Active Directory.pdf - Gattner

Zertifikatsperrlisten
Active Directory-Zertifikatdienste – Übersicht 655
Hinweis Das vertrauenswürdige Stammzertifikat einer internen Zertifizierungsstelle wird bei Verwenden
einer Stammzertifizierungsstelle des Unternehmens über Gruppenrichtlinien automatisch an Clients verteilt.
Andernfalls können Sie eine Gruppenrichtlinie manuell so konfigurieren, dass das vertrauenswürdige
Stammzertifikat verteilt wird.
Eine Zertifikatsperrliste enthält Zertifikate, die vor ihrem Ablaufdatum von einem Administrator
gesperrt wurden. Dies kann immer dann erfolgen, wenn ein Zertifikat nicht mehr vertrauenswürdig ist
oder nicht mehr benötigt wird. Bei einem Geschäftspartner, der ein Zertifikat für Authentifizierungszwecke
nutzt, kann das Zertifikat beispielsweise gesperrt werden, wenn die Geschäftsbeziehung nicht
mehr besteht. Ein Zertifikat kann auch gesperrt werden, wenn die Sicherheit des privaten Schlüssels
des Zertifikats gefährdet ist.
Zertifikatvorlagen
Zertifikatvorlagen dienen zum Steuern der Erstellung von Zertifikaten. Mithilfe von Zertifikatvorlagen
wird eine Vielzahl von Zertifikateigenschaften festgelegt, z.B. Zweck, Gültigkeitszeitraum,
Erneuerungszeitraum, Kryptografiedienstanbieter, Format des Antragstellernamens und hinzugefügte
Erweiterungen. Zertifikatvorlagen können auch zum Automatisieren des Registrierungsprozesses für
Zertifikate dienen, indem festgelegt wird, welche Benutzer Zugriff auf die Vorlage haben. Sie können
auch Regeln für die Erneuerung festlegen.
Verteilungspunkte für Zertifikate und Zertifikatsperrlisten
Verteilungspunkte sind Stellen, an denen Benutzer und Computer auf Zertifikate und Zertifikatsperrlisten
zugreifen können. Für Zertifikate kann Active Directory als Verteilungspunkt dienen, über den
Zertifikate veröffentlicht werden. Wird das Snap-In Zertifikate zum Anfordern eines Zertifikats von
einer Unternehmenszertifizierungsstelle verwendet, wird die Antwort automatisch abgerufen und von
diesem Snap-In installiert. Wenn eine Zertifikatanforderung über die Webregistrierung erfolgt, wird
die Antwort von der Zertifikatdienstwebsite abgerufen.
Zertifikatsperrlisten werden regelmäßig von Computern heruntergeladen, um sicherzustellen, dass sie
über eine aktuelle Liste gesperrter Zertifikate verfügen, denen nicht vertraut werden darf, auch wenn
die Zertifikate nicht abgelaufen sind. Frühere Windows Server-Versionen verteilten die Zertifikatsperrliste,
indem diese auf der Zertifikatdienstwebsite und in Active Directory zur Verfügung
gestellt wurden. Die AD CS unter Windows Server 2008 unterstützen diese beiden Methoden sowie
das OSCP (Online Certificate Status Protocol).
Public Key-Infrastrukturfähige Anwendungen
Um Zertifikate für die Verschlüsselung oder digitale Signaturen verwenden zu können, müssen Ihre
Anwendungen die PKI unterstützen. Um beispielsweise E-Mails mit einer digitalen Signatur senden
zu können, muss der E-Mail-Client Zertifikate unterstützen. Darüber hinaus muss der Webserver Zertifikate
zum Verschlüsseln von Verbindungen mithilfe von SSL (Secure Sockets Layer) unterstützen.
Ist eine Anwendung nicht PKI-fähig, können Sie für Verschlüsselung und digitale Signaturen keine
Zertifikate nutzen.