Active Directory.pdf - Gattner

656 Kapitel 17: Active Directory-Zertifikatdienste
Zertifizierungsstellen
Eine Zertifizierungsstelle ist für die Ausstellung von Zertifikaten zuständig. Im Rahmen dieses Prozesses
wird die Identität des Anforderers überprüft, was manuell oder automatisch erfolgen kann. Die
manuelle Überprüfung verhindert die automatische Ausstellung von Zertifikaten und erfordert das
Eingreifen eines Administrators. Die manuelle Überprüfung kann beispielsweise erforderlich machen,
dass ein Administrator vor Ausstellung eines Zertifikats das Beschäftigungsverhältnis überprüft. Windows
Server 2008-Zertifizierungsstellen können (ebenso wie Windows 2000 Server- und Windows
Server 2003-Zertifizierungsstellen) in Kombination mit Zertifikatvorlagen den Status automatisch
überprüfen. Wenn sich ein Benutzer anmeldet und über die benötigten Berechtigungen für den Zugriff
auf eine Vorlage verfügt, wird der Überprüfungsprozess für den Benutzer und Administrator automatisiert.
Zertifizierungsstellen sind auch für die Verwaltung der Zertifikatsperrung zuständig. Das Sperren
eines Zertifikats wird von einem Administrator manuell ausgelöst. Nachdem das Zertifikat gesperrt
wurde, veröffentlicht die Zertifizierungsstelle diese Sperrung in der Zertifikatsperrliste und stellt den
Zertifikatstatus über OCSP zur Verfügung.
Hierarchie von Zertifizierungsstellen
Das Thema „Vertrauen“ steht bei der Planung der Implementierung der PKI im Mittelpunkt. Insbesondere
den Zertifikate ausstellenden Zertifizierungsstellen muss von den Clients vertraut werden, die
diese Zertifikate verwenden. Windows-Clients führen eine Liste vertrauenswürdiger Stammzertifizierungsstellen.
Von einer vertrauenswürdigen Stammzertifizierungsstelle ausgestellten Zertifikaten wird
von Windows-Clients vertraut. Windows-Clients vertrauen außerdem Zertifikaten, die von den vertrauenswürdigen
Stammzertifizierungsstellen autorisierten Zertifizierungsstellen ausgestellt werden.
Die erste in Ihrem Unternehmen eingerichtete Windows Server 2008-Zertifizierungsstelle ist eine
Stammzertifizierungsstelle. Wenn die Stammzertifizierungsstelle eine Unternehmenszertifizierungsstelle
ist, wird das selbst signierte Zertifikat der Stammzertifizierungsstelle automatisch an die Windows-Clients
in der Active Directory-Gesamtstruktur als vertrauenswürdiges Stammzertifikat verteilt.
Deshalb vertrauen Windows-Clients in der Active Directory-Gesamtstruktur automatisch den
von einer internen Zertifizierungsstelle ausgestellten Zertifikaten. Bei Verwenden einer eigenständigen
Stammzertifizierungsstelle müssen Sie die Verteilung des vertrauenswürdigen Stammzertifikats
für die Stammzertifizierungsstelle konfigurieren.
In kleineren Unternehmen ist ggf. nur eine Zertifizierungsstelle erforderlich. In größeren Unternehmen
sind u. U. viele Zertifizierungsstelle mit spezifischen Funktionen notwendig. Wird eine zweite
Windows Server 2008 installiert, wird das Zertifizierungsstellenzertifikat für die zweite Zertifizierungsstelle
von der vertrauenswürdigen Stammzertifizierungsstelle signiert. Deshalb vertrauen alle
Windows-Clients in der Active Directory-Gesamtstruktur den von der zweiten Zertifizierungsstelle
ausgestellten Zertifikaten. Die zweite Zertifizierungsstelle kann eine dritte Zertifizierungsstelle autorisieren,
deren Zertifikaten auch von den Windows-Clients in der Active Directory-Gesamtstruktur
vertraut wird. Über diesen Prozess können Sie eine Hierarchie aus Zertifizierungsstellen aufbauen,
welche die Anforderungen Ihres Unternehmens erfüllt. Alle in einer Hierarchie nach der Stammzertifizierungsstelle
installierten Zertifizierungsstellen sind untergeordnete Zertifizierungsstellen.
Unternehmens- und eigenständige Zertifizierungsstellen
Windows Server 2008-Zertifizierungsstellen können nur als eigenständige oder Unternehmenszertifizierungsstellen
installiert werden, wobei der Hauptunterschied zwischen beiden die Integration in
Active Directory ist.