En certifikatmall är en fördefinierad uppsättning regler, lagrade i Active Directory, som en företagscertifieringsutfärdare tillämpar varje gång den utfärdar ett certifikat. Mallar avgör vad ett certifikat innehåller, vem som kan begära det, hur länge det är giltigt, vilka kryptografiska inställningar det använder och vad det kan användas till. De gör certifikatutfärdandet i Microsoft Active Directory Certificate Services (AD CS) konsekvent, repeterbart och enkelt att styra, istället för att låta varje begärande part definiera egenskaper på egen hand.
Företag kan utfärda och hantera hundratusentals digitala certifikat varje år för användare, datorer, webbservrar, applikationer, enheter, VPN och smartkort. Om varje begäran måste konfigureras manuellt skulle certifikathanteringen snabbt bli inkonsekvent, långsam och svår att säkra. Microsoft åtgärdar detta genom certifikatmallar.
Certifikatmallar är de regeluppsättningar som AD CS Enterprise CA:er använder för att standardisera utfärdande. Istället för att låta varje begärande part välja certifikategenskaper självständigt, anger en mall exakt vad ett certifikat ska innehålla, vem som kan begära det, hur länge det är giltigt, vilka algoritmer det använder och vad det kan användas till.
En viktig sak att tänka på: till skillnad från själva certifikaten är certifikatmallar inte en del av X.509-standarden . De är en Microsoft-specifik funktion i Enterprise CA:er som är integrerade med Active Directory. Organisationer som använder fristående CA:er eller andra PKI-plattformar kan tillämpa liknande policykontroller, men de använder inte Microsofts certifikatmallar.
Vad är en certifikatmall
En certifikatmall är ett Active Directory-objekt som definierar den policy som en företagscertifikatutfärdare tillämpar när den utfärdar ett certifikat. Den fungerar som en ritning för certifikatets innehåll och dess registreringskrav.
När en användare, dator eller applikation skickar in en begäran identifierar Enterprise CA den begärda mallen, kontrollerar att begäraren har behörighet att använda den och utfärdar ett certifikat som matchar mallens konfiguration. Det eliminerar manuellt beslutsfattande under registreringen och håller certifikaten enhetliga i hela organisationen. En mall kan definiera certifikatets syfte, ämnesnamnsformat, nyckelstorlek, kryptografisk leverantör, giltighets- och förnyelseperioder, nyckelanvändning, utökad nyckelanvändning (EKU), registreringsbehörigheter och inställningar för privata nycklar . Eftersom dessa policyer finns centralt i Active Directory hanterar administratörer utfärdandet från ett ställe istället för att konfigurera varje certifikat individuellt.
Hur certifikatmallar fungerar
Registreringen börjar när en användare, enhet eller tjänst begär ett certifikat. Begäran refererar till en specifik mall och Enterprise CA hämtar mallens konfiguration från Active Directory.
Innan utfärdandet utvärderar CA flera villkor. Den bekräftar att begärande part har registreringsbehörigheter, tillämpar eventuella godkännandepolicyer, kontrollerar kryptografiska krav och validerar att mallens villkor är uppfyllda. Först sedan genereras ett certifikat som överensstämmer med mallen. Separationen av uppgifter är den viktigaste idén: mallen definierar utfärdandepolicyn, och Enterprise CA tillämpar den policyn under registreringen.
Vad en certifikatmall definierar
En mall kan styra nästan alla aspekter av ett utfärdat certifikat. De inställningar som administratörer oftast konfigurerar finns nedan.
| Mallinställning | Syfte |
|---|---|
| Certifikatets syfte | Om certifikatet är för användare, datorer, webbservrar, kodsignering, smartkort eller andra användningsområden |
| Ämnesnamn | Hur identiteten fylls i, automatiskt från Active Directory eller tillhandahålls av begärande part |
| Kryptografiska inställningar | Nyckelalgoritm, nyckellängd, kryptografisk leverantör och hashkrav |
| Giltighetstid | Certifikatets livslängd och tidpunkt för förnyelse |
| Nyckelanvändning och EKU:er | Hur certifikatet kan användas, till exempel TLS-serverautentisering, klientautentisering eller kodsignering |
| Registreringsbehörigheter | Vilka användare, grupper eller datorer som kan begära certifikatet |
| Privat nyckelskydd | Exporterbarhet, arkivering, hårdvarubaserad lagring och alla krav på användarinteraktion |
Dessa kontroller håller certifikaten lämpliga för deras avsedda arbetsbelastning samtidigt som de minskar konfigurationsfel.
