Hallo Leser,
es ist mal wieder soweit, ich veröffentliche einen neuen Artikel. Heute beschäftige ich mich mal mit der Grundkonfiguration der Active Directory Certification Services, kurz AD CS. Ich möchte euch zeigen wie die Grundkonfiguration aussehen könnte. Wichtig bei der Konfiguration ist die Bereitstellungsart der Dienste. Im Regelfall werden die AD CS installiert um Bsp. eine Exchange Umgebung zu betreiben. Selbst für dieses Szenario sollten Punkte beachtet werden die leicht übergehen werden, wie die Sperrkonfiguration.
Zunächst einmal die Überlegung wie die Umgebung aufgebaut ist, meine Demo-Umgebung (auf Server 2012) ist folgendermaßen konfiguriert:
- Domänenname: com.local
- Internetdomänenname: asichel.de
- Servercomputer: DC1, CL1, CA1
Abkürzungen:
- PKI = Public Key Infrastructure
- CRL = Certification Revoke List
- CDP = Certification Distribution Point
- AIA = Authority Information Access
- CA = Certification Authority
- OCSP = Online Certificate Status Protocol
Die Installation der AD CS kann auch auf einem Domänencontroller ausgeführt werden, empfiehlt sich allerdings nicht. Zudem gibt es verschiedene Bereitstellungsszenarien, ich installiere hier eine Stammzertifizierungsstelle als Unternehmenszertifizierungsstelle. Weiter Informationen zu den Szenarien sind hier zu finden: http://openbook.galileocomputing.de/windows_server_2008/windows_server_2008_kap_12_001.htm
Zusätzlich installiere und konfiguriere ich die Webregistrierung für die Zertifizierungsstelle.
Schritt 1 – Rollendienste installieren
- Server-Manager auf CA1 öffnen
- Rollen und Features hinzufügen
- Vorbemerkungen –> Weiter
- Rollenbasierte oder featurebasierte Installation –> Weiter
- Zielserver auswählen und sicherstellen dass CA1.com.local ausgewählt ist –> Weiter
- Active Directory-Zertifikatsdienste auswählen und erforderliche Features hinzufügen (Bild 1) –> Weiter
- Features –> Weiter
- Active Directory-Zertifikatsdienste –> Weiter
- Im Fenster „Rollendienste auswählen“ die Zertifizierungsstellen-Webregistrierung zusätzlich mit auswählen und auch hier erforderliche Features mit hinzufügen (Bild 2) –> Weiter
- Rolle Webserver –> Weiter
- Rollendienste Webserver –> Weiter
- Bestätigungsseite –> Installieren
- Damit ist die Installation abgeschlossen und der Assistent kann geschlossen werden über die Schaltfläche „Schließen“ (Bild 3)
Übersicht Bilder Schritt 1:
Schritt 2 – Zertifikatsdienste installieren
- Den Server-Manager beobachten und auf das Ausrufezeichen an der Fahne in der Benachrichtigungsleiste achten (Bild 4)
- Auf den blauen Schriftzug klicken „Active Directory-Zertifikatsdienste auf dem Zielserver konfigurieren“ und ein Assistent öffnet sich
- Anmeldeinformationen: Hier sind keine Änderungen zu tätigen wenn der Domänenadministrator am Server CA1 angemeldet ist (Bild 5) –> Weiter
- Zu konfigurierende Rollendienste auswählen, hier sowohl Zertifizierungsstelle als auch Webregistrierung auswählen (Bild 6)–> Weiter
- Installationstyp: Unternehmenszertifizierungsstelle (Bild 7) –> Weiter
- ZS-Typ: Stammzertifizierungsstelle (Bild 8) –> Weiter
- Privater Schlüssel: Neuen Privaten Schlüssel erstellen (Bild 9) –> Weiter
- Kryptographie für Zertifizierungsstelle: Schlüssellänge auf 4096 anpassen (Bild 10) –> Weiter
- Name der Zertifizierungsstelle: Allgemeinen Namen anpassen (Bild 11) –> Weiter
- Gültigkeitsdauer: Auf 30 Jahr anpassen (Bild 12) –> Weiter
- Zertifizierungsstellendatenbank: So belassen (Bild 13) –> Weiter
- Bestätigung: Auf Konfigurieren klicken (Bild 14)
- Installationsstatus (Bild 15)
- Installationsergebnisse (Bild 16)
Übersicht Bilder Schritt 2:
Schritt 3 – CDP erstellen
Zunächst müssen wir einige Vorbereitungen und Überlegungen dafür treffen. Zertifikate müssen vom Clientsystem aus auf Ihrer Gültigkeit überprüft werden, dies geschieht mit Hilfe sogenannter Sperrlistenverteilungspunkten (CDP) in denen die Zertifikatssperrlisten (CRL) enthalten sind. Der Zugriff auf die CRL ist ein HTTP Zugriff. Sollten also bestimmte Dienste die Zertifikate erfordern nach außen hin angeboten werden, so muss der CDP durch Clients von außen erreicht werden können. Der CDP ist in jedem Ausgestelltem Zertifikat enthalten, sollte also die Konfiguration der CDP nicht erfolgen, so muss im Nachhinein jedes Zertifikat neu ausgestellt werden.
