Active Directory.pdf - Gattner

Zusammenfassung 687
Ausstellungssicherheit
Sie können die Ausstellungssicherheit optimieren, indem Sie die Genehmigung des Zertifikatverwalters
oder das Signieren von Anforderungen anfordern. Bei Anfordern der Genehmigung durch den
Zertifikatverwalter muss dieser alle Anforderungen manuell überprüfen, bevor sie genehmigt werden.
Dadurch kann der Zertifikatverwalter zusätzliche Identitätsprüfungen vornehmen. Durch Signieren
von Anforderungen wird die Identität des Zertifikatanforderers überprüft.
Entwerfen der Zertifikatverteilung und -sperrung
Die Vorgehensweisen bei der Zertifikatverteilung und -sperrung basieren auf den spezifischen Anforderungen
Ihres Unternehmens. Die Zertifikatverteilung muss den Benutzern erlauben, sich bei minimalem
Aufwand für die benötigten Zertifikate zu registrieren. Bei der Zertifikatsperrung müssen
aktuelle Informationen ohne Überlastung von Netzwerkressourcen bereitgestellt werden.
Zertifikatverteilung
Die Zertifikatverteilung bestimmt, wie Clients Zertifikate erhalten. Dies umfasst den Typ und die
Schnittstelle für die Registrierung. Nach Möglichkeit sollte stets die automatische Registrierung für
die Ausstellung sehr vieler Zertifikate genutzt werden, da dadurch der Verwaltungsaufwand verringert
und die Benutzerzufriedenheit gesteigert wird. Dies ist jedoch nur möglich, wenn eine Unternehmenszertifizierungsstelle
für zu Active Directory gehörende Clients verwendet wird.
Das MMC-Snap-In Zertifikate eignet sich zum Abrufen von Zertifikaten von einer Unternehmenszertifizierungsstelle.
Es liest die verfügbaren Zertifikatvorlagen aus Active Directory aus und zeigt nur
Optionen an, die dem Benutzer, für den Zertifikate abgerufen werden, verfügbar sind. Auch diese
Funktionalität gilt nur für Clients, die zu Active Directory gehören.
Die Registrierungswebseiten der Zertifizierungsstelle sind erforderlich, wenn ein Anforderer nicht zu
Active Directory gehört oder eine eigenständige Zertifizierungsstelle Zertifikate ausstellt. Diese Seiten
sind außerdem für bestimmte Sonderfälle erforderlich, z.B. für die Registrierung und den Abruf
von Zertifikaten für Schlüsselwiederherstellungs-Agents.
Zertifikatsperrung
Windows Server 2008 bietet für die Überprüfung des Sperrstatus von Zertifikaten Zertifikatsperrlisten
und das OCSP-Protokoll. Die Verteilung von Zertifikatsperrlisten erfolgt für Active Directory-
Clients automatisch. Clients, die nicht zu Active Directory gehören, können die Zertifikatsperrliste
von den Webregistrierungsseiten der Zertifizierungsstelle herunterladen. Es ist jedoch unwahrscheinlich,
dass ein Client solch einen manuellen Prozess ausführt. OCSP kann für Clients verwendet werden,
die zu Active Directory gehören oder auch nicht.
Im Allgemeinen bietet OCSP eine bessere Netzwerkleistung, sofern Zertifikatüberprüfungen nicht
häufig erfolgen. Zertifikatsperrlisten führen bei zahlreichen Zertifikatprüfungen zu wenig Netzwerkdatenverkehr,
da sie lokal zwischengespeichert werden.
Zusammenfassung
Die Active Directory-Zertifikatdienste (AD CS) sind die Microsoft-Implementierung einer Zertifizierungsstelle
und umfassen Verwaltungsprogramme wie eine Unternehmens-PKI (Public Key-Infrastruktur)
und das Snap-In Zertifizierungsstelle. Es gibt Unternehmenszertifizierungsstellen und eigenständige
Zertifizierungsstellen.