Om een āāopenbare sleutelinfrastructuur op te zetten en de openbare sleutelcryptografie, digitale certificaten en digitale handtekeningen van uw bedrijf aan te bieden, is een ADCS-serverrol noodzakelijk. AD CS biedt aanpasbare services voor het uitgeven en beheren van digitale certificaten in softwarebeveiligingssystemen die gebruikmaken van openbare sleuteltechnologieĆ«n.
De digitale certificaten die AD CS biedt, kunnen worden gebruikt om elektronische documenten en berichten te versleutelen en digitaal te ondertekenen. Deze digitale certificaten kunnen netwerkcomputers, gebruikers of apparaataccounts authenticeren. Digitale certificaten worden gebruikt om het volgende te bieden:
- Vertrouwelijkheid door encryptie
- Integriteit door digitale handtekeningen
- Authenticatie door het koppelen van certificaatsleutels aan een computer-, gebruikers- of apparaataccount op een computernetwerk
De container voor openbare sleutelservices kan niet worden beperkt tot een specifiek domein of specifieke domeinen. Deze is beschikbaar voor elke client in het forest. Omdat de container voor openbare sleutelservices wordt opgeslagen in een configuratienaamgevingscontext, wordt de inhoud gesimuleerd tussen alle domeincontrollers in het huidige forest.
CN=Openbare sleutelservices, CN=Services, CN=Configuratie, DC= {forest root domein}
Hieronder staan āāde subcontainers onder de containers voor openbare sleutelservices:
- AIA
- CDP
- Certificaatsjablonen
- Certificeringsinstanties
- Inschrijvingsdiensten
- KRA
- OID
Hieronder vindt u de beschrijvingen van elke container:
AIA
Om een āāvertrouwde certificaatketen te creĆ«ren en kruiscertificaten op te halen die door de CA zijn uitgegeven, kunnen clients CA-certificaten ophalen uit de AIA-container met behulp van de Authority Information Access (AIA)-certificaatextensie. Een andere naam voor AIA is Authority Information Access (AIA). De AIA-container installeert automatisch het certificaat van de nieuwe ondernemings-CA tijdens de installatie. Voer de onderstaande opdracht uit om het CA-certificaat programmatisch in deze container te installeren:
Certutil -dspublish -f SubCA
ā dit is het daadwerkelijke pad en de certificaatnaam van het bestand.
CDP
CDP slaat certificaatintrekkingslijsten op. Deze bevatten alle basis-CRL's en delta-CRL's die in het forest zijn gepubliceerd.
Je kunt de certificaatintrekkingslijst in de CDP-container installeren door het commando certutil uit te voeren.
Certutil -dspublish -f
Hoe voeg ik een CDP toe?
Onderstaande opdracht is om CDP toe te voegen
Voeg-CRLDistributionPoint [-InputObject] toe [-URI] [ ]
Kenmerken
-InvoerObject -> Geeft het CRLDistributionPoint-object op waaraan nieuwe CRL-distributiepunten worden toegevoegd
[-URI] -> Hiermee worden nieuwe distributiepunten voor het publiceren van CRL-bestanden voor een bepaalde CA gespecificeerd.
