Active Directory.pdf - Gattner

684 Kapitel 17: Active Directory-Zertifikatdienste
Rollen in der Zertifizierungsstellenhierarchie
Eine typische Zertifizierungsstellenhierarchie hat drei Ebenen. Diese Anzahl von Ebenen ist hinsichtlich
der Flexibilität optimal. Bei mehr als drei Ebenen ergibt sich nur wenig mehr Flexibilität, jedoch
mehr Komplexität.
Auf der ersten Ebene befindet sich die Stammzertifizierungsstelle, die ihr eigenes Zertifikat ausstellt
und die Richtlinienzertifizierungsstellen autorisiert. Ist die Sicherheit der Stammzertifizierungsstelle
gefährdet, ist auch die Sicherheit aller von der gesamten Hierarchie ausgestellten Zertifikate
gefährdet.
Auf der zweiten Ebene befinden sich die Richtlinienzertifizierungsstellen. Eine Richtlinienzertifizierungsstelle
setzt die Richtlinien und Verfahren für die Ausstellung von Zertifikaten durch. Aufgabe
einer Richtlinienzertifizierungsstelle ist die Autorisierung der ausstellenden Zertifizierungsstellen.
Mehrere Richtlinienzertifizierungsstellen sind nur dann erforderlich, wenn für die Ausstellung von
Zertifikaten an verschiedene Benutzergruppen unterschiedliche Richtlinien befolgt werden. Zwei
Abteilungen können beispielsweise unterschiedlichen Regeln unterliegen.
Auf der dritten Ebene befinden sich die ausstellenden Zertifizierungsstellen, die für das Ausstellen
von Zertifikaten an Clients zuständig sind. Eine ausstellende Zertifizierungsstelle muss stets online
sein und ist zur Vereinfachung der Verwaltung zumeist eine Unternehmenszertifizierungsstelle. Ausstellende
Zertifizierungsstellen können nach Zertifikatzweck, Standort, Abteilung oder Benutzertyp
organisiert sein. Wenn eine Zertifizierungsstelle Zertifikate für das verschlüsselnde Dateisystem
(EFS) ausstellt, basiert die Organisation auf dem Zertifikatzweck. Wenn eine Zertifizierungsstelle
Zertifikate für externe Benutzer ausstellt, basiert die Organisation auf dem Benutzertyp.
Die tatsächliche Anzahl von Ebenen in Ihrer Zertifizierungsstellenhierarchie hängt von den Anforderungen
Ihres Unternehmens ab. In einer Umgebung mit sehr niedrigen Sicherheitsanforderungen mit
nur einer minimalen Anzahl ausgestellter Zertifikate wird ggf. nur eine Stammzertifizierungsstelle
zum Ausstellen von Zertifikaten eingesetzt. Sollten die Sicherheitsanforderungen und die Anzahl der
ausgestellten Zertifikate ansteigen, kann eine zweite, dritte oder sogar vierte Ebene hinzugefügt werden.
Beim mehreren Ebenen wird der Einsatz einer Offlinestamm- und Richtlinienzertifizierungsstellen
empfohlen.
Trennung von Rollen für die Verwaltung
Die Verwaltungsrollen für die Windows-basierte Public Key-Infrastruktur (PKI) können voneinander
getrennt werden. Wichtig ist es zu wissen, welche Rollen welchen Benutzern zugewiesen wurden, da
diese bei zur Verwaltung der PKI zusammenarbeiten müssen. Wenn einem Benutzer mehrere Rollen
zugewiesen wurden, kann er die dazugehörigen Aufgaben nicht ausführen. Die folgenden Verwaltungsrollen
wurden festgelegt:
• Zertifizierungsstellenadministrator Aufgabe dieser Rolle ist das Konfigurieren von Zertifikatdiensten,
das Zuweisen von Zertifikatverwaltern und das Erneuern von Zertifikaten.
• Zertifikatverwaltung Aufgabe dieser Rolle ist das Ausstellen und Sperren von Zertifikaten.
• Auditor Aufgabe dieser Rolle ist das Überprüfen des Sicherheitsereignisprotokolls auf zertifikatdienstbezogene
Ereignisse.
• Sicherungs-Operatoren Dieser Rolle zugewiesene Benutzer können die Zertifizierungsstellenkonfiguration
und -datenbank sowie das Zertifizierungsstellen-Schlüsselpaar sichern.
Die Rollentrennung ist nicht standardmäßig aktiviert. Rufen Sie dazu den Befehl certutil -setreg ca\
RoleSeparationEnabled 1 auf. Die Zertifikatdienste müssen neu gestartet werden, damit diese Änderung
wirksam wird.