Microsoft AD CS: Handleiding voor beheer, beveiliging en migratie

Active Directory Certificate Services (AD CS) is Microsofts op rollen gebaseerde PKI-platform voor Windows Server dat certificaten uitgeeft, beheert en intrekt voor gebruikers, apparaten en services die lid zijn van een domein. Het platform vereist doelbewuste beveiliging om de goed gedocumenteerde aanvalspaden op basis van configuratiefouten te voorkomen.

AD CS stelt organisaties in staat een interne certificeringsinstantie te beheren die is geïntegreerd met Active Directory en certificaten uitgeeft via sjablonen, NDES en automatische inschrijving. Omdat verkeerd geconfigureerde sjablonen en machtigingen een bekende manier zijn om privileges te escaleren (vaak aangeduid als ESC1 tot en met ESC8+), vereisen AD CS-implementaties specifieke beveiligingsmaatregelen en, voor verouderde omgevingen, een duidelijk migratieplan naar modern certificaatlevenscyclusbeheer.

Key Takeaways

• AD CS integreert rechtstreeks met Active Directory, waardoor certificaatsjablonen op dezelfde manier rolgebaseerde machtigingen kunnen toepassen als andere AD-objecten.
• Verkeerd geconfigureerde certificaatsjablonen vormen een goed gedocumenteerde manier om privileges te escaleren, vaak gecatalogiseerd als ESC1 via ESC8+ in offensief beveiligingsonderzoek.
• De meest voorkomende kritieke configuratiefout (vaak aangeduid als ESC1) is een sjabloon waarmee een gebruiker met lage privileges een willekeurige Subject Alternative Name kan opgeven, terwijl tegelijkertijd clientauthenticatie is toegestaan.
• Het beveiligen van AD CS vereist een audit van de machtigingen van elke certificaatsjabloon, niet alleen van de configuratie van de CA-server zelf, aangezien een verkeerde configuratie van de sjabloon de meest voorkomende aanvalsroute in de praktijk is.
• Veel organisaties migreren AD CS-activiteiten, of specifieke workloads zoals het uitgeven van apparaatcertificaten, naar cloudgebaseerde of hybride platforms voor certificaatlevenscyclusbeheer om de operationele last te verminderen en de automatisering te verbeteren.

Wat zijn de meest voorkomende AD CS-configuratiefouten waarop gecontroleerd moet worden?

Een veelvoorkomend probleem (informele ESC-aanduiding)	Risico
De template maakt door de aanvaller gespecificeerde SAN + clientauthenticatie (ESC1) mogelijk.	Een gebruiker met beperkte rechten kan een certificaat aanvragen door zich voor te doen als een ander account.
De template bevat gevaarlijke, verkeerd geconfigureerde inschrijfrechten (ESC2-ESC4).	Te ruime inschrijf- of schrijfrechten stellen onbevoegde gebruikers in staat gevoelige certificaattypen te verkrijgen.
Kwetsbare NTLM-relay naar AD CS-eindpunten (ESC8)	Authenticatie via een doorgeefluik kan worden gebruikt om namens een slachtoffer een certificaat aan te vragen.
Zwakke of ontbrekende beoordelingsprocedure voor toegang tot sjablonen	Foutieve configuraties die tijdens wijzigingen ontstaan, blijven onopgemerkt als ze niet periodiek worden gecontroleerd.

Wat omvat een basischecklist voor AD CS-beveiliging?

1. Controleer de inschrijvings- en schrijfrechten van elke certificaatsjabloon, niet alleen die van de ACL's van de CA-server zelf.
2. Beperk of verwijder sjablonen die gebruikers met beperkte rechten in staat stellen een willekeurige Subject Alternative Name op te geven.
3. Voor certificaatsjablonen met een hoog risico, zoals sjablonen voor client- of smartcardauthenticatie, is goedkeuring van de manager of expliciete uitgifte vereist.
4. Schakel HTTP-gebaseerde inschrijvingspunten uit of beveilig ze streng, aangezien deze gevoeliger zijn voor NTLM-relay-aanvallen dan Kerberos-gebaseerde inschrijvingen.
5. Beperk het lokale beheerderslidmaatschap op CA-servers tot een kleine, goed gecontroleerde PKI-beheerdersgroep.
6. Schakel de CA-auditregistratie in en houd deze in de gaten, en controleer uitgiftegebeurtenissen regelmatig op afwijkingen.

Wanneer moet een organisatie overstappen van of moderniseren met haar AD CS-implementatie?

AD CS zelf blijft een ondersteund en capabel platform, dus "migratie" betekent vaak het moderniseren van specifieke workflows in plaats van het volledig vervangen van AD CS: het automatiseren van het certificaatlevenscyclusbeheer, het uitbreiden van de inschrijving naar cloudbeheerde en niet-domeingebonden apparaten, of het consolideren van meerdere verouderde CA-hiërarchieën die in de loop der jaren een wildgroei aan sjablonen en ongedocumenteerde wijzigingen hebben opgebouwd. Organisaties zouden een migratie- of moderniseringsproject moeten overwegen wanneer sjabloonaudits een significant onbeheerd risico aan het licht brengen, wanneer handmatige certificaatverwerking storingen veroorzaakt, of wanneer de bedrijfsbehoeften (zoals het uitbreiden van certificaten naar Entra ID-gekoppelde apparaten) de oorspronkelijke AD CS-functionaliteit zijn ontgroeid.

Hoe verloopt een typisch ADCS-moderniseringsproject?

1. Controleer de bestaande hiërarchie: sjablonen, machtigingen, inventaris van uitgegeven certificaten en CA-serverconfiguratie.
2. Corrigeer eerst de meest kritieke configuratiefouten, met name sjablonen die overeenkomen met bekende patronen voor privilege-escalatie.
3. Ontwerp de gewenste eindtoestand: welke workloads blijven op AD CS, welke migreren naar cloud-beheerde inschrijving en hoe passen NDES/Intune hierin?
4. Migreer of heruitgeef certificaten in volgorde van prioriteit, te beginnen met de systemen met het hoogste risico of de grootste impact op de bedrijfsvoering.
5. Verwijder of consolideer verouderde CA-hiërarchieën zodra de afhankelijke certificaten zijn gemigreerd of op natuurlijke wijze zijn verlopen.

Hoe encryptieconsultancy kan helpen

Hoe Encryption Consulting helpt: PKI Services controleert en beveiligt AD CS-implementaties tegen bekende sjabloonfouten, terwijl CertSecure Manager de automatisering van de certificaatlevenscyclus uitbreidt voor zowel door AD CS uitgegeven als in de cloud beheerde certificaten tijdens een moderniseringsproject. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Veelgestelde Vragen / FAQ

Wat is de meest kritieke AD CS-configuratiefout om te controleren?

De meest kritieke en vaak aangehaalde configuratiefout is een certificaatsjabloon waarmee een aanvrager met lage privileges een willekeurige Subject Alternative Name kan opgeven, terwijl tegelijkertijd clientauthenticatie is toegestaan. Dit stelt een aanvaller namelijk in staat een certificaat aan te vragen dat zich voordoet als een account met privileges.

Is AD CS in 2026 nog steeds een goede keuze voor PKI binnen bedrijven?

AD CS blijft een capabel en goed ondersteund platform voor organisaties met een sterke Windows- en Active Directory-infrastructuur, maar het vereist wel een bewuste versterking van sjablonen en machtigingen. Veel organisaties combineren het daarom met geautomatiseerd certificaatlevenscyclusbeheer om de handmatige werkzaamheden te verminderen.

Moet ik volledig overstappen van AD CS?

Niet per se. Veel organisaties moderniseren specifieke workflows, zoals het uitbreiden van de inschrijving naar cloud-beheerde apparaten of het automatiseren van het lifecyclemanagement, terwijl ze AD CS als onderliggende CA behouden in plaats van het platform volledig te vervangen.

Hoe vaak moeten AD CS-certificaatsjablonen worden gecontroleerd?

Er is geen universeel antwoord, maar gezien hoe gemakkelijk sjabloonrechten kunnen veranderen tijdens routinematige administratieve wijzigingen, is een periodieke audit, minimaal jaarlijks en na elke belangrijke AD- of PKI-wijziging, een redelijke basisvereiste voor de meeste organisaties.

Beveilig en moderniseer uw AD CS-implementatie.

Neem de volgende stap: PKI Services controleert AD CS op bekende configuratiefouten en CertSecure Manager breidt het geautomatiseerde levenscyclusbeheer uit naar uw certificatenportfolio. Ontdek PKI Services om een ​​AD CS-audit in te plannen.