Descripción general

El servidor de la CA raíz es el servidor de la CA principal de cualquier organización y el principal de la infraestructura PKI. La CA raíz autentica el servidor de la CA subordinada. Este servidor se mantiene generalmente en modo sin conexión para evitar cualquier intrusión y para proteger la clave privada.

Para configurar el servidor de la CA raíz, haga lo siguiente:

1. Asegúrese de que el servidor de la CA raíz está instalado. Para obtener más información, consulte Instalación del servidor de la CA raíz .

2. Configure los ajustes de punto de distribución de certificación y acceso a la información de entidad. Para obtener más información, consulte Configuración de los ajustes de punto de distribución de certificación y acceso a la información de entidad .

3. Configure la accesibilidad de la CRL. Para obtener más información, consulte Configuración de la accesibilidad de la CRL .

Instalación del servidor de la CA raíz

1. En Server Manager, haga clic en Administrar > Agregar roles y características .

2. Haga clic en Funciones de servidor , seleccione Servicios de certificados de Active Directory y todas sus características y, a continuación, haga clic en Siguiente .

3. En la sección Servicios de función AD CS, seleccione Entidad de certificación y, a continuación, haga clic en Siguiente > Instalar .

4. Después de la instalación, haga clic en Configurar Servicios de Certificate Server de Active Directory en el servidor de destino .

5. En la sección Servicios de función, seleccione Entidad de certificación > Siguiente .

6. En la sección Tipo de configuración, seleccione CA independiente y, a continuación, haga clic en Siguiente .

7. En la sección Tipo de CA, seleccione CA raíz y, a continuación, haga clic en Siguiente .

8. Seleccione Crear una nueva clave privada y, a continuación, haga clic en Siguiente .

9. En el menú Seleccione un proveedor de criptografía, seleccione RSA#Microsoft Software Key Storage Provider .

10. En el menú Longitud de la clave, seleccione 4096 .

11. En la lista de algoritmos hash, seleccione SHA512 y, a continuación, haga clic en Siguiente .

12. En el campo Nombre común de esta CA, escriba el nombre del servidor host.

13. En el campo Sufijo de nombre distinguido, escriba el componente de dominio.

    Ejemplo de configuración de nombre de CA

    Nombre de dominio completamente cualificado (FQDN) del equipo: test.dev.lexmark.com

    Nombre común (CN): TEST

    Sufijo de nombre distinguido: DC=DEV,DC=LEXMARK,DC=COM

14. Haga clic en Siguiente .

15. Especifique el período de validez y, a continuación, haga clic en Siguiente .

    Nota:  Normalmente, el período de validez es de 10 años.

16. No cambie nada en la ventana de ubicaciones de la base de datos.

17. Complete la instalación.

Descripción general

En el siguiente escenario de implementación, todos los permisos se basan en los permisos definidos en las plantillas de certificado publicadas en el controlador de dominio. Las solicitudes de certificado enviadas a la CA se basan en las plantillas de certificado.

Para esta configuración, asegúrese de que dispone de lo siguiente:

• Un equipo que aloja la CA subordinada

• Un equipo que aloja el servicio NDES

• Un controlador de dominio

Usuarios necesarios

Cree los siguientes usuarios en el controlador de dominio:

• Administrador del servicio

  • Denominado SCEPAdmin

  • Debe ser miembro de los grupos local admin y Enterprise Admin

  • Debe estar registrado localmente cuando se active la instalación de la función NDES

  • Dispone de permiso de inscripción para las plantillas de certificado

  • Dispone de permiso para agregar plantillas en la CA

• Cuenta de servicio

  • Denominada SCEPSvc

  • Debe ser miembro del grupo IIS_IUSRS local

  • Debe ser un usuario de dominio y disponer de los permisos de escritura e inscripción en las plantillas configuradas

  • Dispone de permiso de solicitud en la CA

Descripción general

El servidor de la CA subordinada es el servidor de la CA intermedia y siempre está en línea. Generalmente se ocupa de la administración de certificados.

