Active Directory.pdf - Gattner

662 Kapitel 17: Active Directory-Zertifikatdienste
Nach der Installation ist für die Zertifizierungsstellen-Webregistrierung keine weitere Konfiguration
erforderlich. Wenn jedoch das virtuelle Verzeichnis für den Zugriff auf die Webregistrierungsseiten
versehentlich entfernt oder geändert wird, kann es mithilfe von Certutil.exe verwaltet werden. Über
den Befehl certutil -vroot können die virtuellen Verzeichnisse bei Bedarf neu erstellt werden. Über
den Befehl certutil -vroot delete können die virtuellen Verzeichnisse bei Bedarf entfernt werden. Es ist
ggf. sinnvoll, diese virtuellen Verzeichnisse zu entfernen und neu zu erstellen, sollte sich die Standardkonfiguration
geändert haben.
Konfigurieren der Zertifikatsperrung
Wichtig ist, dass Public Key-fähige Anwendungen nur gültige Zertifikate annehmen. Dies gewährleistet,
dass dem Zertifikat und infolgedessen dem Inhaber des Zertifikats vertraut werden kann. Zur
Sicherstellung der Gültigkeit werden die folgenden Prüfungen auf ein Zertifikat angewendet:
• Datumsprüfung Ein Zertifikat wird geprüft, um sicherzustellen, dass das aktuelle Datum zwischen
einem gültigen Anfangs- und Enddatum liegt.
• Zertifikatinhalt und -format Das Zertifikat muss ein gültiges X.509-Zertifikat sein, in dem alle
Pflichtfelder ausgefüllt sind.
• Signaturprüfung Die digitale Signatur der Stammzertifizierungsstelle dient zum Überprüfen, ob
das Zertifikat geändert wurde.
• Überprüfung der Stammzertifizierungsstelle Das Zertifikat muss von einer vertrauenswürdigen
Stammzertifizierungsstelle ausgestellt worden sein.
• Richtlinienüberprüfung und wichtige Erweiterungen Die Anwendung fordert ggf. an, dass eine
bestimmte Richtlinie eingehalten wird. Oder eine Anwendung weist ggf. ein Zertifikat mit einer
als wichtig markierten Erweiterung zurück, die die Anwendung nicht interpretieren kann.
Zusätzlich zu diesen Gültigkeitsprüfungen kann eine Sperrprüfung erfolgen. Sie sperren ein Zertifikat,
wenn sie es ungültig machen möchten, bevor das Ende seiner Gültigkeitsdauer erreicht ist. Es folgen
verschiedene Gründe zum Sperren eines Zertifikats:
• Gefährdete Sicherheit des privaten Schlüssels eines Zertifikats
• Gefährdete Sicherheit des privaten Schlüssels der ausstellenden Zertifizierungsstelle
• Veränderung der Geschäftsbeziehung zu einem anderen Unternehmen
• Änderung des Beschäftigungsstatus eines Mitarbeiters
• Betrügerischer Bezug eines Zertifikats
Windows Server 2008 unterstützt sowohl Zertifikatsperrlisten als auch einen Online-Responder zum
Überprüfen des Sperrstatus eines Zertifikats. Zertifikatsperrlisten sind die herkömmliche Methode
zum Bereitstellen von Sperrungsdaten. Der Online-Responder ist eine neue Funktion unter Windows
Server 2008.
Konfiguration von Zertifikatsperrlisten
Eine Zertifikatsperrliste enthält gesperrte Zertifikate, die eine Public Key-fähige Anwendung zum
Überprüfen der Gültigkeit eines Zertifikats verwenden kann. Es gibt zwei Typen von Zertifikatsperrlisten:
eine Basis- und eine Delta-Zertifikatsperrliste. Die Basis-Zertifikatsperrliste enthält alle ab
einem bestimmten Zeitpunkt gesperrten Zertifikate. Die Delta-Zertifikatsperrliste enthält alle seit
Erstellung der letzten Basis-Zertifikatsperrliste gesperrten Zertifikate.