Active Directory.pdf - Gattner

Installieren von AD CS-Stammzertifizierungsstellen
Implementieren der AD CS 659
Die Installationsoptionen für eine Zertifizierungsstelle müssen dokumentiert werden, bevor Sie mit
der Installation beginnen. Dies stellt sicher, dass während der Installation die ordnungsgemäßen
Optionen ausgewählt werden, und unterstützt die Wiederherstellung nach einem Ausfall. Fügen Sie
in Server-Manager die Rolle Active Directory-Zertifikatdienste hinzu. Sie müssen die folgenden
Optionen festlegen:
• Rollendienste Der einzige zum Konfigurieren einer Stammzertifizierungsstelle erforderliche Rollendienst
heißt Zertifizierungsstelle und dient zum Konfigurieren des Servers für die Ausstellung
von Zertifikaten. Ferner ist Zertifizierungsstellen-Webregistrierung erforderlich, um Zertifikatanforderungen
anzunehmen und Zertifikate für eine eigenständige Stammzertifizierungsstelle auszustellen.
Die Protokolle Online Certificate Status Protocol und Microsoft Simple Certificate
Enrollment Protocol werden eher für untergeordnete Zertifizierungsstellen und nicht für die
Stammzertifizierungsstelle installiert.
• Installationstyp Der Installationstyp wird als Unternehmen oder Eigenständig angegeben. Wenn
die Stammzertifizierungsstelle als Offline-Stammzertifizierungsstelle eingerichtet werden soll,
wählen Sie Eigenständig. Ein Wechsel zwischen einer Unternehmens- und einer eigenständigen
Zertifizierungsstelle ist möglich, wofür jedoch eine Neuinstallation und Wiederherstellung aus
einer Sicherung erforderlich ist.
• Zertifizierungsstellentyp Der Zertifizierungsstellentyp wird als Stammzertifizierungsstelle oder
Untergeordnete Zertifizierungsstelle angegeben. Stammzertifizierungsstelle wird beim Installieren
der ersten Zertifizierungsstelle in der Hierarchie ausgewählt.
• Privater Schlüssel Sie können einen neuen privaten Schlüssel erstellen oder einen vorhandenen
privaten Schlüssel verwenden. Erstellen Sie bei der Installation einer neuen Stammzertifizierungsstelle
einen neuen privaten Schlüssel. Verwenden Sie beim Wiederherstellen einer ausgefallenen
Zertifizierungsstelle einen vorhandenen privaten Schlüssel.
• Kryptografie Sie müssen den Kryptografiedienstanbieter, Hashalgorithmus und die Schlüssellänge
auswählen. Stellen Sie sicher, dass die gewählten Einstellungen mit anderen Systemen
kompatibel sind, mit denen diese Zertifizierungsstelle kommunizieren muss. Einige Zertifizierungsstellen
von Drittanbietern weisen beispielsweise eine maximale Schlüssellänge von
2048 Bits auf.
Hinweis Die integrierten Kryptografiedienstanbieter sind für die meisten Zwecke ausreichend, doch
können Entwickler nach Wunsch eigene entwickeln, was häufig von Smartcardherstellern vorgenommen
wird. Weitere Informationen zum Entwickeln von Kryptografiedienstanbietern finden Sie in „Writing
a CSP“ unter http://msdn2.microsoft.com/en-us/library/aa388213(VS.85).aspx.
• Zertifizierungsstellenname Sie sollten eine Standardbenennungsrichtlinie für sämtliche Zertifizierungsstellen
festlegen. Der Zertifizierungsstellenname darf maximal 64 Zeichen haben. Standardmäßig
enthält der Zertifizierungsstellenname den Computernamen, was aber nicht erforderlich ist.
Der vollständig qualifizierte Domänenname der Zertifizierungsstelle darf nicht als Zertifizierungsstellenname
gewählt werden, um zu verhindern, dass böswillige Benutzer die Stammzertifizierungsstelle
eines Unternehmens einfach herausfinden.
• Gültigkeitsdauer Der wichtigste Punkt bei der Gültigkeitsdauer ist, dass eine Zertifizierungsstelle
keine Zertifikate ausstellen kann, die länger gültig sind als ihr eigenes Zertifikat.