Active Directory.pdf - Gattner

660 Kapitel 17: Active Directory-Zertifikatdienste
Die Standardgültigkeitsdauer ist fünf Jahre, weshalb an untergeordnete Zertifizierungsstellen und
Clients ausgestellte Zertifikate maximal fünf Jahre ab dem Datum der Installation der Stammzertifizierungsstelle
gültig sind. Um für mehr Flexibilität zu sorgen, wird die Gültigkeitsdauer einer
Stammzertifizierungsstelle häufig auf 10 oder gar 20 Jahre verlängert. Sie können das Zertifikat
der Stammzertifizierungsstelle jederzeit über die Zertifikatdienst-Webseiten oder das MMC-Snap-
In Zertifizierungsstelle erneuern.
• Datenbank und Protokolldatei Eine Stammzertifizierungsstelle stellt zumeist nur wenige Zertifikate
aus. Demzufolge wird die Systemleistung nicht beeinträchtigt, wenn der Standardspeicherort
der Datenbank- und Protokolldateien auf dem Laufwerk %SystemRoot% übernommen wird. In
der Datenbank werden von der Zertifizierungsstelle ausgestellte Zertifikate, von der Zertifizierungsstelle
archivierte private Schlüssel und gesperrte Zertifikate und alle jemals von der Zertifizierungsstelle
empfangenen Zertifikatanforderungen gespeichert.
Hinweis Nach der Installation der AD CS kann der Name eines Servers nicht geändert werden. Um den
Namen eines Servers zu ändern, müssen die AD CS deinstalliert, der Name geändert und die AD CS neu
installiert werden.
CAPolicy.inf
Um eine standardisierte Installation von Zertifizierungsstellen zu gewährleisten, können Sie die Datei
CAPolicy.inf verwenden. Diese Datei enthält Einstellungen, die während der Installation und Erneuerung
einer Zertifizierungsstelle nach deren Ablage im Ordner %Windir% gelesen werden. Sie können
die folgenden Einstellungen festlegen:
• Zertifikatverwendungserklärung Diese Texterklärung beschreibt den Prozess der Ausstellung
von Zertifikaten und wird im Zertifikat der Zertifizierungsstelle angezeigt, was jedoch nicht erforderlich
ist. Um eine Zertifikatverwendungserklärung zu implementieren, müssen Sie die Datei
CAPolicy.inf verwenden. Aus praktischen Gründen wird häufig eine URL hinzugefügt, die auf
eine vollständige Zertifikatverwendungserklärung zeigt, sodass deren Text nicht hinzugefügt werden
muss.
• Veröffentlichungsintervall der Sperrliste Über diese Option können Sie festlegen, wie oft die Zertifikatsperrliste
für diese Zertifizierungsstelle während der Installation aktualisiert wird. Sie können
diese Einstellung auch im MMC-Snap-In Zertifizierungsstelle ändern.
• Erneuerungseinstellungen für Zertifizierungsstellen Bei der Erneuerung eines Zertifikats mit dem
MMC-Snap-In Zertifizierungsstelle wird die bestehende Konfiguration genutzt. Über das Festlegen
von Erneuerungseinstellungen für Zertifizierungsstellen in CAPolicy.inf können Sie die
Schlüssellänge und Gültigkeitsdauer ändern sowie bestimmen, ob ein neues Schlüsselpaar ausgestellt
wird.
• Pfade für den Verteilungspunkt von Zertifikatsperrlisten und Stelleninformationszugriff Da eine
Stammzertifizierungsstelle in der Regel Clients nicht zur Verfügung steht, möchten Sie ggf. nicht
dem Zertifikat der Zertifizierungsstelle die Pfade für den Verteilungspunkt von Zertifikatsperrlisten
und den Stelleninformationszugriff hinzufügen. Sie können diese Erweiterungen in der Datei
CAPolicy.inf deaktivieren. Der Stelleninformationszugriff gibt an, wo das Zertifikat der Zertifizierungsstelle
abgerufen werden kann.
Weitere Informationen Weitere Informationen zur Datei CAPolicy.inf finden Sie in „Syntax von
"CAPolicy.inf"“ auf der Technet-Website unter http://www.microsoft.com/germany/technet/datenbank/
articles/600683.mspx#ED6DI.