Active Directory.pdf - Gattner

Verwalten von Zertifikaten in den AC CS 677
3. Bearbeiten Sie den Schlüssel ValidityPeriod, und geben Sie Werte für Tage, Wochen, Monate
oder Jahre ein.
4. Bearbeiten Sie den Schlüssel ValidityPeriodUnits, und geben Sie einen numerischen Wert entsprechend
der Anzahl der Tage, Wochen, Monate oder Jahre ein, die die Zertifikate gültig sein
sollen.
5. Starten Sie die Active Directory-Zertifikatdienste neu.
Hinweis Sie können auch mit dem Dienstprogramm Certutil.exe die Gültigkeitsdauer ändern (siehe
„"Certutil"-Tasks zum Konfigurieren einer Zertifizierungsstelle”) unter http://technet2.microsoft.com/
WindowsServer/de/Library/a3d5dbb9-1bf6-42da-a13b-2b220b11b6fe1031.mspx?mfr=true.
Konfigurieren der automatischen Zertifikatregistrierung
Wenn in Ihrem Unternehmen sehr viele Zertifikate ausgestellt werden, kann der Verwaltungsprozess
überaus aufwendig sein. Eine auf Windows basierende PKI-Lösung behebt dieses Problem mithilfe
der automatischen Registrierung, die einer Windows-Zertifizierungsstelle die Ausstellung von Zertifikaten
ohne Administrator- oder Benutzereingriffe ermöglicht. Dadurch wird die Ausstellung von Zertifikaten
für das verschlüsselnde Dateisystem, Smartcards oder E-Mail erleichtert. Außerdem werden
die Kosten reduziert. Die automatische Registrierung ist bei Zertifikatvorlagen der Versionen 2 und 3
möglich.
Version 1-Zertifikatvorlagen können über den automatischen Zertifikatanforderungsdienst (Automatic
Certificate Request Service, ACRS) zum automatischen Generieren von Zertifikaten für Computer
verwendet werden. Bei Verwenden dieses Dienstes werden Version 1-Zertifikatvorlagen in einem
Gruppenrichtlinienobjekt konfiguriert. Die Einstellungen dieses Gruppenrichtlinienobjekts gelten nur
für Computer- und nicht für Benutzerkonten. Sie müssen das Gruppenrichtlinienobjekt mit der Domäne,
dem Standort, der Organisationseinheit mit den Computern verknüpfen, die das Zertifikat empfangen
sollen. Die zu konfigurierende Gruppenrichtlinieneinstellung lautet Computerkonfiguration\
Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien öffentlicher Schlüssel\Einstellungen
der automatischen Zertifikatanforderung.
Im Gegensatz dazu wird die automatische Registrierung als Kombination aus Gruppenrichtlinienobjekt-Einstellungen
und Einstellungen innerhalb der Zertifikatvorlage konfiguriert. Eine Gruppenrichtlinienobjekt-Einstellung
dient zum Aktivieren der automatischen Registrierung. Die Sicherheitseinstellung
für die Zertifikatvorlage bestimmt, welche Zertifikate abgerufen werden. Die
Gruppenrichtlinienobjekt-Einstellungen für Zertifikatvorlagen der Versionen 2 und 3 können zur automatischen
Registrierung von Zertifikaten für Benutzer- und Computerkonten verwendet werden. Sie
müssen das Gruppenrichtlinienobjekt mit der Domäne, dem Standort, der Organisationseinheit mit
Computern verknüpfen, die das Zertifikat empfangen sollen. Die zu konfigurierende Gruppenrichtlinieneinstellung
lautet \Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien
für öffentliche Schlüssel\Zertifikatdiensteclient - Einstellung
für die automatische Registrierung (siehe Abbildung 17.12).
Die Optionen für Konfigurationsmodell für das Gruppenrichtlinienobjekt lauten Aktiviert, Deaktiviert
und Nicht konfiguriert. Falls auf Aktiviert eingestellt, wird die automatische Registrierung für die
betreffenden Clients aktiviert. Die Option Abgelaufene Zertifikate erneuern, ausstehende Zertifikate
aktualisieren und gesperrte Zertifikate entfernen ermöglicht die automatische Registrierung für zu
erneuernde und ausstehende Zertifikate und entfernt außerdem gesperrte Zertifikate.