Für die Konfiguration der CDP wird ein Internetinformationsdienst (IIS) benötigt um die Überprüfung der Zertifikate zu gewährleisten. In meiner Konfiguration lege ich die CRL auf dem DC ab, bin allerdings mit Hilfe von CNAMEs in der Lage die Konfiguration dynamisch zu halten.
- Am DC anmelden
- DNS-Manager öffnen
- Neuen Alias erstellen (Bild 17)
- Auf dem Laufwerk C ein neues Verzeichnis erstellen: CRLD und Freigeben als CRLD$ mit der Freigabeberechtigung: „Authentifizierte Benutzer“ Vollzugriff (Bild 18)
- Die Registerkarte Sicherheit des Verzeichnis auswählen und den Servercomputer CA1 mit der Berechtigung ändern hinzufügen (Bild 19)
- Mit OK bestätigen
- Server-Manager öffnen
- Rollen und Features hinzufügen
- Die Rolle Webserver (IIS) auswählen und 4x auf Weiter klicken –> Installieren
- Installation mit Schließen bestätigen
- Über Start den IIS-Manager öffnen
- Auf „Default Web Site“ Einen rechtsklick –> Virtuelles Verzeichnis hinzufügen
- Bei Alias: CRLD eintragen und unter Physischer Pfad: C.\CRLD auswählen (Bild 20) und mit OK bestätigen
- In der „Features-Übersicht“ den Punkt Verzeichnis durchsuchen via Doppelklick wählen –> Rechtsseitig unter Aktionen auf Aktivieren klicken (Diese Konfiguration dient später nur zu Überprüfungszwecken und sollte wieder Deaktiviert werden!)
- Zurück auf die Übersichtsseite von CRLD wechseln und via Doppelklick den Konfigurationseditor öffnen
- Im Konfigurationseditor unterhalb von Abschnitt auf „System.webServer/security/requestFiltering“ wechseln (Bild 21)
- Den wert „allowdoubleEscaping“ von False auf True stellen und mit Übernehmen auf der rechten Seite bestätigen (Bild 22) –> Dient dazu um Deltasperrlisten abzulegen da diese ein „+“ im Dateinamen enthalten
- IIS Manager schließen
Übersicht Bilder Schritt 3:
Schritt 4 – Sperrlistenverteilungspunkte
Nun wird die Zertifizierungsstelle so konfiguriert dass die Sperrlisten über einen UNC-Pfad automatisch auf die Freigabe gelegt werden. Diese Freigabe ist zudem über einen HTTP-Pfad erreichbar. Dieser HTTP-Pfad wird später in den Eigenschaften des Ausgestellten Zertifikats hinterlegt sein.