Versioner av certifikatmall
AD CS har introducerat flera mallversioner, ofta kallade schemaversioner, allt eftersom Windows Server har utvecklats. Att ha rätt version är viktigt, eftersom kryptografiska funktioner som CNG är beroende av det.
| Version | Introducerad med | Viktiga funktioner |
|---|---|---|
| version 1 | Windows 2000 | Inbyggda mallar som inte kan ändras, endast deras behörigheter kan ändras |
| version 2 | Windows Server 2003 | Anpassningsbara mallar, registreringsbehörigheter, mallöverträdelse, nyckelarkivering och stöd för automatisk registrering |
| version 3 | Windows Server 2008 | Alla funktioner i version 2 plus Cryptography Next Generation (CNG), Key Storage Providers (KSP) och elliptisk kurvkryptografi (obs: NSA Suite B-algoritmprofilen som introducerades med denna version föråldrades till förmån för CNSA 1.0 år 2015 och ersattes av CNSA 2.0 år 2022) |
| version 4 | Windows Server 2012 | TPM-nyckelattestering, nyckelbaserad förnyelse, förnyelse med samma nyckel och möjlighet att ange flera leverantörer |
Moderna distributioner använder vanligtvis version 3- eller version 4-mallar, eftersom dessa stöder aktuella kryptografiska leverantörer och standarder. Eftersom en version 4-mall kräver en Windows Server 2012 eller senare CA och en Windows 8 eller senare mottagare, avgör kompatibilitetsinställningarna i mallen vilken schemaversion som faktiskt skapas.
Mallar för postkvantberedskap och certifikat
Microsoft Active Directory Certificate Services på Windows Server 2025 stöder nu postkvantkryptografi. Uppdateringen från Patch Tuesday i maj 2026 introducerade ML-DSA-44, ML-DSA-65 och ML-DSA-87, den modullatticebaserade digitala signaturalgoritmen som standardiserats av NIST som FIPS 204, för certifikatsigneringsåtgärder i AD CS.
Mallar för postkvantumcertifikat har två krav: mallen måste använda en CNG Key Storage Provider (inte en äldre kryptografisk tjänsteleverantör), och syftet med förfrågningshantering måste vara inställt på Signatur, eftersom ML-DSA endast stöder signeringsåtgärder. Dessa krav innebär att endast version 3- eller version 4-mallar kan bära PQC-algoritmer.
Sammansatta certifikat, som kombinerar en klassisk algoritm som ECDSA med en ML-DSA-signatur, stöds också, vilket gör det möjligt för förlitande parter som ännu inte förstår post-kvantumformat att fortsätta validera signaturer med hjälp av den klassiska komponenten.
Organisationer som planerar en PQC-migrering bör notera att befintliga certifieringsutfärdare inte kan uppgraderas på plats. Post-quantum-stöd kräver att en ny, parallell CA-hierarki distribueras vid sidan av den befintliga produktionsmiljön. Kryptografisk flexibilitet, att utforma mallar och registreringsarbetsflöden så att algoritmval kan uppdateras utan en fullständig ombyggnad av infrastrukturen, bör vara en vägledande princip för all mallarkitektur som utformas idag.
För organisationer som omfattas av CNSA 2.0 måste nya förvärv av National Security System stödja CNSA 2.0-algoritmer från och med den 1 januari 2027, med fullständig migrering som krävs senast den 31 december 2031. NIST IR 8547 fastställer en parallell avvecklingsbana för klassiska asymmetriska algoritmer över det bredare federala och kommersiella landskapet, med ett mål för att avstå från certifikat till 2035. Planering av certifikatmallar idag, inklusive migrering av CNG-leverantörer, val av parameteruppsättningar och parallell CA-hierarkidesign, bör ta hänsyn till båda tidslinjerna.
