Active Directory.pdf - Gattner

654 Kapitel 17: Active Directory-Zertifikatdienste
Zertifizierungsstellen
Zertifizierungsstellen sind die PKI-Komponenten, die digitale Zertifikate für Benutzer und Computer ausstellen.
Wenn Unternehmen digitale Zertifikate implementieren, muss festgelegt werden, ob mithilfe der
AD CS eine interne Zertifizierungsstelle eingerichtet oder eine externe Zertifizierungsstelle eingesetzt
werden soll. Der Hauptvorteil einer internen Zertifizierungsstelle ist die Wirtschaftlichkeit, da für jedes
ausgestellte Zertifikat keine zusätzlichen Kosten anfallen. Im Gegensatz dazu wird bei Verwenden einer
externen Zertifizierungsstelle eine Gebühr für jedes ausgestellte Zertifikat erhoben. Wenn Hunderte oder
Tausende von Zertifikaten ausgestellt werden, kann dieser Faktor eine große Rolle spielen. Doch für einfache
Anwendungsbereiche, z.B. ein SSL-Zertifikat für einen Einzelserver, übersteigen die Verwaltungskosten
für den Betrieb einer Zertifizierungsstelle zumeist die Kosten des Zertifikats selbst.
Wenn Sie Dienste unter Verwendung digitaler Zertifikate für externe Clients implementieren, wird einer
internen Zertifizierungsstelle von externen Clients nicht automatisch vertraut. Wird einer internen Zertifizierungsstelle
von externen Clients nicht vertraut, zeigt die Anwendung Warnmeldungen an oder funktioniert
überhaupt nicht. Ein Beispiel einer Warnmeldung sehen Sie in Abbildung 17.4. Internen Zertifizierungsstellen
wird von internen Clients automatisch vertraut, da das vertrauenswürdige Stammzertifikat der
internen Zertifizierungsstelle an Domänenmitglieder verteilt wird. Interne und externe Clients vertrauen
vielen externen Zertifizierungsstellen automatisch. Externe Zertifizierungsstellen, die zum Microsoft-
Stammzertifikatsprogramm gehören, wird von Windows-Betriebssystemen automatisch vertraut.
Abbildung 17.4
Fehlermeldung aufgrund eines Zertifikats einer nicht vertrauenswürdigen Zertifizierungsstelle