- Anmelden an CA1
- Zertifizierungsstelle über Start öffnen
- Mit einem rechtsklick auf die Zertifizierungsstelle in die Eigenschaften wechseln
- Die Registerkarte „Erweiterungen“ auswählen (Bild 23)
- Unterhalb von Erweiterungen auswählen den Punkt „Zugriff auf Stelleninformationen“ anklicken
- Den Punkt mit „ldap://“ markieren und im unteren Teil den Haken bei „In AIA-Erweiterung des ausgestellten Zertifikats einbeziehen“ entfernen
- Wieder zurück auf „Sperrlisten-Verteilungspunkt“ wechseln
- „ldap://“ markieren und die Haken bei den Punkten 2,3 & 4 Entfernen (Bild 24)
- Den teil mit „http://“ markieren und Entfernen auswählen, mit Ja bestätigen
- Den teil mit „file://“ markieren und Entfernen auswählen, mit Ja bestätigen
- Aug hinzufügen klicken und unterhalb von Ort folgendes eingeben: \\crl\crld$\ –> Unterhalb von Variablen die Variablen
- <CAName> auswählen und Einfügen drücken
- <CRLNameSuffix> auswählen und Einfügen drücken
- <DeltaCRLAllowed> auswählen und Einfügen drücken
- Anschließend unter Ort am Ende noch .crl hinzufügen (Bild 25)
- Mit OK bestätigen
- Erneut auf hinzufügen drücken und Folgendes unter Ort erstellen: http://crl.com.local/crld/<CAName><CRLNameSuffix><DeltaCRLAllowed>.crl
- Und ein Letztes mal noch für den Öffentlichen Sperrlistenverteilungspunkt: http://crl.asichel.de/crld/<CAName><CRLNameSuffix><DeltaCRLAllowed>.crl
- Bei dem UNC-Pfad die folgenden Haken setzen: (Bild 26)
- Sperrlisten an diesem Ort veröffentlichen
- Deltasperrlisten an diesem Ort veröffentlichen
- Bei den beiden HTTP-Pfaden die folgenden Haken setzen: (Bild 27)
- In Sperrlisten einbeziehen. Wird z. Suche von Deltasperrlisten verwendet
- In CDP-Erweiterung des ausgestellten Zertifikats einbeziehen
- Mit Übernehmen bestätigen, es folgt eine Aufforderung die Zertifizierungsstelle neu zu starten, mit Ja bestätigen
- Mit OK bestätigen
- Rechtsklick auf „Gesperrte Zertifikate“ –> Alle Aufgaben –> Veröffentlichen
- Es öffnet sich ein neues Fenster mit dem veröffentlichen der Zertifikatssperrliste –> mit OK bestätigen (Bild 28)
- Anschließend den Internet Explorer öffnen und http://crl.com.local/crld eingeben und sicherstellen dass die Sperrlisten vorhanden sind (Bild 29)
Übersicht Bilder Schritt 4:
Schritt 5 – Gruppenrichtlinie
Damit die Clientcomputer in unserem Netzwerk der neuen Zertifizierungsstelle vertrauen erstellen wir ein Gruppenrichtlinienobjekt welches Computerzertifikate automatisch ausrollt. Damit ist dann auch das Zertifikat der Zertifizierungsstelle im Clientsystem unterhalb von Vertrauenswürdigen Stammzertifizierungsstellen installiert. Benutzer können somit auf eine mit HTTPS gesicherte Website zugreifen ohne eine Zertifikatsfehlermeldung zu erhalten. Folgende Einstellungen sind in dem Richtlinienobjekt definiert:
Hi, meiner Frage ist, kann ich auf eine Dedizierte Server in einen Rechenzentrum, webhosted Server 2016 Standard, nur mit IP und ohne Domäne ein CSR erstellen? So dass ich danach ein AlphaSSL bestelle und binde es ein?
Und wie , weil ich immer ein Fehler bekomme.
Danke vielmals
Hallo Marco,
klar geht das! Über certlm.msc kannst Du eine Benutzerdefinierte Anforderung erstellen, schau mal hier: https://blogs.technet.microsoft.com/pki/2008/10/04/creating-offline-certificate-requests-through-the-user-interface-on-windows-vista-or-windows-server-2008/
Andi
Hi Andiy,
Danke für die Super Anleitung. Kann ich den CDP http Zugriff auch auf einen anderen HTTP Port konfigurieren? Ich habe schon ein port 80 weiterleitung. kann ich den webserver so konfigurieren dass der http port auf 8080 läuft und in den konfigurationen dann :8080 angeben. Geht das dass der cdp von aussen über 8080 erreicht wird?
