Active Directory.pdf - Gattner

Entwerfen einer AD CS-Implementierung 685
Entwerfen von Zertifikatvorlagen
Das Entwerfen von Zertifikatvorlagen umfasst das Auswählen von Optionen, die die Anforderungen
Ihres Unternehmens am besten erfüllen. Wenngleich die von Ihnen gewählten Optionen spezifisch für
Ihr Unternehmen sind, gelten für bestimmte Einstellungen dennoch allgemeine Empfehlungen.
Gültigkeits- und Erneuerungszeitraum
Ein Zertifikat kann bis zum Ende seiner Gültigkeitsdauer genutzt werden, es sei denn, es wird
gesperrt. Wichtig ist es, die Gültigkeitsdauer mit dem Zweck des Zertifikats abzugleichen. Die Gültigkeitsdauer
eines Zertifizierungsstellenzertifikats ist üblicherweise lang, da eine Zertifizierungsstelle
nur Zertifikate mit einer Gültigkeitsdauer ausstellen kann, die mit oder vor Ablauf dem Ablauf des
eigenen Zertifizierungsstellenzertifikats endet. Zertifikate für die Authentifizierung haben in der
Regel eine kürzere Gültigkeitsdauer von maximal einem Jahr, um eine Sperrung nach Möglichkeit zu
vermeiden.
Der Erneuerungszeitraum eines Zertifikats bestimmt, wie lange vor Ablauf der Zertifikatgültigkeitsdauer
der Client versucht, das Zertifikat zu erneuern. Die Erneuerung vor Ablauf der Gültigkeitsdauer
stellt sicher, dass eine kurzzeitige Unterbrechung des Zertifizierungsstellendienstes die Erneuerung
von Zertifikaten nicht beeinträchtigt. Wenn der Erneuerungszeitraum größer als 20 % der
gesamten Zertifikatgültigkeitsdauer ist, wird das Zertifikat erst erneuert, nachdem 80 % der Gültigkeitsdauer
abgelaufen sind.
Zwecke von Zertifikaten
Der Zertifikatzweck kann in einer Zertifikatvorlage exakt festgelegt werden. Grundlage ist hierbei,
wie Sie Benutzeraktivitäten steuern möchten.
Eine Methode ist das Ermitteln aller Zwecke, die ggf. bei Ihren Benutzern in Frage kommen, und das
anschließende Ausstellen eines allgemeinen Benutzerzertifikats, das alle diese Zwecke erfüllt. In
einem solchen Fall können jedoch alle Benutzer das Zertifikat für alle Zwecke nutzen, sodass Sie
nicht einschränken können, welche Anwendungen Benutzergruppen verwenden dürfen.
Die Alternative ist das Erstellen spezieller Zertifikatvorlage für bestimmte Zwecke und anschließende
Erteilen von Berechtigungen für diese Zertifikatvorlage an ausschließlich Benutzergruppen,
denen Sie die Nutzung bestimmter Anwendungen gestatten möchten. Diese Vorgehensweise bietet
mehr Sicherheit und Steuerungsmöglichkeiten. Allerdings ist auch der Aufwand für die Verwaltung
der verschiedenen Vorlagen größer.
Der Zweck eines Zertifikats wird auf der Registerkarte Erweiterung einer Zertifikatvorlage bestimmt.
Es gibt zwei Erweiterungen zum Bestimmen des Zertifikatzwecks: Anwendungsrichtlinien und Erweiterte
Schlüsselverwendung. Anwendungsrichtlinien sind Microsoft-spezifisch, während die erweiterte
Schlüsselverwendung von anderen Zertifizierungsstellenanbietern verwendet wird. Sind beide Erweiterungen
Teil einer Zertifikatvorlage, müssen sie mit exakt denselben Einstellungen konfiguriert werden.
Anforderungen an den Namen des Antragstellers
Der Antragsteller ist der Benutzer oder Computer, der das Zertifikat anfordert. Sie können ermitteln,
wie der Name eines Zertifikats abgeleitet wird (siehe Abbildung 17.17). In den meisten Fällen wird
der Antragstellername anhand von Active Directory-Daten erstellt, was für die Unterstützung der
automatischen Registrierung erforderlich ist. Das Format des Antragstellernamens kann entweder auf
dem vollständig definierten oder dem allgemeinen Namen des Anforderers basieren.