Active Directory.pdf - Gattner

670 Kapitel 17: Active Directory-Zertifikatdienste
Sobald die Zertifikatvorlage eingerichtet ist, können sich die vorgesehenen Benutzer über das MMC-
Snap-In Zertifikate, die Registrierungswebseiten der Zertifizierungsstelle oder die automatische
Registrierung für das Zertifikat Schlüsselwiederherstellungs-Agent registrieren. Die automatische
Registrierung wird nicht empfohlen, da bei diesem überaus vertraulichen Vorgang verschiedene
manuelle Eingaben bevorzugt werden sollten. Das Zertifikat Schlüsselwiederherstellungs-Agent kann
nur über das MMC-Snap-In Zertifikate heruntergeladen werden, wenn die automatische Registrierung
aktiviert ist.
Hinweis Wenn die Anforderung des Zertifikats Schlüsselwiederherstellungs-Agent genehmigt wurde, wird
das Zertifikat dem lokalen Zertifikatspeicher für die Zertifizierungsstelle und dem Active Directory-Objekt des
Benutzers hinzugefügt, der das Zertifikat angefordert hat.
Aktivieren der Schlüsselarchivierung für die Zertifizierungsstelle Um die Schlüsselarchivierung für die
Zertifizierungsstelle zu aktivieren, müssen Sie der Zertifizierungsstelle einen Wiederherstellungs-
Agent hinzufügen (siehe Abbildung 17.8). Nach Aktivierung der Schlüsselarchivierung müssen die
Zertifikatdienste neu gestartet werden. Die Implementierung von Schlüsselwiederherstellungs-Agents
hängt von der gewünschten Anzahl der Wiederherstellungs-Agents und konfigurierten Schlüsselwiederherstellungs-Agent-Zertifikate
ab.
Abbildung 17.8
Wiederherstellungs-Agents für die Schlüsselarchivierung
Wenn die ausgewählte Anzahl von Wiederherstellungs-Agents der Anzahl der Schlüsselwiederherstellungs-Agent-Zertifikate
entspricht, können alle Wiederherstellungs-Agents alle Schlüssel wiederherstellen.
Ist die Anzahl geringer, wird eine Auswahlmethode nach dem Round-Robin-Prinzip verwendet,
um zu bestimmen, welche Wiederherstellungs-Agents welche Schlüssel wiederherstellen können.