Varför är certifikatmallar viktiga
Mallar är en av de främsta anledningarna till att Enterprise PKI förblir hanterbar i stor skala. Utan en standardiserad utfärdandepolicy skulle administratörer behöva granska och konfigurera varje begäran individuellt, vilket ökar både arbetsinsatsen och säkerhetsrisken.
Mallar förbättrar konsekvensen, eftersom liknande system får identiska konfigurationer, och de stärker säkerheten genom att tillämpa godkända algoritmer, begränsa vem som kan registrera sig, förhindra olämplig certifikatanvändning och hålla policykontrollen central. I takt med att organisationer går över till kortare certifikatlivslängder och mer automatisering blir en konsekvent utfärdandepolicy ännu viktigare, och mallar är grunden som gör storskalig certifikatlivscykelhantering praktisk.
Vanliga misstag
Ett vanligt misstag är att modifiera inbyggda version 1-mallar snarare än att duplicera dem. Den metod som stöds är att duplicera en befintlig mall, vilket låter administratörer anpassa inställningar samtidigt som standardinställningarna bevaras. Att duplicera en version 1-mall uppgraderar den också automatiskt till version 2, vilket tar bort sårbarheten som adresserades av CVE-2024-49019 (patchad november 2024), vilket gjorde det möjligt för en angripare med registreringsrättigheter att bädda in godtyckliga applikationspolicyer i en certifikatbegäran och erhålla certifikat utöver mallens avsedda syfte.
Felkonfigurerade certifikatmallar är också en av de mest kritiska vektorerna för privilegieskalering i Active Directory-miljöer. Sårbarhetsklassen ESC täcker en rad felkonfigurationer av mallar och certifikatutfärdare som gör det möjligt för angripare att få tag på certifikat för konton med hög behörighet.
ESC1 inträffar när en mall har flaggan Enrollee Supplies Subject aktiverad samtidigt som registreringsrättigheter beviljas till konton med låg privilegier, till exempel domänanvändare. Denna kombination låter en angripare begära ett certifikat för vilket konto som helst, inklusive en domänadministratör, och autentisera sig som det kontot.
APT29 och UNC5330 utnyttjade detta mönster 2022 respektive 2024 för att uppnå fullständig domänkompromiss. ESC4 uppstår när konton med låg privilegier har WriteProperty-, WriteDacl- eller WriteOwner-rättigheter på ett certifikatmallobjekt i Active Directory, vilket gör att de kan ändra mallens konfiguration och introducera svagheter i ESC1-stil.
Båda felkonfigurationerna kan förebyggas genom strikta mallbehörigheter med lägsta behörighet, inaktivering av flaggan CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT på mallar som inte kräver det och regelbunden granskning.
Att ge registreringsbehörigheter för brett är ett annat vanligt problem, eftersom det ökar risken för obehörig utfärdande och eskalering av behörigheter om onödiga användare eller system tillåts begära certifikat. Administratörer tenderar också att definiera certifikatändamål för brett; att kombinera flera orelaterade EKU:er i en mall bryter mot minsta möjliga behörighet och gör certifikat svårare att hantera under deras livscykel.
Slutligen lämnas mallar ofta oreviderade, så en mall som en gång matchade policyn blir föråldrad i takt med att kryptografisk vägledning, certifikatlivslängder och affärsbehov ändras.
Säkerhet bästa praxis
Mallar bör följa lägsta behörighetskrav och endast tillåta registrering för auktoriserade användare, enheter och tjänster. Kräv starka algoritmer, lämpliga nyckellängder och icke-exporterbara privata nycklar där det är praktiskt möjligt, särskilt för känsliga certifikat.
Granska mallbehörigheter regelbundet: bekräfta att konton med låg privilegier, såsom domänanvändare och autentiserade användare, inte har registreringsrättigheter på autentiseringskompatibla mallar, att inga icke-PKI-administratörsprinciper har WriteProperty-, WriteDacl- eller WriteOwner-rättigheter på mallobjekt (ESC4-vektor) och att flaggan CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT är inaktiverad på alla mallar som inte uttryckligen kräver den.
