PKI von der Stange Secorvo White Paper Aufbau einer ...
PKI von der Stange Secorvo White Paper Aufbau einer ...
PKI von der Stange Secorvo White Paper Aufbau einer ...
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
© <strong>Secorvo</strong> Security Consulting GmbH<br />
Gültigkeitszeitraum <strong>von</strong> Anwen<strong>der</strong>zertifikaten in Abschnitt 3.4.3). Da<br />
Maschinenzertifikate genau wie Domain Controller Zertifikate grundsätzlich per<br />
Auto-Enrollment bezogen und verlängert werden sollten, ergibt sich jedoch letztlich<br />
kein großer Unterschied, so dass im Zweifel die Voreinstellung beibehalten werden<br />
kann.<br />
� Kartenreiter Subject Name<br />
� Subject name format:<br />
Voreinstellung ist None, d. h. nur <strong>der</strong> DNS-Name des Servers in <strong>der</strong> Erweiterung<br />
Subject Alternative Name (Microsoft-Bezeichnung: alternate subject name). 12<br />
Je nachdem, ob und über welche Namensbestandteile ein für IEEE 802.1x<br />
eingesetzter RADIUS-Server die Zuordnung <strong>von</strong> Maschinenzertifikat zu einem<br />
RADIUS-Konto o<strong>der</strong> <strong>einer</strong> Zugangsgruppe vornimmt, kann es ratsam sein,<br />
zusätzlich hier einen <strong>der</strong> Werte DNS Name, Common Name (CN des<br />
Computerkontos im AD) o<strong>der</strong> Fully Distinguished Name (voller Name des<br />
Computerkontos im AD) einzustellen. Generell sollte die Zuordnung <strong>von</strong> Zertifikat zu<br />
Konto bzw. Zugangsgruppe zunächst getestet werden.<br />
� Kartenreiter Security<br />
� Alle vordefinierten Enroll und Autoenroll Rechte entfernen.<br />
� Eine geeignete Sicherheitsgruppe (vgl. die Überlegungen in Abschnitt 5.1.2)<br />
hinzufügen und mit den Rechten Read, Enroll und Autoenroll versehen.<br />
5.3.2 Enrollment<br />
Zum Auto-Enrollment <strong>von</strong> Maschinenzertifikaten müssen in <strong>der</strong> für die betreffenden<br />
Computer im AD maßgeblichen Group Policy (bspw. in <strong>der</strong> Default Domain Policy)<br />
unter Computer Configuration\Policies\Windows Settings\Security<br />
Settings\Public Key Policies\Certificate Serivces Client – Auto<br />
Enrollment die folgenden Einstellungen konfiguriert sein:<br />
� Configuration Model: auf Enabled eingestellt<br />
� Renew expired certificates ausgewählt<br />
� Update certificates ausgewählt<br />
Wenn diese Einstellungen getätigt und das Certificate Template wie oben beschrieben<br />
konfiguriert und aktiviert wurde, beziehen Computer, die die Rechte Read, Enroll und<br />
Autoenroll in Bezug auf das Certificate Template besitzen, beim nächsten<br />
(Online-)Neustart o<strong>der</strong> Group Policy Refresh automatisch ein Maschinenzertifikat.<br />
12 Den Vorgaben <strong>von</strong> [RFC_5280] und [Co<strong>PKI</strong>_09] zufolge darf <strong>der</strong> Subject Name nicht leer<br />
bleiben, auch wenn dies nicht grundsätzlich zu einem Fehler führt. Vgl. die Übersicht zu <strong>PKI</strong>-<br />
Standards in [Bar_11].<br />
<strong>Secorvo</strong> <strong>White</strong> <strong>Paper</strong> <strong>PKI</strong> <strong>von</strong> <strong>der</strong> <strong>Stange</strong> Seite 26 <strong>von</strong> 43<br />
WP17 <strong>PKI</strong> <strong>von</strong> <strong>der</strong> <strong>Stange</strong> 08 Stand 02. März 2011
Change language