Para configurar el servidor de la CA subordinada, haga lo siguiente:

1. Asegúrese de que el servidor de la CA subordinada está instalado. Para obtener más información, consulte Instalación del servidor de la CA subordinada .

2. Configure los ajustes de punto de distribución de certificación y acceso a la información de entidad. Para obtener más información, consulte Configuración de los ajustes de punto de distribución de certificación y acceso a la información de entidad .

3. Configure la accesibilidad de la CRL. Para obtener más información, consulte Configuración de la accesibilidad de la CRL .

Instalación del servidor de la CA subordinada

1. En el servidor, inicie sesión como un usuario de dominio CAAdmin .

2. En Server Manager, haga clic en Administrar > Agregar roles y características .

3. Haga clic en Funciones de servidor , seleccione Servicios de certificados de Active Directory y todas sus características y, a continuación, haga clic en Siguiente .

4. En la sección Servicios de función AD CS, seleccione Entidad de certificación e Inscripción en línea de la entidad de certificación y, a continuación, haga clic en Siguiente .

   Nota:  Asegúrese de que se han agregado todas las funciones de Inscripción en línea de la entidad de certificación.

5. En la sección Función de servidor web (IIS) Servicios de función, conserve la configuración predeterminada.

6. Después de la instalación, haga clic en Configurar Servicios de Certificate Server de Active Directory en el servidor de destino .

7. En la sección Servicios de función, seleccione Entidad de certificación e Inscripción en línea de la entidad de certificación y, a continuación, haga clic en Siguiente .

8. En la sección Tipo de configuración, seleccione CA empresarial y, a continuación, haga clic en Siguiente .

9. En la sección Tipo de CA, seleccione CA subordinada y, a continuación, haga clic en Siguiente .

10. Seleccione Crear una nueva clave privada y, a continuación, haga clic en Siguiente .

11. En el menú Seleccione un proveedor de criptografía, seleccione RSA#Microsoft Software Key Storage Provider .

12. En el menú Longitud de la clave, seleccione 4096 .

13. En la lista de algoritmos hash, seleccione SHA512 y, a continuación, haga clic en Siguiente .

14. En el campo Nombre común de esta CA, escriba el nombre del servidor host.

15. En el campo Sufijo de nombre distinguido, escriba el componente de dominio.

    Ejemplo de configuración de nombre de CA

    Nombre de dominio completamente cualificado (FQDN) del equipo: test.dev.lexmark.com

    Nombre común (CN): TEST

    Sufijo de nombre distinguido: DC=DEV,DC=LEXMARK,DC=COM

16. En el cuadro de diálogo Solicitud de certificado, guarde el archivo de solicitud y, a continuación, haga clic en Siguiente .

17. No cambie nada en la ventana de ubicaciones de la base de datos.

18. Complete la instalación.

19. Firme la solicitud de CA de la CA raíz y, a continuación, exporte el certificado firmado con el formato PKCS7.

20. En la CA subordinada, abra Entidad de certificación .

21. En el panel de la izquierda, haga clic con el botón derecho del ratón en la CA y, a continuación, haga clic en Todas las tareas > Instalar certificado de CA .

22. Seleccione el certificado firmado y, a continuación, inicie el servicio CA.

Configuración de los ajustes de punto de distribución de certificación y acceso a la información de entidad

1. En Server Manager, haga clic en Herramientas > Entidad de certificación .

2. En el panel de la izquierda, haga clic con el botón derecho del ratón en la CA y, a continuación, haga clic en Propiedades > Extensiones .

3. En el menú Seleccionar extensión, seleccione Puntos de distribución de lista de revocación de certificados (CDP) .

4. En la lista de revocación de certificados, seleccione la entrada C:\Windows\system32\ y, a continuación, realice lo siguiente:

   1. Seleccione Publicar las listas de revocación de certificados (CRL) en esta ubicación .

   2. Desactive Publicar CRL incrementales en esta ubicación .

5. Elimine todas las demás entradas excepto C:\Windows\system32\ .

6. Haga clic en Agregar .

7. En el campo Ubicación, agregue http:// serverIP /CertEnroll/<CAName><CRLNameSuffix><DeltaCRLAllowed>.crl , donde serverIP es la dirección IP del servidor.