Gruss
Andi
Schweiz
Hi Andi,
super Anleitung. Mal eine andere Frage. Wir hatten früher einen Exchange Server und dafür hat mein Vorgänger wohl einen 2003 Zertifikatserver installiert. Nun brauche wir diesen nicht mehr ich würde den gerne entfernen.
Leider bin ich mir nicht ganz sicher wie ich das sauber machen kann.
Ich sehe das dieser an die DC’s Zertifikate ausstellt und ohne Zertifikate können sich die Clients ( Mac und Windows) nicht an der AD anmelden.
Ich bin nicht wirklich jemand der sich gut mit den Zertifikate auskennt und bräuchte mal eine Empfehlung dazu.
Vielleicht kannst du mir da weiterhelfen.
Vielen Dank für die Hilfe
Hallo,
meine Frage dazu:
gibt es einen Unterschied bei den Editionen von Windows Server R2 Standard und Datacenter bez. MS-AD CS?
Habe gelesen (zwar schon sehr alt) das es bei Server 2003 einen Unterschied gab bez. Radius Zertifikate: Eine 2003er Standard-Version kann keine Radius-Zertifikate ausstellen.
http://www.msxfaq.de/signcrypt/setupca.htm
Gibt es einen Unterschied oder nicht?
Danke für eure Hilfe
Gruß
[…] Active Directory Zertifikatsdienste mit funktionierender Sperrlistenkonfiguration […]
Hi, hat alles soweit geklappt jedoch habe ich das Problem das die Webseite nur eine leere Seite anzeigt.
Ich glaube da stimmen irgendwelche Einstellungen im IIS nicht. Hat jemand eine Idee?
Hallo Sebastian,
ist die Option „Verzeichnis durchsuchen“ aktiv?
Andi
Hallo Andi
Vor einiger Zeit hatte ich den Entschluss gefasst, ein SSTP VPN in einer 2008R2 Umgebung aufzubauen. Dazu habe ich vorerst einiges darüber recherchiert und gelesen. Viele Anleitungen setzten die CA direkt im Internet aus und gehen wenig auf die Sperrlistenverteilung ein, was ich seh schade finde.
Vielen Dank(!) für Deine, für mich sehr verständliche, Anleitung, die mir sehr zu diesem Thema geholfen hat. Zu einer Sache, die ich bisher in keinen Foren gefunden habe, hoffe ich auf eine unterstütztende Antwort.
Ich habe festgestellt, dass ich ohne die Aktivierung der IPv6 Schnittstelle keine Verbindung aufbauen konnte. Dummerweise hat er immer den doch so oft gelesenen Fehler der nicht zu erreichenden Sperrliste gebracht, obwohl diese einwandfrei über alle Verteilungspunkte (UNC als auch http) erreichbar ist. ERST als ich das Event 20106 (Die Schnittstelle „{…}“ kann nicht zu dem Router-Manager für das Protokoll IPV6 hinzugefügt werden. Fehler: Die Funktion kann nicht abgeschlossen werden.) erkannte, schaltete ich das IPv6 Protokoll an.
Ich verstehe nicht, warum IPv6 aktiviert sein muss, da es auch im RRAS nicht geroutet werden soll.
Michael
Hallo,
ich kenn mich leider nicht so gut mit Zertifizierungsstellen und Zertifikaten aus.
Ich habe eine bestehenden 2008er Domäne und würde auf einen neuen Server 2012 r2 eine Zertifizierungsstelle inkl. neuem privaten Schlüssel anlegen. Kann es beim anlegen der Zerifizierungsstelle zu Problemen kommen wenn ich die Zertifizierungsstelle in die bestehende Domäne integriere?
Gruß
Hallo Sebastian,
das brauchst Du nicht! Es ist möglich die vorhanden CA zu sichern und auf einer neuen identisch installierten CA auf Server 2012 R2 wiederherzustellen.
