Visão geral

O servidor CA raiz é o servidor CA principal em qualquer organização, e é o topo da infraestrutura PKI. A CA raiz autentica o servidor CA subordinado. Esse servidor geralmente é mantido em modo off-line para evitar qualquer invasão e proteger a chave privada.

Para configurar o servidor CA raiz, proceda da seguinte forma:

1. Certifique-se de que o servidor CA raiz esteja instalado. Para mais informações, consulte Instalação do servidor CA raiz .

2. Defina as configurações de Ponto de distribuição de certificação e de Acesso a informações de autoridade. Para mais informações, consulte Definição das configurações de Ponto de distribuição de certificação e de Acesso a informações de autoridade .

3. Configurar a acessibilidade de CRL. Para mais informações, consulte Configuração da acessibilidade da CRL .

Instalação do servidor CA raiz

1. No Gerenciador de servidores, clique em Gerenciar > Adicionar funções e recursos .

2. Clique em Funções do servidor , selecione Serviços de certificados do Active Directory e todos os seus recursos e clique em Avançar .

3. Na seção Serviços de função AD CS, selecione Autoridade de certificação e clique em Avançar > Instalar .

4. Após a instalação, clique em Configurar serviços de certificados do Active Directory no servidor de destino .

5. Na seção Serviços de função, selecione Autoridade de certificação > Avançar .

6. Na seção Tipo de configuração, selecione CA independente e clique em Avançar .

7. Na seção Tipo de CA, selecione CA raiz e clique em Avançar .

8. Clique em Criar nova chave privada e clique em Avançar .

9. No menu Selecione um provedor de serviços de criptografia, selecione Provedor de armazenamento de chave de software RSA#Microsoft .

10. No menu Comprimento da chave, selecione 4096 .

11. Na lista de algoritmos de hash, selecione SHA512 e clique em Avançar .

12. No campo Nome comum para esta CA, digite o nome do servidor host.

13. No campo Sufixo de nome diferenciado, digite o componente de domínio.

    Configuração do nome da CA de amostra

    Nome de domínio totalmente qualificado (FQDN) da máquina: test.dev.lexmark.com

    Nome comum (CN): TESTE

    Sufixo de nome diferenciado: DC=DEV,DC=LEXMARK,DC=COM

14. Clique em Avançar .

15. Especifique o período válido e clique em Avançar .

    Nota:  Geralmente, o período de validade é de 10 anos.

16. Não altere nada na janela de locais do banco de dados.

17. Conclua a instalação.

Visão geral

No cenário de implantação a seguir, todas as permissões são baseadas em permissões definidas nos modelos de certificado publicados no controlador de domínio. As solicitações de certificado enviadas à CA são baseadas em modelos de certificados.

Para essa configuração, verifique se você tem o seguinte:

• Uma máquina que hospeda a AC subordinada

• Uma máquina que hospeda o serviço NDES

• Um controlador de domínio

Usuários necessários

Crie os seguintes usuários no controlador de domínio:

• Administrador do serviço

  • Nomeado como SCEPAdmin

  • Deve ser membro dos grupos local admin e Enterprise Admin

  • Deve ser registrado localmente quando a instalação da função NDES for acionada

  • Tem Permissão de registro para os modelos de certificado

  • Tem Permissão para adicionar modelo na CA

• Conta de serviço

  • Nomeado como SCEPSvc

  • Deve ser membro do grupo local IIS_IUSRS

  • Deve ser um usuário do domínio e ter permissões de leitura e registro nos modelos configurados

  • Tem permissão de solicitação na CA

Visão geral

O servidor CA subordinado é o servidor CA intermediário e está sempre on-line. Geralmente, ele lida com o gerenciamento de certificados.

Para configurar o servidor CA subordinado, proceda da seguinte forma:

1. Certifique-se de que o servidor CA subordinado está instalado. Para mais informações, consulte Instalação do servidor CA subordinado .

2. Defina as configurações de Ponto de distribuição de certificação e de Acesso a informações de autoridade. Para mais informações, consulte Definição das configurações de Ponto de distribuição de certificação e de Acesso a informações de autoridade .

3. Configurar a acessibilidade de CRL. Para mais informações, consulte Configuração da acessibilidade da CRL .

Instalação do servidor CA subordinado

1. No servidor, faça login como um usuário do domínio CAAdmin .

2. No Gerenciador de servidores, clique em Gerenciar > Adicionar funções e recursos .

3. Clique em Funções do servidor , selecione Serviços de certificados do Active Directory e todos os seus recursos e clique em Avançar .

4. Na seção Serviços de função AD CS, selecione Autoridade de certificação e Registro de autoridade de certificações na Web e clique em Avançar .

