Übersicht

Der Root-CA-Server ist der Haupt-CA-Server in einer Organisation und die Spitze der PKI-Infrastruktur. Die Root-CA authentifiziert den untergeordneten CA-Server. Dieser Server wird im Allgemeinen im Offlinemodus gehalten, um ein Eindringen zu verhindern und den privaten Schlüssel zu sichern.

Zur Konfiguration des CA-Servers gehen Sie folgendermaßen vor:

1. Stellen Sie sicher, dass der CA-Server installiert ist. Weitere Informationen finden Sie unter Installieren des Root-CA-Servers .

2. Konfigurieren Sie die Einstellungen für den Zertifizierungsverteilungspunkt und den Zugriff auf die Zertifizierungsstelleninformationen. Weitere Informationen finden Sie unter Konfigurieren der Einstellungen für den Zertifizierungsverteilungspunkt und den Zugriff auf die Zertifizierungsstelleninformationen .

3. Konfigurieren Sie die CRL-Zugänglichkeit. Weitere Informationen finden Sie unter Konfigurieren der CRL-Zugänglichkeit .

Installieren des Root-CA-Servers

1. Klicken Sie im Server-Manager auf Verwalten > Rollen und Funktion hinzufügen .

2. Klicken Sie auf Server-Rollen , wählen Sie Active Directory-Zertifikatdienste und alle Funktionen aus, und klicken Sie anschließend auf Weiter .

3. Wählen Sie im Abschnitt AD CS-Rollendienste die Option Zertifizierungsstelle aus, und klicken Sie anschließend auf Weiter > Installieren .

4. Klicken Sie nach der Installation auf Active Directory-Zertifikatdienste auf dem Zielserver konfigurieren .

5. Wählen Sie im Abschnitt Rollendienste die Option Zertifizierungsstelle > Weiter aus.

6. Wählen Sie im Abschnitt Einrichtungstyp die Option Eigenständige Zertifizierungsstelle aus, und klicken Sie anschließend auf Weiter .

7. Wählen Sie im Abschnitt CA-Typ die Option Root-CA aus, und klicken Sie anschließend auf Weiter .

8. Wählen Sie Neuen privaten Schlüssel erstellen aus, und klicken Sie anschließend auf Weiter .

9. Wählen Sie im Menü Kryptografieanbieter auswählen die Option RSA#Microsoft Software Key Storage Provider aus.

10. Wählen Sie im Menü Schlüssellänge die Option 4096 aus.

11. Wählen Sie aus der Liste mit den Hash-Algorithmen SHA512 aus, und klicken Sie anschließend auf Weiter .

12. Geben Sie in das Feld Gemeinsamer Name für diese CA den Namen des Hosting-Servers ein.

13. Geben Sie in das Feld Suffix des definierten Namens die Domänenkomponente ein.

    Beispiel für Konfiguration des CA-Namens

    Vollqualifizierter Domänenname (FQDN) des Geräts: test.dev.lexmark.com

    Gemeinsamer Name (CN): TEST

    Suffix des DN (Distinguished Name): DC=DEV,DC=LEXMARK,DC=COM

14. Klicken Sie auf Weiter .

15. Geben Sie den Gültigkeitszeitraum an, und klicken Sie anschließend auf Weiter .

    Hinweis:  Im Allgemeinen beträgt der Gültigkeitszeitraum 10 Jahre.

16. Ändern Sie nichts im Fenster "Datenbankspeicherorte".

17. Schließen Sie die Installation ab.

Übersicht

Im folgenden Bereitstellungsszenario basieren alle Berechtigungen auf Berechtigungen, die auf Zertifikatsvorlagen festgelegt sind, die im Domänen-Controller veröffentlicht werden. Die an die Zertifizierungsstelle gesendeten Zertifikatsanforderungen basieren auf Zertifikatsvorlagen.

