoren verwenden NDES daher zur Authentifizierung solcher Netzwerkgeräte.
-
Zertifikatregistrierungs-Webdienst
Der Certificate Enrollment Web Service in AD CS ermöglicht Benutzern und Computern die Registrierung und Erneuerung von Zertifikaten über das HTTPS-Protokoll. Auch Nicht-Unternehmensmitglieder/Benutzer außerhalb der Sicherheitsgrenzen der Domäne können diesen Dienst nutzen. Der Certificate Enrollment Web Service konzentriert sich hauptsächlich auf automatisierte Client-Anfragen und verarbeitet Zertifikatsanfragen mithilfe eines nativen Clients.
Webdienst für Zertifikatregistrierungsrichtlinien
Der Certificate Enrollment Policy Web Service in AD CS ermöglicht Computern und Benutzern den Abruf von Informationen zu ihrer Zertifikatsregistrierungsrichtlinie. Die Zertifikatsregistrierungsrichtlinie gibt den genauen Standort der Zertifizierungsstellen und die von ihnen angeforderten Zertifikatstypen an. Zusammen mit dem Certificate Enrollment Web Service ermöglicht dieser Dienst die richtlinienbasierte Webregistrierung für Nicht-Unternehmenskunden oder Mitglieder außerhalb der Domäne. Die Registrierungsrichtlinie kann sowohl über Gruppenrichtlinieneinstellungen als auch durch individuelle Anwendung auf Clientcomputern aktiviert werden. AD CS erweist sich somit als effiziente Methode zur Verwaltung der Zertifikatsinfrastruktur für beliebige Einheiten in einem Windows-Domänennetzwerk.
Vorteile der Active Directory-Zertifikatdienste
AD CS ermöglicht es Organisationen, die Sicherheit zu erhöhen, indem die Identität einer Person, eines Geräts oder eines Dienstes mit einem entsprechenden privaten Schlüssel verknüpft wird. Darüber hinaus bietet AD CS Unternehmen eine kostengünstige, effiziente und sichere Möglichkeit, die Verteilung und Nutzung von Zertifikaten zu verwalten.
AD CS stellt einer Organisation die PKI zur Verfügung, die für die Verwendung digitaler Zertifikate zur Sicherung von Webservern ( SSL/TLS ), zertifikatsbasierter Authentifizierung, digitaler Signaturen für Dokumente, Verschlüsselung von E-Mails (S/MIME) usw. erforderlich ist. Ohne AD CS müsste sich eine Organisation auf einen Drittanbieter verlassen, um diese Dienste bereitzustellen, oder auf die Bereitstellung von Zertifikaten verzichten.
Nachteile der Active Directory-Zertifikatdienste
- Die Bereitstellung und Handhabung einer Microsoft CA ist keine leichte Aufgabe. Für eine reibungslose Implementierung benötigen Sie ein engagiertes Team mit PKI-Erfahrung. Nach der Einrichtung muss Ihr Team über die besten PKI-Praktiken auf dem Laufenden bleiben, um Verfügbarkeit und Zuverlässigkeit zu gewährleisten.
- Aufgrund der Gemeinkosten für Hardware, Bereitstellung und Wartung durch ein Expertenteam kann es teuer werden.
- AD CS hat ein Bindungsproblem mit MAC OS-Geräten.
- XSS- oder Cross-Site-Scripting-Angriffe können in AD CS auftreten, da die Webregistrierung Benutzereingaben nicht ordnungsgemäß bereinigt. Das bedeutet, dass die Benutzereingaben vor der Speicherung in einer Datenbank nicht überprüft werden. Nicht bereinigte Benutzereingaben können auch zu SQL-Injections führen.
Fazit
Active Directory Certificate Services (AD CS) dient dem Aufbau einer lokalen Public-Key-Infrastruktur (PKI) . AD CS ermöglicht das Erstellen, Validieren und Widerrufen von Zertifikaten für öffentliche Schlüssel. Diese Zertifikate werden vielfältig eingesetzt, beispielsweise zum Verschlüsseln von Dateien, E-Mails und Netzwerkverkehr.