   Nota:  Si puede acceder al servidor mediante FQDN, utilice <ServerDNSName> en lugar de la dirección IP del servidor.

8. Haga clic en Aceptar .

9. Seleccione Incluir en la extensión CDP de los certificados emitidos para la entrada creada.

10. En el menú Seleccionar extensión, seleccione Acceso a la información de entidad (AIA) .

11. Elimine todas las demás entradas excepto C:\Windows\system32\ .

12. Haga clic en Agregar .

13. En el campo Ubicación, agregue http:// ServerIP /CertEnroll/<ServerDNSName>_<CAName><CertificateName>.crt , donde ServerIP es la dirección IP del servidor.

    Nota:  Si puede acceder al servidor mediante FQDN, utilice <ServerDNSName> en lugar de la dirección IP del servidor.

14. Haga clic en Aceptar .

15. Seleccione Incluir en la extensión AIA de los certificados emitidos para la entrada creada.

16. Haga clic en Aplicar > Aceptar .

    Nota:  Si es necesario, reinicie el servicio de certificación.

17. En el panel de la izquierda, expanda la CA, haga clic con el botón derecho del ratón en Certificados revocados y, a continuación, haga clic en Propiedades .

18. Especifique el valor de Intervalo de publicación de CRL y de Publicar Delta Intervalo de publicación de CRL y, a continuación, haga clic en Aplicar > Aceptar .

19. En el panel de la izquierda, haga clic con el botón derecho del ratón en Certificados revocados , haga clic en Todas las tareas y, a continuación, publique la CRL Nuevo.

Configuración de la accesibilidad de la CRL

1. En el Administrador de IIS, expanda la CA y, a continuación, expanda Sitios .

2. Haga clic con el botón derecho del ratón en Sitio web predeterminado y, a continuación, haga clic en Agregar directorio virtual .

3. En el campo Alias, escriba CertEnroll .

4. En el campo Ruta física, escriba C:\Windows\System32\CertSrv\CertEnroll .

5. Haga clic en Aceptar .

6. Haga clic con el botón derecho del ratón en CertEnroll y, a continuación, haga clic en Editar permisos .

7. En la pestaña Seguridad, elimine todos los accesos de escritura excepto para el sistema.

8. Haga clic en Aceptar .

Configuración del servidor NDES

1. En el servidor, inicie sesión como un usuario de dominio SCEPAdmin .

2. En Server Manager, haga clic en Administrar > Agregar roles y características .

3. Haga clic en Funciones de servidor , seleccione Servicios de certificados de Active Directory y todas sus características y, a continuación, haga clic en Siguiente .

4. En la sección Servicios de función AD CS, desactive Entidad de certificación .

5. Seleccione Servicio de inscripción de dispositivos de red y todas sus características y, a continuación, haga clic Siguiente .

6. En la sección Función de servidor web (IIS) Servicios de función, conserve la configuración predeterminada.

7. Después de la instalación, haga clic en Configurar Servicios de Certificate Server de Active Directory en el servidor de destino .

8. En la sección Servicios de función, seleccione Servicio de inscripción de dispositivos de red y, a continuación, haga clic en Siguiente .

9. Seleccione la cuenta de servicio SCEPSvc .

10. En la sección CA para NDES, seleccione Nombre de CA o Nombre de equipo y, a continuación, haga clic en Siguiente .

11. En la sección Información de RA, especifique la información y, a continuación, haga clic en Siguiente .

12. En la sección Criptografía para NDES, haga lo siguiente:

    • Seleccione los proveedores de firma y clave de cifrado adecuados.

    • En el menú Longitud de la clave, seleccione la misma longitud de clave que el servidor de la CA.