Stellen Sie bei dieser Einrichtung sicher, dass Sie über Folgendes verfügen:

• Gerät, das die untergeordnete CA hostet

• Gerät, auf dem der NDES-Service gehostet wird

• Domänen-Controller

Erforderliche Benutzer

Erstellen Sie die folgenden Benutzer im Domänen-Controller:

• Service-Administrator

  • Benannt als SCEPAdmin

  • Muss Mitglied der Gruppen lokaler Admin - und Enterprise-Admin sein

  • Muss lokal protokolliert werden, wenn die Installation der NDES-Rolle ausgelöst wird

  • Verfügt über Registrierungsberechtigung für die Zertifikatvorlagen

  • Verfügt über Berechtigung zum Hinzufügen von Vorlagen für CA

• Dienstkonto

  • Benannt als SCEPSvc

  • Muss Mitglied der lokalen Gruppe IIS_IUSRS sein

  • Muss ein Domänenbenutzer sein und über Lese- und Registrierungsberechtigungen für die konfigurierten Vorlagen verfügen

  • Verfügt über Anforderungsberechtigung für CA

Übersicht

Der untergeordnete CA-Server ist der Zwischen-CA-Server und immer online. In der Regel führt er die Verwaltung von Zertifikaten durch.

Zur Konfiguration des untergeordneten CA-Servers gehen Sie folgendermaßen vor:

1. Stellen Sie sicher, dass der untergeordnete CA-Server installiert ist. Weitere Informationen finden Sie unter Installieren des untergeordneten CA-Servers .

2. Konfigurieren Sie die Einstellungen für den Zertifizierungsverteilungspunkt und den Zugriff auf die Zertifizierungsstelleninformationen. Weitere Informationen finden Sie unter Konfigurieren der Einstellungen für den Zertifizierungsverteilungspunkt und den Zugriff auf die Zertifizierungsstelleninformationen .

3. Konfigurieren Sie die CRL-Zugänglichkeit. Weitere Informationen finden Sie unter Konfigurieren der CRL-Zugänglichkeit .

Installieren des untergeordneten CA-Servers

1. Melden Sie sich auf dem Server als Domänenbenutzer CAAdmin an.

2. Klicken Sie im Server-Manager auf Verwalten > Rollen und Funktion hinzufügen .

3. Klicken Sie auf Server-Rollen , wählen Sie Active Directory-Zertifikatdienste und alle Funktionen aus, und klicken Sie anschließend auf Weiter .

4. Wählen Sie im Abschnitt AD CS-Rollendienste die Optionen Zertifizierungsstelle und Webregistrierung der Zertifizierungsstelle aus, und klicken Sie anschließend auf Weiter .

   Hinweis:  Stellen Sie sicher, dass alle Funktionen der Webregistrierung der Zertifizierungsstelle hinzugefügt werden.

5. Behalten Sie im Abschnitt Web-Server-Rolle (ISS) Rollendienste die Standardeinstellungen bei.

6. Klicken Sie nach der Installation auf Active Directory-Zertifikatdienste auf dem Zielserver konfigurieren .

7. Wählen Sie im Abschnitt Rollendienste die Optionen Zertifizierungsstelle und Webregistrierung der Zertifizierungsstelle aus, und klicken Sie anschließend auf Weiter .

