Active Directory.pdf - Gattner

Implementieren der AD CS 667
Die hinzuzufügende URL lautet http://Servername/ocsp. Für diesen neuen Eintrag müssen Sie die
Kontrollkästchen In AIA-Erweiterung des ausgestellten Zertifikats einbeziehen und In Online Certificate
Status-Protokoll (OCSP)-Erweiterungen einbeziehen aktivieren. Mithilfe von OCSP können nur
nach dieser Konfiguration ausgestellte Zertifikate überprüft werden.
Konfigurieren eines OCSP-Antwortsignaturzertifikats Antworten eines Online-Responders können mit
dem Zertifizierungsstellenzertifikat des Online-Responders oder mit einem delegierten Signierungsschlüssel
signiert werden, wobei das Verwenden eines solchen Zertifikats keine weitere Konfiguration
erfordert. Beim Verwenden eines delegierten Signierungsschlüssels müssen Sie ein OCSP-Antwortsignaturzertifikat
registrieren. Ein delegierter Signierungsschlüssel hat die folgenden Merkmale:
• Eine kürzere Gültigkeitsdauer als ein Zertifizierungsstellenzertifikat Empfohlen wird eine Gültigkeitsdauer
von zwei Wochen, um die Gefährdung der Sicherheit eines Schlüssels zu minimieren.
• Umfasst die Erweiterung id-pkix-ocsp-nocheck Diese Erweiterung hindert Clients am Überprüfen
des Sperrstatus des Online-Responders, um die Systemleistung durch Reduzierung des Netzwerkdatenverkehrs
zu verbessern. Wird diese Erweiterung angegeben, muss die Gültigkeitsdauer des
Zertifikats kurz gehalten werden.
• Bietet keinen Verteilungspunkt für Zertifikatsperrlisten und keine Erweiterung für den Stelleninformationszugriff
Diese Erweiterungen sind nicht erforderlich, da der Sperrstatus nicht überprüft wird.
• Bietet die Verwendung des optimierten Schlüssels id-kp-OCSPSigning. Gibt für OCSP-Clients an,
dass die Antwort mit einem delegierten Signierschlüssel und nicht mit einem Zertifizierungsstellenschlüssel
signiert wird.
Unter Windows Server 008 gibt es für Unternehmenszertifizierungsstellen die Zertifikatvorlage
OCSP-Antwortsignatur. Diese Vorlage kann der Zertifizierungsstelle so zugewiesen werden, dass
außer der Erteilung der erforderlichen Sicherheitsberechtigungen für die Registrierung bzw. automatische
Registrierung keine weiteren Konfigurationsschritte nötig sind. Eine eigenständige Zertifizierungsstelle
kann die Zertifikatvorlage OCSP-Antwortsignatur nicht verwenden. Zum Erstellen eines
OCSP-Antwortsignaturzertifikats müssen Sie Certreq.exe in Kombination mit einer angepassten INF-
Datei einsetzen.
Weitere Informationen Detaillierte Anweisungen zum Abrufen eines OCSP-Antwortsignaturzertifikats mithilfe
einer eigenständigen Zertifizierungsstelle finden Sie im Abschnitt „Enrolling for an OCSP Response Signing
Certificate Against a Stand-Alone CA“ unter Installing, Configuring, and Troubleshooting the Microsoft
Online Responder unter http://technet2.microsoft.com/windowsserver2008/de/library/99d1f392-6bcd-4ccf-
94ee-640fc100ba5f1031.mspx?mfr=true.
Konfigurieren von Sperrinformationen Für einen Online-Responder müssen Sie Sperrinformationen
konfigurieren, damit dieser auf OCSP-Anforderungen nach Zertifikaten antwortet, die von einer
bestimmten Zertifizierungsstelle ausgestellt werden. Damit der Online-Responder mehrere Zertifizierungsstellen
unterstützt, können mehrere Sperrkonfigurationen eingerichtet werden, wozu das MMC-
Snap-In Online-Responderverwaltung verwendet wird. Beim Erstellen der Sperrkonfiguration bestimmen
Sie die Zertifizierungsstelle, indem Sie das Zertifizierungsstellenzertifikat in Active Directory,
im lokalen Zertifikatspeicher oder einer Datei auswählen.
Als Nächstes wählen Sie das Signaturzertifikat für OCSP-Antworten aus (siehe Abbildung 17.7). Bei
Wahl von Signaturzertifikat automatisch auswählen kann der Assistent ein geeignetes Zertifikat im
lokalen Zertifikatspeicher auswählen oder zum Abrufen eines OCSP-Signaturzertifikats eine automatische
Registrierung durchführen.