Kör Certipy eller Microsoft Defender for Identitys AD CS säkerhetsbedömningar för att lista felkonfigurerade mallar. Ta bort föråldrade mallar så att de inte kan användas av misstag. Skydda privata nycklar i hårdvara med hjälp av en hårdvarusäkerhetsmodul eller en TPM för att minska risken för nyckelkompromettering.
Omfatta EKU:er snävt och håll orelaterade användningsområden i separata mallar istället för att bunta ihop dem.
Integrera mallstyrning med livscykelhantering, så att utfärdade certifikat övervakas, förnyas, återkallas och granskas under hela deras livslängd. Konfigurera CRL Distribution Point (CDP) och OCSP Authority Information Access (AIA)-tillägg i varje mall så att förlitande parter kan verifiera återkallningsstatus; mallar som hanterar externt riktade certifikat måste ange offentligt åtkomliga CDP- och OCSP-URL:er, inte endast interna slutpunkter.
Genom att tillämpa dessa steg konsekvent säkerställer de att utfärdandet är både säkert och förutsägbart i takt med att miljön växer.
Hur krypteringskonsulting kan hjälpa
En väl utformad mallmapp är skillnaden mellan ett TLS- och certifikatprogram som skalas smidigt och ett som ackumulerar risker i felkonfigurerade utgivningspolicyer. Som en kryptografifokuserad verksamhet erbjuder Encryption Consulting specialbyggd PKI-expertis som breda cybersäkerhetsföretag inte kan replikera.
Genom sina Enterprise PKI-tjänster hjälper EC till att designa, distribuera och optimera Microsoft AD CS-miljöer och utfärdandepolicyn kring dem. Detta omfattar mallarkitektur, registreringsarbetsflöden, CA-hierarkidesign, kryptografisk policy och styrning, och håller distributionen redo för granskning och i linje med NIST, FIPS, eIDAS och WebTrust, med rot- och underordnade CA-nycklar skyddade av FIPS 140-3 nivå 3 HSM:er. CertSecure Manager kompletterar AD CS med centraliserad certifikatidentifiering, inventering, livscykelautomation, utgångsövervakning och efterlevnadsrapportering i hela företaget.
Felaktig hantering av certifikat och utgångna autentiseringsuppgifter är förebyggbara risker, och EC:s utövare identifierar och åtgärdar dem innan de utlöser en incident. När organisationer planerar sin post-kvantmigrering kartlägger EC:s PQC Readiness Assessment hela AD CS-övergångsvägen, från att generera en kryptografisk materiallista (CBOM) via CertSecure Manager och migrera CSP-bundna mallar till CNG Key Storage Providers, till att designa och distribuera en parallell ML-DSA CA-hierarki på Windows Server 2025 och välja rätt parameteruppsättningar för varje certifikatarbetsbelastning.
Oavsett om du standardiserar certifikatutfärdande, moderniserar en äldre AD CS-distribution eller förbereder mallar för post-kvantumkryptografiska krav, levererar EC utan avbrott, så att digitalt förtroende förblir konstruerat snarare än lämnas åt slumpen.
Slutsats
Certifikatmallar är policymotorn bakom utfärdandet i Microsoft AD CS. Genom att definiera hur certifikat skapas, vem som kan begära dem och hur de skyddas under hela sin livscykel, hjälper mallar organisationer att vara konsekventa, stärka säkerheten och automatisera certifikathantering i stor skala.
I takt med att företagsmiljöer expanderar och certifikatens livslängd förkortas är väl utformade mallar inte bara en administrativ bekvämlighet; de är en grundläggande del av säkra, skalbara PKI-operationer. Ett praktiskt första steg är att inventera de mallar som för närvarande är publicerade på dina utfärdande certifikatutfärdare, ta bort alla som är oanvända eller alltför breda och bekräfta att varje återstående mall tillämpar aktuella kryptografiska inställningar och registrering med lägst behörighet.