Eine genaue Vorgehensweise hat der Kollege Rachfahl dokumentiert:
http://technikblog.rachfahl.de/losungen/umzug-einer-pki-von-windows-server-2008-r2-auf-windows-server-2012-r2/
Andi
Sry, ich glaub ich hab das falsch geschrieben. Ich habe noch gar keine Zertifizierungsstelle. Also wäre die auf dem 2012er die erste. Und da wollt ich wissen ob es zu Problemen kommen kann wenn ich die erstelle.
Hallo Sebastian,
du kannst unabhängig deiner AD-Infrastruktur eine Zertifizierungsstelle implementieren als Eigenständige CA. Du kannst auch eine Unternehmens-CA installieren, diese integriert sich dann mit Zertifikatsvorlagen und Registrierungsrichtlinien im AD.
Ich habe bisher noch nie etwas davon gehört das es zu Schwierigkeiten / Komplikationen kommen kann bei der Implementierung.
Andi
Hallo,
erst mal danke für die ausführliche Anleitung. Nach etwas hin und her habe ich fast alles umsetzen können. Nur beim erstellen der Gruppenrichtlinie komme ich nicht klar. da habe ich auch wenig Erfahrung. Gibt es dazu auch eine Schritt für Schritt Erklärung? Wen ja wo? Ein Link im Beitrag währe toll.
Gruß
[…] 3: Active Directory Zertifikatsdienste (AD CS) – Grundkonfiguration mit 2963 […]
Hallo,
Ich hab ein Problem welchen deine Grundinstallation am nächsten kommt.
eine eigenständige CA auf einem MemberServer (nicht DC) allerdings von 2003 nach 2012 R2 migriert.
sie funktioniert soweit auch ganz gut bis auf eine Tatsache.
Meine Zertifikatsvorlagen sind weg :-( was bedeutet ich kann keine neuen Zertifkate ausstellen. Fehlermeldungen wie „Die Vorlageninformationen konnten nicht geladen werden“ bin ich natürlich schon seit 2 Tagen mit unserem Freund Google „nachgeirrt“, in den meisten Antworten heißt es das die Zugriffsberechtigungen nicht stimmen….
Aber Zurück:
wenn ich in meiner Zertifizierungsstelle auf Vorlagen klicke bekomme ich im rechten Feld die oben besagte Fehlermeldung. Ich kann auch nicht auf Vorlagen mit der rechten Maustaste und dann unter Neu „Auszustellende Zertifikatsvorlage“ anklicken … der Befehl ist ausgegraut (ich habe also auch keien Möglichkeit Vorlagen zu aktivieren…. :-)
Wenn ich jedoch auch Vorlagen rechte Maustaste und „Verwalten“ klicke bekomme ich alle Vorlagen aus meine AD angezeigt (verbunden mit einen beschreibbaren DC)…. hier sind sie alle da. Wenn ich mir die Registerkarte Sicherheit anschaue stimmen die Berechtigungen der Zetifikatsvorlagen.
Erst habe ich einen Kommunikationsfehler (Synchronisation mit AD) vermutet, aber DCDiag ist hat alle Tests bestanden.
Was soll/kann ich tun?
Ist es ein Fehler der Migration? Soll ich die Zertifikatsstelle neu installieren – was mache ich mit meinen schon vorhandenen Zertifikaten? Einfach drüber installieren in der Hoffnung das die Vorlagen neuinstalliert werden kann ja nicht richtig sein? Eine erneute Migration erscheint mir auch nicht wirklich sinnvoll, denn schleife ich den vielleicht durch die Migration entstandenen Fehler nur mit?!
Ich habe schon AD LDS und Online Respondertools nachinstalliert in der Hoffnung das ich die blos vergessen hab.
Wenn meine Letzten Lösungsansätze etwas komisch klingen – nicht wundern, denn allmählich weiß ich nicht mehr weiter.
Hast Du Ideen?
