Active Directory.pdf - Gattner

688 Kapitel 17: Active Directory-Zertifikatdienste
Eine Unternehmenszertifizierungsstelle ist mit Active Directory integriert und kann für die automatische
Registrierung Zertifikatvorlagen verwenden. Die erste installierte Zertifizierungsstelle ist eine
Stammzertifizierungsstelle. Weitere Zertifizierungsstellen in derselben Hierarchie sind untergeordnete
Zertifizierungsstellen.
Sie können die Webregistrierung konfigurieren, damit Benutzer Zertifikate über eine Webseite abrufen
können. Eine Zertifikatsperrliste wird von Clients zum Überprüfen der Gültigkeit eines Zertifikats
verwendet. Sie können zum Bereitstellen von Zertifikatstatusinformationen auch einen Online-
Responder konfigurieren. Die Schlüsselarchivierung kann implementiert werden, um von einer
Windows Server 2008-Zertifizierungsstelle ausgestellte private Schlüssel für Zertifikate automatisch
zu archivieren.
Zertifikatvorlagen dienen zum Bestimmen, welche Zertifikattypen ein Benutzer oder Computer
abrufen kann, und für die automatische Registrierung für Zertifikate. Ob Zertifikatvorlagen Benutzern
zur Verfügung stehen, wird von Berechtigungen gesteuert, die den Zertifikatvorlagen zugewiesen
wurden. Die Serverspeicherung von Anmeldeinformationen erlaubt Benutzern die Verwendung
ihrer Zertifikate auf verschiedenen Computern und macht keine servergespeicherten Benutzerprofile
erforderlich.
Empfohlene Vorgehensweisen
• Vergewissern Sie sich, dass einer externen Zertifizierungsstelle von Clients automatisch vertraut
wird, bevor Sie ein von dieser Zertifizierungsstelle ausgestelltes Zertifikat beziehen.
• Arbeiten Sie mit einer internen Zertifizierungsstelle für interne Anwendungen, da Clients mühelos
so konfiguriert werden können, dass sie der internen Zertifizierungsstelle vertrauen.
• Verwenden Sie eine Offline-Stammzertifizierungsstelle zur Steigerung der Sicherheit.
• Arbeiten Sie mit einer Unternehmenszertifizierungsstelle für die Ausstellung von Zertifikaten, um
die automatische Registrierung zu ermöglichen.
• Nutzen Sie die automatische Registrierung, wenn sehr viele Zertifikate für Benutzer oder Computer
ausgestellt werden müssen.
• Über die Schlüsselarchivierung und -wiederherstellung können Sie die Wiederherstellung verloren
gegangener privater Schlüssel ermöglichen.
• Ein Online-Responder dient zum sofortigen Überprüfen des Zertifikatstatus.
• Arbeiten Sie mit der Verteilung von Zertifikatsperrlisten zur Unterstützung von Clients mit
Windows 2000, Windows XP und Windows Server 2003.
• Setzen Sie die Serverspeicherung von Anmeldeinformationen ein, wenn Benutzer regelmäßig an
mehreren Computern arbeiten.
• Wählen Sie eine Zertifizierungsstellenhierarchie mit mehreren Ebenen, um die Sicherheit zu
optimieren.
Zusätzliche Ressourcen
Die folgenden Ressourcen enthalten zusätzliche Informationen und Tools im Zusammenhang mit
diesem Kapitel.