13. Haga clic en Siguiente .

14. Complete la instalación.

Ahora puede acceder al servidor NDES desde un navegador web como un usuario SCEPSvc. En el servidor NDES, puede ver la huella digital del certificado de CA, la contraseña de comprobación de inscripción y el período de validez de la contraseña de comprobación.

Acceso al servidor NDES

Abra un navegador web y, a continuación, escriba http:// NDESserverIP /certsrv/mscep_admin , donde NDESserverIP es la dirección IP del servidor NDES.

Creación de una plantilla de certificado

1. En la CA subordinada (certserv), abra Entidad de certificación .

2. En el panel de la izquierda, expanda la CA, haga clic con el botón derecho del ratón en Plantillas de certificado y, a continuación, haga clic en Administrar .

3. En Consola de plantillas de certificados, cree una copia de Servidor web .

4. En la pestaña General, escriba MVEWebServer como nombre de plantilla.

5. En la pestaña Seguridad, otorgue a los usuarios SCEPAdmin y SCEPSvc los permisos adecuados.

   Nota:  Para obtener más información, consulte Usuarios necesarios .

6. En la pestaña Nombre del sujeto, seleccione Proporcionar en la solicitud .

7. En la CA subordinada (certserv), abra Entidad de certificación .

8. En la pestaña Extensiones, seleccione Directivas de aplicación > Editar .

9. Haga clic en Agregar >Autenticación del cliente > Aceptar .

10. En el panel de la izquierda, expanda la CA, haga clic con el botón derecho del ratón en Plantillas de certificado y, a continuación, haga clic en Nueva > Plantilla de certificado que se va a emitir .

11. Seleccione los certificados que acaba de crear y, a continuación, haga clic en Aceptar .

Ahora puede acceder a las plantillas mediante el portal web de inscripción de la CA.

Acceso a las plantillas

1. Abra un navegador web y, a continuación, escriba http:// CAserverIP /certsrv/certrqxt.asp , donde CAserverIP es la dirección IP del servidor de la CA.

2. En el menú Plantilla de certificado, vea las plantillas.

Definición de plantillas de certificado para NDES

1. En el ordenador, inicie el editor del registro.

2. Desplácese a >SOFTWARE HKEY_LOCAL_MACHINE >Microsoft > Cryptography > MSCEP .

3. Configure lo siguiente y, a continuación, defínalos en MVEWebServer :

   • EncryptionTemplate

   • GeneralPurposeTemplate

   • SignatureTemplate

4. Otorgue al usuario de SCEPSvc permiso completo para MSCEP.

5. En el Administrador de IIS, expanda la CA y, a continuación, haga clic en Grupos de aplicaciones .

6. En el panel de la derecha, haga clic en Reciclar para reiniciar el grupo de aplicaciones SCEP.

7. En el Administrador de IIS, expanda la CA y, a continuación, expanda Sitios > Sitio web predeterminado .

8. En el panel de la derecha, haga clic en Reiniciar .

Desactivación de la Contraseña de comprobación en el servidor de la CA de Microsoft

1. En el ordenador, inicie el editor del registro.

2. Desplácese a HKEY_LOCAL_MACHINE > SOFTWARE > Microsoft > Cryptography > MSCEP .

3. Defina Aplicar contraseña en 0 .

4. En el Administrador de IIS, expanda la CA, haga clic en Grupos de aplicaciones y, a continuación, seleccione SCEP .

5. En el panel de la derecha, haga clic en Configuración avanzada .

6. Defina Cargar perfil de usuario en Verdadero y, a continuación, haga clic en Aceptar .

7. En el panel de la derecha, haga clic en Reciclar para reiniciar el grupo de aplicaciones SCEP.

8. En el Administrador de IIS, expanda la CA y, a continuación, expanda Sitios > Sitio web predeterminado .

9. En el panel de la derecha, haga clic en Reiniciar .

Al abrir NDES desde el navegador web, ahora solo podrá ver la huella digital de la CA.