Active Directory.pdf - Gattner

Implementieren der AD CS 661
Hardwaresicherheitsmodul (HSM)
Um die Sicherheit privater Schlüssel für eine Zertifizierungsstelle zu erhöhen, können Sie ein Hardwaresicherheitsmodul
(HSM) verwenden. Ein HSM dient zum Speichern privater Schlüssel auf Hardware,
was sicherer als die Speicherung auf der Festplatte ist. Ein HSM kann Funktionalität bieten, die
normalerweise von Software bereitgestellt wird, z.B. Schlüsselgenerierung, Schlüsselarchivierung
und -wiederherstellung und Generierung von Zufallszahlen. Da die Server-CPU diese Aufgaben nicht
mehr übernehmen muss, wird die Serverleistung optimiert.
Installieren untergeordneter AD CS-Zertifizierungsstellen
Die Installation einer untergeordneten Zertifizierungsstelle entspricht nahezu der Installation einer
Stammzertifizierungsstelle, wobei jedoch eine untergeordnete Zertifizierungsstelle das Zertifizierungsstellenzertifikat
von der Stammzertifizierungsstelle abrufen muss. Eine untergeordnete Zertifizierungsstelle
ist zumeist eine Unternehmenszertifizierungsstelle, um die Integration mit Active
Directory und den Einsatz von Zertifikatvorlagen zu ermöglichen. Wie bei der Installation einer
Stammzertifizierungsstelle müssen die Installationsoptionen für eine untergeordnete Zertifizierungsstelle
vor Beginn der Installation überlegt geplant werden.
Wenn die untergeordnete Zertifizierungsstelle ein Zertifikat von der Stammzertifizierungsstelle
anfordert, hängt dieser Vorgang davon ab, ob es sich um eine Offline-, Online-, Unternehmens- oder
eigenständige Stammzertifizierungsstelle handelt. Ist die Stammzertifizierungsstelle eine Online-
Unternehmenszertifizierungsstelle, kann das Zertifikat während der Installation der untergeordneten
Zertifizierungsstelle automatisch abgerufen werden. Ist die Stammzertifizierungsstelle eine eigenständige
Zertifizierungsstelle, muss die Anforderung des Zertifizierungsstellenzertifikats in einer
Datei gespeichert und an die Stammzertifizierungsstelle übermittelt werden. Die Antwort der Stammzertifizierungsstelle
muss anschließend in den Assistenten zum Installieren der Active Directory-Zertifikatdienste
importiert werden. Ist eine eigenständige Stammzertifizierungsstelle online, kann die
Zertifikatanforderung und -antwort über das Netzwerk erfolgen. Ist sie offline, muss die Zertifikatanforderung
und -antwort auf einem Wechseldatenträger zum Transport zwischen der Stamm- und der
untergeordneten Zertifizierungsstelle gespeichert werden.
Konfigurieren der Webregistrierung
Die Zertifizierungsstellen-Webregistrierung wird in den AD CS als Rollendienst implementiert, den
Sie während der Erstinstallation oder nach der Installation installieren können. Wenn Sie die Zertifizierungsstellen-Webregistrierung
installieren, sind verschiedene zusätzliche Rollendienste und Features
erforderlich. Falls diese noch nicht installiert sind, werden Sie zu deren Installation aufgefordert.
Die folgenden Features und Rollendienste sind erforderlich:
• Webserver (IIS) Die Webserver- und Verwaltungsprogramme sind installiert. Dies gilt auch für die
Unterstützung von ASP-Seiten und der .NET-Erweiterbarkeit, die für die Ausführung der zur Zertifizierungsstellen-Webregistrierung
gehörenden dynamischen Webseiten erforderlich ist.
• Aktivierungsdienst für Windows-Prozesse Hierzu gehört die .NET-Umgebung.
Hinweis Um die Sicherheit zu erhöhen, kann die Website der Webregistrierung auf einem von der Zertifizierungsstelle
getrennten Server konfiguriert werden.