8. Wählen Sie im Abschnitt Einrichtungstyp die Option Unternehmens-CA aus, und klicken Sie anschließend auf Weiter .

9. Wählen Sie im Abschnitt CA-Typ die Option Untergeordnete CA aus, und klicken Sie anschließend auf Weiter .

10. Wählen Sie Neuen privaten Schlüssel erstellen aus, und klicken Sie anschließend auf Weiter .

11. Wählen Sie im Menü Kryptografieanbieter auswählen die Option RSA#Microsoft Software Key Storage Provider aus.

12. Wählen Sie im Menü Schlüssellänge die Option 4096 aus.

13. Wählen Sie aus der Liste mit den Hash-Algorithmen SHA512 aus, und klicken Sie anschließend auf Weiter .

14. Geben Sie in das Feld Gemeinsamer Name für diese CA den Namen des Hosting-Servers ein.

15. Geben Sie in das Feld Suffix des definierten Namens die Domänenkomponente ein.

    Beispiel für Konfiguration des CA-Namens

    Vollqualifizierter Domänenname (FQDN) des Geräts: test.dev.lexmark.com

    Gemeinsamer Name (CN): TEST

    Suffix des DN (Distinguished Name): DC=DEV,DC=LEXMARK,DC=COM

16. Speichern Sie die Anforderungsdatei im Dialogfeld Zertifikatsanforderung, und klicken Sie anschließend auf Weiter .

17. Ändern Sie nichts im Fenster "Datenbankspeicherorte".

18. Schließen Sie die Installation ab.

19. Signieren Sie die CA-Anforderung der Root-CA, und exportieren Sie das signierte Zertifikat anschließend im PKCS7-Format.

20. Öffnen Sie die Zertifizierungsstelle über die untergeordnete CA.

21. Klicken Sie im linken Bereich mit der rechten Maustaste auf die Zertifizierungsstelle, und klicken Sie anschließend auf Alle Aufgaben > CA-Zertifikat installieren .

22. Wählen Sie das signierte Zertifikat aus, und starten Sie anschließend den CA-Dienst.

Konfigurieren der Einstellungen für den Zertifizierungsverteilungspunkt und den Zugriff auf die Zertifizierungsstelleninformationen

1. Klicken Sie im Server-Manager auf Extras > Zertifizierungsstelle .

2. Klicken Sie im linken Bereich mit der rechten Maustaste auf die Zertifizierungsstelle, und klicken Sie anschließend auf Eigenschaften > Erweiterungen .

3. Wählen Sie im Menü Erweiterung auswählen die Option CRL Distribution Point (CDP) aus.

4. Wählen Sie in der Zertifikatsrückrufliste den Eintrag C:\Windows\system32\ aus, und gehen Sie anschließend wie folgt vor:

   1. Aktivieren Sie CRLs an diesem Speicherort veröffentlichen .

   2. Deaktivieren Sie Delta-CRLs an diesem Speicherort veröffentlichen .

5. Löschen Sie alle anderen Einträge außer C:\Windows\system32\ .

6. Klicken Sie auf Hinzufügen .

7. Fügen Sie im Feld Speicherort die Option http:// serverIP /CertEnroll/<CAName><CRLNameSuffix><DeltaCRLAllowed>.crl hinzu, wobei serverIP die IP-Adresse des Servers ist.

   Hinweis:  Wenn Ihr Server unter Verwendung des FQDN erreichbar ist, verwenden Sie den <ServerDNSName> anstelle seiner IP-Adresse.

8. Klicken Sie auf OK .

9. Wählen Sie In die CDP-Erweiterung der ausgegebenen Zertifikate aufnehmen für den erstellten Eintrag.

10. Wählen Sie im Menü Erweiterung auswählen die Option Zugriff auf Zertifizierungsstelleninformationen (AIA) aus.

11. Löschen Sie alle anderen Einträge außer C:\Windows\system32\ .

12. Klicken Sie auf Hinzufügen .

13. Fügen Sie im Feld Speicherort die Option http:// serverIP /CertEnroll/<ServerDNSName>_<CAName><CertificateName>.crt , wobei serverIP die IP-Adresse des Servers ist.

    Hinweis:  Wenn Ihr Server unter Verwendung des FQDN erreichbar ist, verwenden Sie den <ServerDNSName> anstelle seiner IP-Adresse.

14. Klicken Sie auf OK .

15. Wählen Sie In die AIA-Erweiterung der ausgegebenen Zertifikate aufnehmen für den erstellten Eintrag.

16. Klicken Sie auf Anwenden > OK .

    Hinweis:  Starten Sie den Zertifizierungsdienst ggf. neu.

17. Erweitern Sie im linken Bereich die Zertifizierungsstelle, klicken Sie mit der rechten Maustaste auf Widerrufene Zertifikate , und klicken Sie anschließend auf Eigenschaften .

