Установка и настройка Active Directory Certificate Services

Установка и настройка Active Directory Certificate Services
В этой статье я подробно расскажу о процессе установки и настройки Active Directory Certificate Services.

Служба сертификации Active Directory создает центр сертификации, предназначенный для выдачи сертификатов пользователям. Служба может быть настроена и работать через веб-интерфейс.

В примере я разбираю Active Directory Certificate Services на операционной системе Windows Server 2012.

Первым делом нам нужно установить службу сертификации Active Directory.

Установка службы сертификации Active Directory

Для этого нужно запустить диспетчер сервера.

Запуск диспетчера сервера

Далее жмем «Добавить роли и компоненты». Кнопка далее.

Диспетчер сервера

Выбираем пункт установка ролей или компонентов, а затем выбираем наш сервер.

Установка ролей и компонентов

В следующем окне выбираем пункт службы сертификатов Active Directory.

В окне выбора компонентов жмем далее.

В окне служба ролей выбираем пункт центр сертификации.

службы сертификатов Active Directory

Запускаем процесс установки.

После этого по аналогии устанавливаем веб-службу регистрации сертификатов.

Веб-служба регистрации сертификатов

Установка завершена. Перейдем к настройке.

Настройка службы сертификатов Active Directory

Заходим в настройки.

Настройки службы сертификации

Выбираем службу центр сертификации.

Выбираем службу центр сертификации

Вариант установки – центр сертификации предприятия.

центр сертификации предприятия

Тип центра сертификации – корневой. Это необходимо для того, что бы в дальнейшем мы могли самостоятельно выдавать и подписывать сертификаты.

Тип центра сертификации

В следующем окне нужно выбрать пункт создать новый закрытый ключ.

создать новый закрытый ключ

Затем необходимо указать параметры шифрования. Вы можете указать свои параметры, или параметры как у меня на рисунке ниже.

параметры шифрования

В следующем окне указывается имя центра шифрования.

имя центра шифрования

Затем указывается срок действия центра сертификации. По умолчанию он равен 5 годам. Так и оставим.

срок действия центра сертификации

После нажатия кнопки далее вам нужно будет указать физическое место на жестком диске для хранения базы данных.

Место расположения базы данных

Подтверждаем настройку.

Успешное завершение настройки

Перейдем к настройке web-службы регистрации сертификатов.

Настройка web-службы регистрации сертификатов

В окне указать центр сертификации для веб-службы регистрации сертификатов выбираем пункт «Имя ЦС».

Настройка web-службы регистрации сертификатов

Тип проверки подлинности – имя пользователя и пароль.

Тип проверки подлинности

Учетная запись службы CES – использовать встроенное удостоверение пула приложений.

Учетная запись службы CES

В окне выбора сертификата проверки подлинности сервера выберите существующий сертификат, затем нажмите кнопку настроить.

Выбор сертификата

Настройка выполнена.

Настройка выполнена.

Настройка веб-служб политик регистрации сертификатов

 

Выберите тип проверки подлинности – имя и пароль пользователя.

тип проверки подлинности – имя и пароль пользователя

Включите режим обновления на останове ключей. Этот режим позволяет автоматически обновлять сертификаты ключей для компьютеров, которые не подключены к внутренней сети.

Включите режим обновления на останове ключей

Перезагрузите сервер.

Настройка службы выполнена

 

Установка и настройка удостоверяющего центра

Запустите консоль управления Microsoft (пуск, выполнить, mmc).

Консоль mmc

Далее нажмите файл, а затем добавить или удалить оснастку.

Добавить или удалить оснастку

В левой части нужно выбрать пункт «Сертификаты» и нажать кнопку добавить.

Учетной записи компьютера

В появившемся окне выбрать пункт учетной записи компьютера.

В следующем окне ничего не меняем и нажимаем кнопку готово. Оснастка добавлена.

Оснастка добавлена

В левой части окна можно увидеть папки, в которых хранятся сертификаты (11 штук). Они сортированы по типам сертификатов. Если нажать на папку «Личное» то можно посмотреть сертификаты в этой папке.

Перечень сертификатов

Запросим новый ключ, для этого нужно нажать на сертификате и выбрать меню «все задачи», а затем «запросить сертификат с новым ключом».

Запрос сертификата с новым ключом

Появится окно перед началом работы. Жмем далее.

перед началом работы

Видим окно запрос сертификатов и нажимаем «заявка».

Заявка на выпуск сертификата

Запускается процесс установки сертификата. После успешной установки появиться следующая надпись «Состояние: Успешно».

