Active Directory.pdf - Gattner

649
K A P I T E L 1 7
Active Directory-Zertifikatdienste
Inhalt dieses Kapitels:
Active Directory-Zertifikatdienste – Übersicht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 649
Implementieren der AD CS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 658
Verwalten von Zertifikaten in den AC CS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 672
Entwerfen einer AD CS-Implementierung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 681
Zusammenfassung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 687
Empfohlene Vorgehensweisen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 688
Zusätzliche Ressourcen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 688
Die Active Directory-Zertifikatdienste (AD CS) sind die Microsoft-Implementierung einer Public
Key-Infrastruktur (PKI). Die PKI ist die Basis der Komponenten und Prozesse zum Ausstellen und
Verwalten digitaler Zertifikate für Verschlüsselungs- und Authentifizierungszwecke. Die AD CS müssen
nicht als Teil einer Windows Server 2008-Active Directory-Struktur implementiert werden. Doch
viele Unternehmen finden es nützlich, diese Dienste intern bereitzustellen, anstatt mit einem externen
Anbieter zusammenzuarbeiten.
Dieses Kapitel beginnt mit einer Übersicht über die AD CS und ihre Verwendungsmöglichkeiten.
Anschließend wird die Implementierung der AD CS und die Verwaltung der von den AD CS ausgestellten
Zertifikaten behandelt. Schließlich wird der allgemeine Entwurf einer AD CS-Implementierung
untersucht.
Active Directory-Zertifikatdienste – Übersicht
Die AD CS sind eine Komponente von Windows Server 2008 zum Ausstellen und Verwalten digitaler
Zertifikate. Die von den AD CS ausgestellten digitalen Zertifikate können für das verschlüsselnde
Dateisystem (Encrypting File System, EFS), die E-Mail-Verschlüsselung, SSL (Secure Sockets
Layer) und die Authentifizierung verwendet werden. Ein Server, auf dem die AD CS installiert sind,
wird als Zertifizierungsstelle bezeichnet.
Digitale Zertifikate werden für die asymmetrische Verschlüsselung verwendet, die zwei Schlüssel
erfordert. Der erste Schlüssel ist der private Schlüssel, der vom Benutzer oder Computer, für den ein
digitales Zertifikat ausgestellt wurde, sicher gespeichert wird. Der zweite Schlüssel ist der öffentliche
Schlüssel, der an andere Benutzer und Computer verteilt wird. Die von dem einen Schlüssel verschlüsselten
Daten können nur mit dem anderen Schlüssel entschlüsselt werden. Diese Beziehung
gewährleistet den Schutz der verschlüsselten Daten. Jeder Schlüssel ist ausreichend groß, um die
Berechnung des privaten Schlüssels bei Besitz des öffentlichen Schlüssels zu verhindern.