18. Geben Sie den Wert für CRL-Veröffentlichungsintervall und für Veröffentlichungsintervall für Delta CRLs an, und klicken Sie anschließend auf Anwenden > OK .

19. Klicken Sie im linken Bereich mit der rechten Maustaste auf Widerrufene Zertifikate , klicken Sie auf Alle Aufgaben , und veröffentlichen Sie anschließend die CRL, die Neu ist.

Konfigurieren der CRL-Zugänglichkeit

1. Erweitern Sie im IIS-Manager die Zertifizierungsstelle, und erweitern Sie anschließend Websites .

2. Klicken Sie mit der rechten Maustaste auf Standard-Website , und klicken Sie anschließend auf Virtuelles Verzeichnis hinzufügen .

3. Geben Sie im Feld Alias CertEnroll ein.

4. Geben Sie im Feld Physischer Pfad C:\Windows\System32\CertSrv\CertEnroll ein.

5. Klicken Sie auf OK .

6. Klicken Sie mit der rechten Maustaste auf CertEnroll , und klicken Sie anschließend auf Berechtigungen bearbeiten .

7. Entfernen Sie auf der Registerkarte Sicherheit alle Schreibzugriffe außer für das System.

8. Klicken Sie auf OK .

Konfigurieren des NDES-Servers

1. Melden Sie sich auf dem Server als Domänen-Benutzer SCEPAdmin an.

2. Klicken Sie im Server-Manager auf Verwalten > Rollen und Funktion hinzufügen .

3. Klicken Sie auf Server-Rollen , wählen Sie Active Directory-Zertifikatdienste und alle Funktionen aus, und klicken Sie anschließend auf Weiter .

4. Deaktivieren Sie im Bereich AD CS-Rollendienst die Option Zertifizierungsstelle .

5. Wählen Sie Network Device Enrollment Service und alle zugehörigen Funktionen aus, und klicken Sie anschließend auf Weiter .

6. Behalten Sie im Abschnitt Web-Server-Rolle (ISS) Rollendienste die Standardeinstellungen bei.

7. Klicken Sie nach der Installation auf Active Directory-Zertifikatdienste auf dem Zielserver konfigurieren .

8. Wählen Sie im Abschnitt Rollendienste die Option Network Device Enrollment Service aus, und klicken Sie anschließend auf Weiter .

9. Wählen Sie das Dienstkonto SCEPSvc aus.

10. Wählen Sie im Abschnitt CA für NDES entweder CA-Name oder Computername aus, und klicken Sie anschließend auf Weiter .

11. Geben Sie im Abschnitt RA-Informationen die Informationen an, und klicken Sie anschließend auf Weiter .

12. Gehen Sie im Abschnitt Kryptografie für NDES folgendermaßen vor:

    • Wählen Sie die entsprechenden Signatur- und Kodierungsschlüsselanbieter aus.

    • Wählen Sie im Menü Schlüssellänge dieselbe Schlüssellänge wie die des CA-Servers aus.

13. Klicken Sie auf Weiter .

14. Schließen Sie die Installation ab.

Sie können jetzt als SCEPSvc-Benutzer über einen Webbrowser auf den NDES-Server zugreifen. Auf dem NDES-Server können Sie den Fingerabdruck des CA-Zertifikats, das Abfrage-Kennwort der Registrierung und den Gültigkeitszeitraum des Abfrage-Kennworts anzeigen lassen.

Zugreifen auf den NDES-Server

Öffnen Sie einen Web-Browser, und geben Sie in das Feld "URL" Folgendes ein: http:// NDESserverIP /certsrv/mscep_admin , wobei NDESserverIP die IP-Adresse des NDES-Servers ist.

Erstellen einer Zertifikatvorlage

1. Öffnen Sie über die untergeordnete CA (certserv) die Zertifizierungsstelle .

