Active Directory.pdf - Gattner

Implementieren der AD CS 663
Die Basis- und die Delta-Zertifikatsperrliste dienen gemeinsam zum Bereitstellen der vollständigen
Liste gesperrter Zertifikate. Standardmäßig wird eine Basis-Zertifikatsperrliste einmal pro Woche und
eine Delta-Zertifikatsperrliste einmal pro Tag veröffentlicht. Sie können im MMC-Snap-In Zertifizierungsstelle
die Eigenschaften des Ordners Gesperrte Zertifikate an die besonderen Anforderung Ihres
Unternehmens anpassen (siehe Abbildung 17.5).
Abbildung 17.5
Festlegen der Veröffentlichung von Zertifikatsperrlisten
Der Zweck einer Delta-Zertifikatsperrliste ist die Verringerung des Netzwerkdatenverkehrs beim
Herunterladen von Zertifikatsperrlisten auf Clientcomputer. Wenn eine Zertifizierungsstelle für einen
bestimmten Zeitraum in Betrieb ist, kann die Basis-Zertifikatsperrliste recht umfangreich werden.
Heruntergeladene Zertifikatsperrlisten sind vergleichsweise wesentlich kleiner (vergleichbar mit einer
differenziellen und einer vollständigen Datensicherung).
Hinweis Windows 2000-Clients unterstützen keine Delta-Zertifikatsperrlisten und verwenden nur Basis-
Zertifikatsperrlisten. Falls es im Netzwerk Windows 2000-Clients gibt, müssen Sie dafür sorgen, dass die
Basis-Zertifikatsperrliste zur Unterstützung dieser Clients häufig genug aktualisiert wird.
Zertifikatsperrlisten für eigenständige Zertifizierungsstellen stehen standardmäßig nur über die Seiten
der Zertifizierungsstellen-Webregistrierung unter http://server/certsrv/ zur Verfügung. Sie können
jedoch einen LDAP-Pfad für die Zertifikatsperrliste festlegen und diese mithilfe von CertUtil manuell
in Active Directory veröffentlichen. Falls es sich um eine Offlinezertifizierungsstelle handelt, können
Sie sie auch über HTTP an einer anderen Stelle bereitstellen. Die von Unternehmenszertifizierungsstellen
veröffentlichten Zertifikatsperrlisten stehen über die Seiten der Zertifizierungsstellen-
Webregistrierung und Active Directory zur Verfügung (siehe Abbildung 17.6).