Active Directory.pdf - Gattner

658 Kapitel 17: Active Directory-Zertifikatdienste
Szenarien für die Bereitstellung der Zertifikatdienste
Die AD CS werden nur implementiert, wenn Sie eine oder mehrere interne Zertifizierungsstellen
bereitstellen möchten. Wenn Sie Zertifikate einsetzen möchten, die von einer unternehmensexternen
Zertifizierungsstelle ausgestellt werden, sind die AD CS nicht notwendig. Eine externe Zertifizierungsstelle
wird zumeist genutzt, wenn Clients außerhalb des Unternehmens den Zertifikaten vertrauen
müssen. Eine externe Zertifizierungsstelle kommt zumeist für folgende Zwecke zum Einsatz:
• Absichern von E-Mail durch Verschlüsselung oder digitale Signaturen
• Absichern von Websites mit SSL-Zertifikaten
Eine interne Zertifizierungsstelle eignet sich gut für Clients, die es bereits im Unternehmen gibt
und die problemlos so konfiguriert werden können, dass sie der internen Zertifizierungsstelle vertrauen.
Für die folgenden Zwecke können die AD CS als interne Zertifizierungsstelle eingesetzt
werden:
Absichern von Dateien mit dem EFS Die AD CS können zum Ausstellen von Zertifikaten für
alle EFS-Benutzer und zum Erstellen eines Wiederherstellungsschlüssels dienen. Die Schlüsselarchivierung
und -wiederherstellung ist auch wichtig, wenn das EFS mithilfe der AD CS
eingerichtet wird.
Absichern interner Webanwendungen Mithilfe der AD CS können SSL-Zertifikate für interne
Webserver ausgestellt werden. Die internen Clients vertrauen der internen Zertifizierungsstelle.
Erhöhen der Sicherheit drahtloser Netzwerke Die AD CS können als Teil des Systems konfiguriert
werden und die 802.1X-Authentifizierung für drahtlose Geräte durchführen. Bei Aktivierung
der 802.1X-Authentifizierung werden drahtlose Clients authentifiziert, bevor ihnen der
Zugriff auf das Netzwerk gestattet wird. Dies wird vom Registrierungsdienst für Netzwerkgeräte
unterstützt, über den Geräte Zertifikate von den AD CS abrufen können.
Erhöhen der Sicherheit von Benutzeranmeldungen durch Smartcards Die AD CS können Zertifikate
ausstellen, die auf Smartcards gespeichert und zum Anmelden verwendet werden. Die
Sicherheit ist höher, da die Authentifizierung nun auf zwei Faktoren basiert. Die Benutzer
müssen die Smartcard und eine PIN (persönliche Identifizierungsnummer) vorlegen. Durch
die Einführung eines eingeschränkten Registrierungs-Agent wurde die Unterstützung von
Smartcards unter Windows Server 2008 optimiert. Ein autorisierter Benutzer kann nun Smartcards
für bestimmte Personen oder Gruppen konfigurieren. Ein lokaler IT-Supportmitarbeiter
kann beispielsweise Smartcards für alle Benutzer an einem Remotestandort konfigurieren. In
früheren Windows-Versionen konnte ein Registrierungs-Agent nicht eingeschränkt werden.
Hinweis Der eingeschränkte Registrierungs-Agent steht unter Windows Server 2008 Enterprise zur
Verfügung.
Implementieren der AD CS
Die AD CS sind eine komplexe Komponente mit verschiedenen Optionen für die Implementierung.
Die Implementierungsoptionen für Stamm- und untergeordnete Zertifizierungsstellen unterscheiden
sich, weshalb Sie sich mit dem jeweiligen Prozess vertraut machen müssen. Die Webregistrierung
wird üblicherweise in vielen Umgebungen verwendet und muss konfiguriert werden. Zudem müssen
Sie auch die Zertifikatsperrung entweder mithilfe von Zertifikatsperrlisten oder OCSP verwalten.
Schließlich müssen Sie wissen, wie die Schlüsselarchivierung und -wiederherstellung erfolgt.