Danke
Hallo Martin,
Zertifikatsvorlagen sind immer an einen Vorlagenspeicher gebunden, sprich dem Active Directory. Ausschließlich Unternehmens-Zertifizierungsstellen können Zertifikate basierend auf Vorlagen ausstellen. Eine Eigenständige CA ist nicht in der Lage Zertifikate basierend auf Zertifikatsvorlagen auszustellen.
Wird eine weitere Unternehmens-CA installiert greift auch diese auf die Vorlagen im AD zurück, sprich deine Vorlagen sind nicht verschwunden.
Installiere doch auf einem neuen unbeschmutztem Server eine Zertifizierungsstelle als Unternehmens-CA, je nachdem welches Modell zu fährst, als Sub oder Stamm-CA.
Ich hoffe ich konnte weiterhelfen.
Andi
Hallo Andi,
Soviel zum migrieren…. dann habe ich bei der Installation den Falschen CA Typ gewählt. Wobei es bei der Mirgration zu keiner Fehlermeldung kam *mmh*. (schließlich muss es ja vorher eine Unternehmens CA gewesen sein.)
Mein Ziel war es immer eine Stamm CA zu installieren … wie auch immer ich werde da was durcheinander gebracht haben, alles andere ist wohl in der Eile „durchgeplumst“, *sehr ärgerlich*
Jetzt meine Frage die natürlich daraus resultiert:
– Kann ich meine Zertifikate erhalten?
– Oder verliere ich alle meine Zertifikate und muss umstellen?
– Kann ich einfach meine alte Zertifizierungsstelle sichern, eine neue (wie von Dir beschrieben) woanders aufsetzen (ich glaub der Name des Rechners und der Zertifizierungsstelle müssen gleich bleiben) und sie in dem neuen wiederherstellen?
Übrigens: Du hast die beste Antwort geliefert die ich hier im Web gefunden hab, denn nirgendwo hab ich das gefunden was Du mit wenigen Worten gerade so einfach und verständlich ausgedrückt hast. Nach all der Sucherrei hab ich irgend sowas schon geahnt, hab aber nirgends die Bestätigung in klaren Worten gefunden.
Selbst wenn man sich Bild 7 in deinem Szenario etwas genauer anschaut…. *naja*
Danke schön! Und ja Du konntest helfen.
Hallo,
hab die CA laut deiner Anleitung installiert und funktioniert soweit auch. Aber irgendwie hab vermutlich ein Problem mit den CRL-Listen. Wenn ich ein Zertifikat für unseren Exchange 2013 erstelle ist dies immer ungültig.
Nach recherche hab ich festgestellt das es an der DRL liegen könnte.
Wenn ich nun einen certutil -URL http://crl.DOMAIN.local ausführe und in der GUI das Zertifikat auswähle kommt im Ergebnis „Gescheitert“ http://crl.DOMAIN.local/crld/%3CCAName%3E.crl „Hehler beim Aufrufen der URL: Nicht gefunden(404) 0x80190194
Wenn ich die URL Kopiere und manuell im IE Ausführe und die Platzhalter durch den eigentlichen CA Namen ersetze bietet er mir die Datei zum Download an.
Es ist schon richtig in deinem Bild 7 die Variablen einzusetzen oder muss der CAName hier in Klartext geschrieben werden?
Danke im Voraus für die Info und Hilfestellung
Hallo, es können durchaus die Variablen verwendet werden. Wichtig ist das der Name der CA keine Sonderzeichen enthält. Sind die Webservices korrekt konfiguriert, sprich AllowDoubleEscaping usw? Sicher nicht vertippt bei der CA-Konfiguration? Was steht in dem Zertifikat welcher Sperrlistenverteilungspunkt hinterlegt ist?
Oder hat es sich inzwischen vielleicht schon geklärt, wenn ja, woran hat es gelegen?
Mit freundlichem Gruß
Hallo,
jetzt ist noch eine Frage aufgekommen und vielleicht hast du hierzu auch einen Tippe/eine Antwort :)
Nach dem Installieren und Konfigurieren der Zertifizierungsstelle hat der DC automatisch vier Zertifikate mit den Zertifikatvorlagen „Domänencontroller“,“Domänencontrollerauthentifizierung“,“Kerberos-Authentifizierung“,“Verzeichnis-E-Mail-Replikation“ beantragt und ausgestellt bekommen. Der Server auf dem die CA installiert ist hat sich ein Zertifikat mit der Vorlage „Computer“ ausgestellt.