   Nota:  Verifique se todos os recursos de Registro de autoridade de certificações na Web foram adicionados.

5. Na seção Serviços de função do Servidor Web (IIS), mantenha as configurações padrão.

6. Após a instalação, clique em Configurar serviços de certificados do Active Directory no servidor de destino .

7. Na seção Serviços de função, selecione Autoridade de certificação e Registro de autoridade de certificações na Web e clique em Avançar .

8. Na seção Tipo de configuração, selecione Enterprise CA e clique em Avançar .

9. Na seção Tipo de CA, selecione CA subordinada e clique em Avançar .

10. Clique em Criar nova chave privada e clique em Avançar .

11. No menu Selecione um provedor de serviços de criptografia, selecione Provedor de armazenamento de chave de software RSA#Microsoft .

12. No menu Comprimento da chave, selecione 4096 .

13. Na lista de algoritmos de hash, selecione SHA512 e clique em Avançar .

14. No campo Nome comum para esta CA, digite o nome do servidor host.

15. No campo Sufixo de nome diferenciado, digite o componente de domínio.

    Configuração do nome da CA de amostra

    Nome de domínio totalmente qualificado (FQDN) da máquina: test.dev.lexmark.com

    Nome comum (CN): TESTE

    Sufixo de nome diferenciado: DC=DEV,DC=LEXMARK,DC=COM

16. Na caixa de diálogo Solicitação de certificado, salve o arquivo de solicitação e clique em Avançar .

17. Não altere nada na janela de locais do banco de dados.

18. Conclua a instalação.

19. Assine a solicitação da CA raiz e exporte o certificado assinado no formato PKCS7.

20. Na CA subordinada, abra Autoridade de certificação .

21. No painel esquerdo, clique com o botão direito na CA e clique em Todas as tarefas > Instalar certificado CA .

22. Selecione o certificado assinado e inicie o serviço da CA.

Definição das configurações de Ponto de distribuição de certificação e de Acesso a informações de autoridade

1. No Gerenciador de servidores, clique em Ferramentas > Autoridade de certificação .

2. No painel esquerdo, clique com o botão direito na CA e, em seguida, clique em Propriedades > Extensões .

3. No menu Selecionar extensão, selecione Ponto de distribuição da CRL (Certificate Revocation List, lista de revogação de certificados) .

4. Na lista de certificados revogados, selecione C:Windows/system32 e faça o seguinte:

   1. Selecione Publicar CRLs neste local .

   2. Desmarque Publicar CRLs Delta neste local .

5. Exclua todas as outras entradas, exceto C:\Windows\system32\ .

6. Clique em Adicionar .

7. No campo Local, adicione http:// serverIP /CertEnroll/<CAName><CRLNameSuffix><DeltaCRLAllowed>.crl , onde serverIP é o endereço IP do servidor.

   Nota:  Se seu servidor estiver acessível ao usar o FQDN, use <ServerDNSName> em vez do seu endereço IP.

8. Clique em OK .

9. Selecione Incluir na extensão CDP de certificados emitidos para a entrada criada.

10. No menu Selecionar extensão, selecione Acesso a informações da autoridade (AIA) .

11. Exclua todas as outras entradas, exceto C:\Windows\system32\ .

12. Clique em Adicionar .

13. No campo Local, adicione http:// serverIP /CertEnroll/<ServerDNSName>_<CAName><CertificateName>.crt , onde serverIP é o endereço IP do servidor.

    Nota:  Se seu servidor estiver acessível ao usar o FQDN, use <ServerDNSName> em vez do seu endereço IP.

14. Clique em OK .

15. Selecione Incluir na extensão AIA de certificados emitidos para a entrada criada.

16. Clique em Aplicar > OK .

    Nota:  Se necessário, reinicie o serviço de certificação.

17. No painel esquerdo, expanda a CA, clique com o botão direito em Certificados revogados e clique em Propriedades .

18. Especifique o valor para Intervalo de publicação da CRL e para Publicar intervalo de publicação de CRLs Delta e clique em Aplicar > OK .

19. No painel esquerdo, clique com o botão direito em Certificados revogados , clique em Todas as tarefas e publique a Nova CRL.

Configuração da acessibilidade da CRL

1. No Gerenciador do IIS, expanda a CA e expanda Sites .

2. Clique com o botão direito em Site da Web padrão e, em seguida, clique em Adicionar diretório virtual .

3. No campo Alias, digite CertEnroll .

4. No campo Caminho físico, digite C:\Windows\System32\CertSrv\CertEnroll .

5. Clique em OK .

6. Clique com o botão direito em CertEnroll e depois em Editar permissões .

7. Na guia Segurança, remova qualquer acesso de gravação, exceto para o sistema.

8. Clique em OK .

Configuração do servidor do NDES

1. No servidor, faça login como um usuário do domínio SCEPAdmin .

2. No Gerenciador de servidores, clique em Gerenciar > Adicionar funções e recursos .

3. Clique em Funções do servidor , selecione Serviços de certificados do Active Directory e todos os seus recursos e clique em Avançar .