2. Erweitern Sie die Zertifizierungsstelle im linken Bereich, klicken Sie mit der rechten Maustaste auf Zertifikatvorlagen , und klicken Sie anschließend auf Verwalten .

3. Erstellen Sie in der Zertifikatvorlagen-Konsole eine Kopie des Web-Servers .

4. Geben Sie auf der Registerkarte Allgemein MVEWebServer als Vorlagennamen ein.

5. Geben Sie auf der Registerkarte Sicherheit den Benutzern SCEPAdmin und SCEPSvc die entsprechenden Berechtigungen.

   Hinweis:  Weitere Informationen finden Sie unter Erforderliche Benutzer .

6. Wählen Sie auf der Registerkarte Betreff-Name die Option In der Anfrage angeben aus.

7. Öffnen Sie über die untergeordnete CA (certserv) die Zertifizierungsstelle .

8. Wählen Sie auf der Registerkarte Erweiterungen Anwendungsrichtlinien > Bearbeiten aus.

9. Klicken Sie auf Hinzufügen >Client-Authentifizierung > OK .

10. Erweitern Sie die Zertifizierungsstelle im linken Bereich, klicken Sie mit der rechten Maustaste auf Zertifikatvorlagen , und klicken Sie anschließend auf Neu > Zertifikatvorlage zum Ausstellen .

11. Wählen Sie die neu erstellen Zertifikate aus, und klicken Sie anschließend auf OK .

Sie können jetzt über das CA-Web-Registrierungsportal auf die Vorlagen zugreifen.

Zugriff auf die Vorlagen

1. Öffnen Sie einen Web-Browser, und geben Sie in das Feld "URL" Folgendes ein: http:// CAserverIP /certsrv/certrqxt.asp , wobei CAserverIP die IP-Adresse des CA-Servers ist.

2. Zeigen Sie die Vorlagen im Menü Zertifikatvorlagen an.

Einstellen von Zertifikatvorlagen für NDES

1. Starten Sie auf Ihrem Computer den Registry-Editor.

2. Navigieren Sie zu HKEY_LOCAL_MACHINE >SOFTWARE >Microsoft > Cryptography > MSCEP .

3. Konfigurieren Sie Folgendes, und legen Sie sie anschließend auf MVEWebServer fest:

   • EncryptionTemplate

   • GeneralPurposeTemplate

   • SignatureTemplate

4. Erteilen Sie dem SCEPSvc-Benutzer die volle Berechtigung für MSCEP.

5. Erweitern Sie im IIS-Manager die Zertifizierungsstelle, und klicken Sie anschließend auf Anwendungspools .

6. Klicken Sie im rechten Bereich auf Neu starten , um den SCEP-Anwendungspool neu zu starten.

7. Erweitern Sie die Zertifizierungsstelle im IIS-Manager, und erweitern Sie anschließend Websites > Standard-Website .

8. Klicken Sie im rechten Bereich auf Neu starten .

Deaktivieren von Kennwort abfragen im Microsoft CA-Server

1. Starten Sie auf Ihrem Computer den Registry-Editor.

2. Navigieren Sie zu HKEY_LOCAL_MACHINE > SOFTWARE > Microsoft > Cryptography > MSCEP .

3. Sellten Sie EnforcePassword auf 0 ein.

4. Erweitern Sie die Zertifizierungsstelle im IIS-Manager, klicken Sie auf Anwendungspools , und wählen Sie SCEP aus.

5. Klicken Sie im rechten Bereich auf Erweiterte Einstellungen .

6. Setzen Sie Benutzerprofil laden auf Wahr , und klicken Sie anschließend auf OK .

7. Klicken Sie im rechten Bereich auf Neu starten , um den SCEP-Anwendungspool neu zu starten.

8. Erweitern Sie die Zertifizierungsstelle im IIS-Manager, und erweitern Sie anschließend Websites > Standard-Website .

9. Klicken Sie im rechten Bereich auf Neu starten .

Beim Öffnen der NDES über den Webbrowser können Sie jetzt nur den CA-Fingerabdruck anzeigen lassen.