Теперь нам нужно связать сертификат с веб-сервером. Для этого нужно запустить диспетчер служб IIS.

диспетчер служб IIS

В левой части окна нажать сайты, default web site, изменить привязки.

изменить привязки

В появившемся окне нажмите добавить и введите данные как на изображении ниже.

Настройка веб-интерфейса

Сохраните изменения и закройте окно.

Обзор сайта

Для проверки работоспособности Центра сертификации запустите браузер Internet Explorer и в строке навигации наберите адрес «https://192.168.0.1/certsrv/» (ip-адрес может отличаться от того, который указали вы).

Web-интерфейс центра сертификации

Управление шаблонами сертификата

Шаблоны сертификатов

Работа с шаблонами сертификата требует установки оснастки «Шаблоны сертификатов». Откроем нашу консоль, которую мы создавали ранее и добавим оснастку «Шаблоны сертификатов».

Окно оснастки шаблоны сертификатов

Откроем шаблоны в главном окне консоли. Создадим новый шаблон.

Сначала нужно выбрать любой шаблон сертификата и нажать скопировать его.

Скопировать шаблон

Настроим шаблон. Выберите совместимость шаблона сертификата.

Совместимость шаблона сертификата

Задайте общие свойства шаблона.

Общие свойства шаблона

В поле «отображаемое имя» , в строке «имя шаблона» будет тоже самое только без пробелов.

Параметры достоверности по умолчанию и периода обновления для сертификатов, выдаваемых службами сертификатов Active Directory (AD CS), предназначены удовлетворить большинство требований безопасности. Однако для сертификатов, используемых определенными группами пользователей, может потребоваться указать другие параметры достоверности и обновления, такие как более короткие срок действия или периоды обновления.

За это два параметра отвечают для поля «период действия» и «период обновления».

Параметр «опубликовать сертификат в Active Directory» определяет, будут ли сведения о шаблоне сертификата доступными по всему предприятию.

Параметр «не использовать автоматическую перезаявку, если такой сертификат уже существует в Active Directory». С помощью этого параметра автоматическая подача заявки на сертификат не подаст запрос повторной заявки, если в доменных службах Active Directory (AD DS) существует дубликат сертификата. Это дает возможность обновлять сертификаты, но предотвращает выдачу нескольких дубликатов сертификатов.

Обработка запроса. Цель имеет 4 возможных параметра:

  1. Вход с подписью и смарт-картой. Разрешает первоначальный вход в систему с помощью смарт-карты и цифровую подпись данных. Нельзя использовать для шифрования данных.
  2. Подпись. Содержит шифровальные ключи только для подписи данных.
  3. Подпись и шифрование. Охватывает все основные применения шифровального ключа сертификата, включая шифрование данных, дешифрование данных, первоначальный вход в систему и цифровую подпись данных.
  4. Шифрование. Содержит шифровальные ключи для шифрования и дешифрования.

Обработка запроса

Параметр «включить симметричные алгоритмы, разрешенные субъектом» позволяет администратору выбрать алгоритм стандарта AES для шифрования закрытых ключей, когда они передаются в ЦС для архивации ключа.

Если установлен этот параметр, клиент будет использовать симметричное шифрование AES-256 (наряду с сертификатом обмена ЦС для асимметричного шифрования), чтобы отправить закрытый ключ в ЦС для архивации.

Параметр «авторизация дополнительных учетных записей служб для доступа к закрытому ключу» позволяет задать настраиваемый список управления доступом (ACL) к закрытым ключам сертификатов компьютеров на основе любых шаблонов сертификатов компьютера версии 3 за исключением корневого ЦС, подчиненного ЦС и перекрестных шаблонов ЦС.

Настраиваемый список управления доступом необходим в случае, если учетная запись службы, которой требуется доступ к закрытому ключу, не включена в разрешения по умолчанию.

Вкладка шифрование. Определяется максимальный размер ключа. Я оставлю его без изменений.

Вкладка шифрование

Безопасность можно настроить по вашему усмотрению.

Вкладка безопасность

Шаблон сертификата готов.

Шаблон сертификата

На этом статья подходит к концу. Мы установили и настроили Active Directory Certificate Services.


Анатолий Бузов
Анатолий Бузов / автор материала / об авторе / услуги / проекты

Обучаю HTML, CSS, PHP. Создаю и продвигаю сайты, скрипты и программы. Занимаюсь информационной безопасностью. Рассмотрю различные виды сотрудничества.


Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *