Active Directory.pdf - Gattner

680 Kapitel 17: Active Directory-Zertifikatdienste
Die entsprechende Gruppenrichtlinienobjekt-Einstellung lautet Computerkonfiguration\Richtlinien\
Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien öffentlicher Schlüssel\Nicht vertrauenswürdige
Zertifikate.
Viele Optionen zur Verwaltung der Überprüfung wurden außerdem der Einstellung Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien
öffentlicher Schlüssel\
Einstellungen für die Überprüfung des Zertifikatpfades hinzugefügt. Die Registerkarte Speicher kann
dazu dienen, Benutzer am Hinzufügen vertrauenswürdiger Stammzertifizierungsstellen zu ihren Computern
zu hindern. Die Registerkarte Vertrauenswürdige Herausgeber dient zum Steuern, ob Benutzer,
Administratoren oder nur Unternehmensadministratoren die Liste vertrauenswürdiger Herausgeber
von Software ändern dürfen. Auf der Registerkarte Netzwerkabruf können Zeitlimitwerte für
OCSP-Anforderungen festgelegt werden. Die Registerkarte Sperrung dient zum Festlegen der Gültigkeitskeitsdauer
von OSCP und Zertifikatsperrlisten.
Konfigurieren der Serverspeicherung von Anmeldeinformationen
In verschiedenen Unternehmen, z.B. Telemarketingfirmen, arbeiten Benutzer häufig an verschiedenen
Computern. Da Zertifikate in den Profilen auf den Computern gespeichert werden, können
Zertifikate in einer solchen Umgebung nicht ohne Weiteres eingesetzt werden. Eine Lösung sind servergespeicherte
Benutzerprofile, bei denen Benutzerprofile bei jeder Abmeldung an einen Netzwerkspeicherort
hochgeladen und bei der Anmeldung heruntergeladen werden. Servergespeicherte Profile
enthalten jedoch neben dem Zertifikatspeicher sehr viele zusätzliche Daten, was zu langen Anmeldezeiten
führen kann.
Die Serverspeicherung von Anmeldeinformationen ermöglicht Benutzerzertifikaten und deren privaten
Schlüsseln einen Wechsel auf einen anderen Computer, ohne dass servergespeicherte Benutzerprofile
erforderlich sind. Wenn sich der Benutzer erstmals anmeldet, werden die Benutzerzertifikate
im lokalen Zertifikatspeicher im entsprechende Benutzerkonto in Active Directory veröffentlicht.
Gibt es in Active Directory veröffentlichte Zertifikate, die neuer als die lokalen Zertifikate sind, wird
der lokale Zertifikatspeicher mit den Zertifikaten in Active Directory aktualisiert. Ab diesem Zeitpunkt
werden neue für den Benutzer ausgestellte Zertifikate aus dem lokalen Speicher in Active
Directory veröffentlicht. Wenn sich der Benutzer an einem anderen Computer anmeldet, werden die
Zertifikate in Active Directory mit dem zu verwendenden lokalen Zertifikatspeicher synchronisiert.
Die Serverspeicherung von Anmeldeinformationen wird immer dann ausgelöst, wenn sich ein Zertifikat
im lokalen Zertifikatspeicher ändert, der Computer ge- bzw. entsperrt wird oder die Gruppenrichtlinien
geändert werden.
Hinweis Die Serverspeicherung von Anmeldeinformationen und servergespeicherte Benutzerprofile
dürfen nicht parallel verwendet werden.
Hinweis Zum Verwenden der Serverspeicherung von Anmeldeinformationen muss auf dem Client Windows
XP SP2, Windows Server 2003 SP1, Windows Vista oder Windows Server 2008 ausgeführt werden.
Die Gruppenrichtlinienobjekt-Einstellung zum Steuern der Serverspeicherung von Anmeldeinformationen
lautet Benutzerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\
Richtlinien für öffentliche Schlüssel\Zertifikatdiensteclient - Einstellung für Serverspeicherung von
Anmeldeinformationen (siehe Abbildung 17.14).