Ist das so in Ordnung, dass diese Zertifikate automatisch beantragt und ausgestellt wurden? Wenn nicht was muss ich anders machen? Welche Risiken oder Vorteile hat dies?
Vielen Dank.
Hallo,
den letzten Post kannst du direkt so wie er ist ignorieren. Da hab ich grad nicht mitgedacht :) Die Zertifikate werden natürlich ausgestellt, weil dies über die Gruppenrichtlinie so konfiguriert wurde. Alles gut.
Wenn du dennoch die Zeit für ein paar Antworten hast, wäre ich dir sehr dankbar
– Welchen Vorteil habe ich durch die Computerzertifikate?
– Was passiert wenn ein Computerzertifikat abläuft?
– Wird ein Computerzertifikat auch automatisch erneuert?
– Was passiert wenn ich ein Computerzertifikat sperre?
– Wie geht man vor wenn für ein System, dessen Zertifikat gesperrt wurde ein neues Zertifikat ausgestellt werden soll?
– Muss der Pfad zur CRL auch im Stammzertifikat enthalten sein und was ist zu tun wenn dies nicht der Fall ist?
– Warum entfernst du den Haken im UNC und LDAP Pfad bei „In CDP-Erweiterung des ausgestellten Zertifikats einbeziehen“ ? Dadurch steht im Zertifikat nur der HTTP Pfad zur CRL, ist es in einer Domänenumgebung nicht praktisch wenn auch der LDAP Pfad zur CRL im Zertifikat steht?
Vielen Dank und Gruß
Hey, dann arbeite ich Deine Fragen mal ab:
– durch das ausrollen der Computerzertifikate verteilt sich z.B. auch gleich das Zertifizierungsstellenzertifikat. Zudem hast Du den Vorteil dass Zugriffe auf Ressourcen im IIS über Clientzertifikate gesteuert werden können und nicht noch extra Zertifikate ausgerollt werden müssen
– Dann wird dies automatisch erneuert (kann in der Vorlage definiert werden)
– Auch die Frage ist damit beantwortet :)
– dann kann vom Client evtl. nicht mehr auf bestimmte Ressourcen zugegriffen werden
– Neue Anforderung vom System stellen
– Nein da ist der Pfad zur CRL nicht enthalten, nur bei zweischichtiger PKI
– Damit beim Zugriff auf mein OWA von dritten (die Website kann jeder aufrufen) Keine Informationen über meine interne Domäne o.ä. bekannt gegeben wird :)
ich hoffe ich konnte helfen…
Hallo,
mittlerweile bin ich mit dem Aufbau einer Testumgebung fertig und dank deines Artikels hat das auch gut funktioniert.
Ich hatte nur eine Schwirigkeit, die ich hier noch teilen wollte.
Um flexibel zu bleiben, habe ich deinen Ratschlag befolgt und für den CDP einen CNAME erstellt. Den CDP habe ich in der Testumgebung auf dem gleichen Server erstellt auf dem auch die Zertifizierungsstelle installiert ist. Beim Erstellen der Zertifikatsperrlisten kam es dann zu einem Fehler „Der Verzeichnisname ist ungültig. 0x8007010b (WIN32/HTTP: 267).
Wegen eines „loopback check“ funktioniert der Zugriff des Servers auf sich selbst über einen CNAME nicht. Jetzt kann man diese Prüfung entweder deaktivieren oder man konfiguriert den CNAME über die Registry und kann anschließend die Sperrlisten korrekt ausstellen.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
BackConnectionHostNames (Multi-String Value); Als Wert den CNAME eintragen
Quellen: http://social.technet.microsoft.com/Forums/windowsserver/en-US/7f84856d-1ccf-4bf5-a37c-ce9b003aaa4e/unc-path-using-dns-alias-cname-on-local-server-doesnt-work
http://support.microsoft.com/kb/926642/en-us
Gruß
Danke :)
Hallo, ich habe es genau wie ABurger gemacht, erhalte aber trotzdem noch die Fehlermeldung: „Der Verzeichnisname ist ungültig. 0x8007010b (WIN32/HTTP: 267).
