Active Directory.pdf - Gattner

750 Kapitel 19: Active Directory-Verbunddienste
Hinweis Clientzertifikate können ebenfalls für Clientcomputer verwendet werden, die mit Verbundservern,
Verbundserverproxys oder Webservern verbunden sind. Die Clientauthentifizierung bietet zwar zusätzliche
Sicherheit, setzt aber auch voraus, dass Zertifikate an alle Clientcomputer verteilt werden, die voraussichtlich
mit der AD FS-Umgebung verbunden werden. Wenn die AD FS nur Mitarbeitern zur Verfügung gestellt
werden, die ausschließlich zur internen AD DS-Gesamtstruktur gehörende Clientcomputer verwenden, kann
die Zertifikatsverteilung automatisiert werden. Hierzu ist die Aktivierung der automatischen Registrierung in
den AD CS erforderlich. Weitere Informationen zu diesem Thema finden Sie in Kapitel 17, „Active Directory-
Zertifikatdienste“.
Praxistipp: Auswahl einer Zertifizierungsstelle
Um die Zertifikatsanforderungen für die AD FS zu erfüllen, besteht die Möglichkeit, Zertifikate
von einer öffentlichen Zertifizierungsstelle zu erwerben, eine interne Zertifizierungsstelle einer AD
CS-Implementierung einzusetzen oder selbstsignierte Zertifikate zu nutzen. In Tabelle 19.1 sind die
Vor- und Nachteile der einzelnen Optionen aufgeführt.
Tabelle 19.1
Vorteile und Nachteile der Zertifizierungsstellenoptionen
Zertifizierungsstellentyp
Öffentliche
Zertifizierungsstelle
Interne Zertifizierungsstelle
Erläuterung
Vorteile:
• Clientcomputer vertrauen der Stammzertifizierungsstelle bereits, folglich können Zertifikate
ohne zusätzliche Konfiguration mit dem Stamm verkettet werden.
• Die öffentliche Zertifizierungsstelle bietet umfassende Verwaltungsdienste für Zertifikate
und Zertifikatssperren.
Nachteile:
• Die von öffentlichen Zertifizierungsstellen ausgestellten Zertifikate verursachen
höhere Kosten als selbstsignierte Zertifikate oder von internen Zertifizierungsstellen
ausgestellte Zertifikate.
• Das Sicherheitsrisiko wird erhöht, wenn öffentliche Zertifizierungsstellen unzureichende
Sicherheitsrichtlinien verwenden.
Vorteile:
• Die Zertifikatsperrung wird intern verwaltet, daher können Zertifikate zentral gesperrt
werden, wenn die Sicherheit eines privaten Schlüssels gefährdet ist.
• Die Verwaltung der internen Zertifizierungsstelle ermöglicht eine höhere Flexibilität
bei der Zertifikatsverteilung.
• Die Verwaltung der internen Zertifizierungsstelle ermöglicht eine vollständige Kontrolle
über die Sicherheit der Implementierung.
Nachteile:
• Die Implementierung einer internen Zertifizierungsstelle kann kompliziert sein. Bei
falscher Handhabung kann die Komplexität zu Sicherheitsproblemen führen.
• Die durch interne Zertifizierungsstellen ausgestellten Zertifikate sind zwar kostenlos,
aber die Implementierungs- und Verwaltungskosten für eine solche Zertifizierungsstelle
können die Kosten für den Erwerb von Zertifikaten einer öffentlichen Zertifizierungsstelle
übersteigen.
• Clientcomputer vertrauen der Stammzertifizierungsstelle nicht automatisch, folglich
müssen diesen ggf. Zertifikate für die vertrauenswürdige Stammzertifizierungsstelle
hinzugefügt werden.