Active Directory.pdf - Gattner

Active Directory-Zertifikatdienste – Übersicht 657
Eine Unternehmenszertifizierungsstelle wird automatisch mit Active Directory integriert. Dies ermöglicht
die Automatisierung der Zertifikatregistrierung und Hinzufügung der Stamm- und untergeordneten
Zertifizierungsstellen zu den ordnungsgemäßen Zertifizierungsstellenspeichern auf Domänencomputern.
Eigenständige Zertifizierungsstellen können nur begrenzt mit Active Directory integriert
werden (beispielsweise können Konfigurationsdaten in Active Directory veröffentlicht werden),
wobei die Integration manuell erfolgen muss. Tabelle 17.1 zeigt die Eigenschaften im Detail.
Tabelle 17.1
Eigenschaften von Zertifizierungsstellen
Eigenständige Zertifizierungsstelle
Konfiguration kann in Active Directory gespeichert werden.
Das Zertifikat der Zertifizierungsstelle und die Zertifikatsperrliste
können manuell in Active Directory veröffentlich
werden.
Zertifikate werden standardmäßig nur über die Webregistrierung
ausgestellt.
Die Benutzerkennung wird manuell vom Benutzer eingegeben.
Zertifikate werden manuell genehmigt.
Zertifikate können nicht in Active Directory veröffentlicht
werden.
Eigenständige Server können verwendet werden.
Zertifikatvorlagen werden nicht verwendet.
Mitglieder der lokalen Gruppe Administratoren haben Installationsrechte.
Unternehmenszertifizierungsstelle
Konfiguration wird stets in Active Directory gespeichert.
Das Zertifikat der Zertifizierungsstelle, die Zertifikatsperrliste
und die Delta-Zertifikatsperrliste werden automatisch in Active
Directory veröffentlich.
Zertifikate werden über die Webregistrierung oder das MMC-
Snap-In Zertifikate ausgestellt.
Die Benutzerkennung wird aus Active Directory abgerufen.
Zertifikate können manuell oder automatisch genehmigt
werden.
Zertifikate können automatisch in Active Directory veröffentlicht
werden.
Domänenserver müssen verwendet werden.
Zertifikatvorlagen werden verwendet.
Nur Mitglieder der Gruppe Unternehmensadministratoren oder
Domänen-Admins der Stammdomäne der Gesamtstruktur
haben Installationsrechte.
Offlinezertifizierungsstellen
Ist die Sicherheit einer Zertifizierungsstelle gefährdet, gelten auch alle von der Zertifizierungsstelle
ausgestellten Zertifikate als gefährdet, die deshalb gesperrt werden müssen. Demzufolge ist die
Sicherheit einer Zertifizierungsstelle von sehr großer Bedeutung. Eine Offlinezertifizierungsstelle bietet
ein Plus an Sicherheit, da sie nicht mit dem Netzwerk verbunden ist. Eine Offlinezertifizierungsstelle
ist ferner auch kein Domänenmitglied und kann deshalb keine Unternehmenszertifizierungsstelle
sein.
Zertifikatanforderungen an eine Offlinezertifizierungsstelle müssen auf physischen Datenträgern wie
einer Diskette oder einem USB-Laufwerk erfolgen. Aus diesem Grund ist eine Offlinezertifizierungsstelle
für das Ausstellen von Zertifikaten an eine große Anzahl von Benutzern nicht sehr praktisch.
Außerdem verhindert sie die automatische Registrierung bei bzw. Integration mit Active Directory.
Die meisten Offlinezertifizierungsstellen sind Stammzertifizierungsstellen mit untergeordneten Zertifizierungsstellen
für die Zertifikatregistrierung. Die untergeordneten Zertifizierungsstellen sind dann
Unternehmenszertifizierungsstellen, die zum Vereinfachen der Zertifikatregistrierung Active Directory
und Zertifikatvorlagen verwenden können.
Hinweis Offlinezertifikatanforderungen können mit Certreq.exe erstellt werden. Windows Vista und Windows
Server 2008 bieten über das MMC-Snap-In Zertifikate Unterstützung für die Erstellung von Offlinezertifikatanforderungen.