Habt ihr Ideen was ich noch machen kann
Hallo Christian,
überprüf doch bitte die Berechtigungen auf dem CDP-Verzeichnis. Es kann entweder ein DNS / Namensauflösungsproblem sein, oder eine fehlende Berechtigung.
LG Andi
Habe alles überprüft, die Berechtigungen und die Auflösung geht bzw ist eigentlich alles richtig eingestellt, doch die Meldung kommt immer noch.
Hallo,
wenn ich den CDP auf dem gleichen System wie die CA belasse, dann sind die Punkte 3 und 4 trotzdem auszuführen?
Vielen Dank
Hi, ist nicht zwingend Notwendig, allerdings kann es ja doch mal sein dass die Sperrlisten von außen erreichbar sein müssen. Dazu würde ich immer mit einem Alias im DNS arbeiten um die Flexibilität zu erhalten. Dementsprechend die Punkte 3 & 4 ausführen ;)
Vielen Dank für dieses Posting, das erleichtert den Einstieg in AD CS. Nachdem ich diesen Artikel gelesen habe, sind bei mir folgende Fragen offen und vielleicht hast du mir eine Antwort darauf, das wäre super.
– Was treten für Nachteile auf, wenn AD CS auf einem DC installiert werden?
– Was ist eine sinvolle Gültigkeitsdauer für das Root CA Zertifikat? (wirklich 30 Jahre?)
– Warum den CDP auf einem DC erstellen?
– Im Unternehmen besteht bereits eine Zertifizierungsstelle und soll durch eine neue abgelöst werden. Kann ich die neue Zertifizierungsstelle (mit neuem privaten Schlüssel) parallel installieren (während die alte noch läuft) ohne, dass Probleme auftreten?
Gruß und Vielen Dank
Gerne :)
Was treten für Nachteile auf, wenn AD CS auf einem DC installiert werden? –> Die Domäneneinstellungen können nicht mehr geändert werden, auch das herunterstufen (DC ablösen) oder ähnliches wird nicht mehr funktionieren.
Was ist eine sinvolle Gültigkeitsdauer für das Root CA Zertifikat? (wirklich 30 Jahre?) –> Was spricht dagegen?
Warum den CDP auf einem DC erstellen? –> Muss nicht, nur hatte ich keine weiteren Server mehr und wollte Demonstrieren wie die CRLs auf einem anderem Server abgelegt werden können.
Im Unternehmen besteht bereits eine Zertifizierungsstelle und soll durch eine neue abgelöst werden. Kann ich die neue Zertifizierungsstelle (mit neuem privaten Schlüssel) parallel installieren (während die alte noch läuft) ohne, dass Probleme auftreten? –> nein, beide CAs tragen sich in der Konfigurationspartition des ADs ein, je nachdem welche Registrierungsrichtlinien gültig ist, werden dort die Zertifikate beantragt. Tendieren würde ich aber zu einer Migration. –> http://pits-online.info/2010/12/23/windows-root-zertifizierungsstelle-migrierenumziehen/
MfG
Hallo und vielen Dank für deine Antworten. Das bedeutet man kann den CDP auf einem anderen Server erstellen muss man aber nicht?! oder ist das evtl. Best Practice?
Gruß
Hi, ich würde den CDP auf einem Server erstellen der, wenn nötig, öffentlich erreichbar ist. Wenn Du also Exchange OWA im Einsatz hast, damit Clients die CRL erreichen können um das Zertifikat zu überprüfen. MfG
[…] Für die Durchführung dieser Anleitung muss die Zertifizierungsstelle schon konfiguriert sein, siehe hier: https://asichel.de/active-directory-zertifikatsdienste-ad-cs-grundkonfiguration/ […]
Danke für den Refresh auf Server 2012, Andi. Sehr gute Anleitung :-)