: De cmdlet ondersteunt algemene parameters zoals: Debug (db), ErrorAction (ea), ErrorVariable (ev), InformationAction (infa), InformationVariable (iv), OutVariable (ov), OutBuffer (ob), PipelineVariable (pv), Verbose (vb), WarningAction (wa), WarningVariable (wv)
CRL-publicatieopties
| Veranderlijk | Naam | Beschrijving |
|---|---|---|
| %1 | ServerDNS-naam | De Domain Name System (DNS)-naam van de CA-computer |
| %2 | ServerShortName | De NetBIOS-naam van de CA-computer |
| %3 | CA-naam | De logische naam van de CA |
| %6 | ConfiguratieDN | Het LDAP-pad (Lightweight Directory Access Protocol) van de configuratienaamgevingscontext van het forest voor het forest |
| %8 | CRLNaamSuffix | De verlenging van de CRL |
| %9 | DeltaCRLAtoegestaan | Geeft aan of de CA delta-CRL's ondersteunt |
| % 10 | CDPObjectClass | Geeft aan dat een object een CDP-object is in AD DS |
Certificaatsjablonen
Door de gemeenschappelijke kenmerken te definiƫren die alle certificaten die met die sjabloon worden uitgegeven, delen en de rechten te bepalen waarmee gebruikers of computers zich (automatisch) voor het certificaat kunnen inschrijven, worden certificaatsjablonen gebruikt om de implementatie van certificaten te automatiseren. Een voorbeeld hiervan is een certificaatsjabloon dat alle domeingebruikers met een geldig e-mailadres automatisch inschrijft voor een beveiligd e-mailcertificaat (S/MIME).
Alle certificaatsjablonen die beschikbaar zijn in AD, ongeacht of ze zijn gepubliceerd op een ondernemingscertificeringsinstantie (CA) of niet, worden opgeslagen in de container Certificaatsjablonen. Als een ondernemingscertificeringsinstantie (CA) een certificaatsjabloon publiceert, wordt de waarde ervan als kenmerk weggeschreven naar het CA-object in de container Inschrijvingsservices. Standaard worden er meer dan 30 vooraf gedefinieerde certificaatsjablonen van Microsoft geĆÆnstalleerd bij het samenstellen van een ondernemingscertificeringsinstantie (CA).
Certificeringsinstanties
De container voor certificeringsinstanties is bedoeld voor de vertrouwde root-CA('s). Tijdens het aanmaken van de root-CA van de onderneming wordt het certificaat automatisch in de container geplaatst. In het geval van een offline, zelfstandige CA moet de PKI-beheerder het offline root-CA-certificaat handmatig publiceren met behulp van de opdracht `certutil`.
Voorbeeld: certutil -dspublish -f Root CA
Container voor inschrijvingsdiensten
Het bevat de certificaten voor de ondernemingscertificeringsinstanties (CA's) die certificaten kunnen verlenen aan personen, machines of services in het forest. Alleen een lid van de Enterprise Admins-groep die een ondernemingscertificeringsinstantie (CA) installeert, kan certificaten voor ondernemingscertificeringsinstanties (CA's) aan deze container toevoegen. Het dialoogvenster AD-containers beheren kan niet worden gebruikt om de certificaten handmatig toe te voegen.
KRA
Bevat de certificaten voor sleutelherstelagenten voor het forest. Sleutelherstelagenten moeten geconfigureerd zijn om sleutelarchivering en -herstel te ondersteunen. Certificaten voor sleutelherstelagenten kunnen automatisch aan deze container worden toegevoegd door registratie bij een Enterprise CA. De certificaten voor sleutelherstelagenten kunnen niet handmatig worden toegevoegd via het dialoogvenster AD-containers beheren.
OID
Deze container slaat object-ID's (OID's) op die binnen de organisatie zijn geregistreerd. Een OID-container kan definities van object-ID's bevatten voor aangepaste toepassingsbeleidsregels, uitgiftebeleidsregels (voor certificaten) en certificaatsjablonen. Wanneer de client lid is van de Active Directory-forest, gebruikt deze een OID-container om object-ID's en de lokale OID-database op te lossen.
Nieuwe OID's moeten worden geregistreerd via de MMC- module Certificaatsjablonen ( certtmpl.msc ) door een nieuw toepassings- of uitgiftebeleid (certificaatbeleid) toe te voegen op het tabblad Uitbreiding van de certificaatsjabloon.
Conclusie
Voor een PKI-beheerder binnen een onderneming is het essentieel om de verschillende containers van Active Directory Certificate Services te begrijpen. Een beheerder moet de activiteiten en de noodzaak van elke container kennen om de PKI- infrastructuur van de onderneming te kunnen beheren.