4. Na seção Serviços de função AD CS, desmarque Autoridade de certificação .

5. Selecione Serviço de registro de dispositivo de rede e todos os seus recursos e clique em Avançar .

6. Na seção Serviços de função do Servidor Web (IIS), mantenha as configurações padrão.

7. Após a instalação, clique em Configurar serviços de certificados do Active Directory no servidor de destino .

8. Na seção Serviços de função, selecione Serviço de registro de dispositivo de rede e clique em Avançar .

9. Selecione a conta de serviço SCEPSvc .

10. Na seção CA para NDES, selecione Nome da CA ou Nome do computador e clique em Avançar .

11. Na seção Informações da AR, especifique as informações e clique em Avançar .

12. Na seção Criptografia para NDES, faça o seguinte:

    • Selecione os provedores de assinatura e de chave de criptografia apropriados.

    • No menu Comprimento da chave, selecione o mesmo comprimento de chave que o servidor CA.

13. Clique em Avançar .

14. Conclua a instalação.

Agora você pode acessar o servidor NDES por um navegador da Web como um usuário SCEPSvc. No servidor NDES, você pode exibir a impressão digital do certificado CA, a senha de desafio de registro e o período de validade da senha de desafio.

Acesso ao servidor NDES

Abra um navegador da Web e digite http:// NDESserverIP /certsrv/mscep_admin , onde NDESserverIP é o endereço IP do servidor NDES.

Criação de modelos de certificado

1. Na CA subordinada (certserv), abra Autoridade de certificação .

2. No painel esquerdo, expanda a CA, clique com o botão direito em Modelos de certificados e clique em Gerenciar .

3. No Console de modelos de certificado, crie uma cópia do Servidor Web .

4. Na guia Geral, digite MVEWebServer como o nome do modelo.

5. Na guia Segurança, conceda aos usuários SCEPAdmin e SCEPSvc as permissões apropriadas.

   Nota:  Para mais informações, consulte Usuários necessários .

6. Na guia Nome da entidade, selecione Fornecer na solicitação .

7. Na CA subordinada (certserv), abra Autoridade de certificação .

8. Na guia Extensões, selecione Políticas de aplicativos > Editar .

9. Clique em Adicionar >Autenticação de cliente > OK .

10. No painel esquerdo, expanda a CA, clique com o botão direito em Modelos de certificados e clique em Novo > Modelo de certificado para emitir .

11. Selecione os certificados criados recentemente e clique em OK .

Agora você pode acessar os modelos usando o portal de registro na Web da CA.

Acesso aos modelos

1. Abra um navegador da Web e digite http:// CAserverIP /certsrv/certrqxt.asp , onde CAserverIP é o endereço IP do servidor CA.

2. No menu Modelo de certificado, exiba os modelos.

Configuração de modelos de certificado para NDES

1. No computador, inicie o editor do registro.

2. Navegue até HKEY_LOCAL_MACHINE >SOFTWARE >Microsoft > Cryptography > MSCEP .

3. Configure e defina o seguinte como MVEWebServer :

   • EncryptionTemplate

   • GeneralPurposeTemplate

   • SignatureTemplate

4. Conceda ao usuário SCEPSvc permissão total para o MSCEP.

5. No Gerenciador do IIS, expanda a CA e clique em Pools de aplicativos .

6. No painel direito, clique em Reciclar para reiniciar o pool de aplicativos SCEP.

7. No Gerenciador de IIS, expanda a CA e, em seguida, expanda Sites > Site padrão da Web .

8. No painel direito, clique em Reiniciar .

Desativação da Senha de desafio no servidor Microsoft CA

1. No computador, inicie o editor do registro.

2. Navegue até HKEY_LOCAL_MACHINE > SOFTWARE > Microsoft > Cryptography > MSCEP .

3. Defina EnforcePassword como 0 .

4. No Gerenciador do IIS, expanda a CA, clique em Pools de aplicativos e selecione SCEP .

5. No painel direito, clique em Configurações avançadas .

6. Defina Carregar perfil de usuário como Verdadeiro e clique em OK .

7. No painel direito, clique em Reciclar para reiniciar o pool de aplicativos SCEP.

8. No Gerenciador de IIS, expanda a CA e, em seguida, expanda Sites > Site padrão da Web .

9. No painel direito, clique em Reiniciar .

Ao abrir o NDES pelo navegador da Web, agora é possível visualizar apenas a impressão digital da CA.