Материал: Книга Active directory
Занятие 2 Настройка и использование служб сертификации Active Directory 7 6 3
1. На сервере центра в ы д а ч и с е р т и ф и к а т о в откройте командную строку от
|
и м е н и а д м и н и с т р а т о р а и в ы п о л н и т е следующие команды: |
||||
|
c e r t u t i l |
- setreg |
ca\CRLOverlapUnits |
значение |
|
. |
c e r t u t i l |
- setreg |
ca\CRLOverlapPeriod |
единицы |
|
. |
c e r t u t i l |
- setreg |
ca\CRLDeltaOverlapUnits |
значение |
|
|
c e r t u t i l |
- setreg |
ca\CRLDeltaOverlapPeriod |
единицы |
|
|
З н а ч е н и е у к а з ы в а е т п е р и о д перекрытия, а единицами являются минуты, |
||||
|
ч а с ы и л и дни . Н а п р и м е р , вы можете задать период перекрытия CLR 24 ч |
||||
|
и п е р и о д п у б л и к а ц и и р а з н о с т н ы х C L R 12 часов. Д л я этого введите следу- |
||||
|
ю щ и е к о м а н д ы : |
|
|
||
|
c e r t u t i l |
- setreg |
ca\CRLOverlapUnits |
24 |
|
|
c e r t u t i l |
- setreg |
ca\CRLOverlapPeriod |
hours |
|
|
c e r t u t i l |
- setreg |
ca\CRLDeltaOverlapUnits |
12 |
|
|
c e r t u t i l |
- setreg |
ca\CRLDeltaOvorlapPeriod |
hours |
|
2. О т к р о й т е к о н с о л ь Ц е н т р с е р т и ф и к а ц и и и щелкните правой кнопкой мыши и м я сервера ц е н т р а в ы д а ч и сертификатов, чтобы остановить и перезапус- т и т ь службу .
И н а к о н е ц , о т к о н ф и г у р и р у й т е публикацию списков CLR.
1. В к о н с о л и Ц е н т р с е р т и ф и к а ц и и (Certification Authority) разверните дерево
к о н с о л и п о д и м е н е м сервера |
центра выдачи сертификатов. |
|
||||
2 . Щ е л к н и т е п р а в о й к н о п к о й |
м ы ш и |
к о н т е й н е р Отозванные сертификаты |
||||
( R e v o k e d Ce rtific a tes) и |
п р и м е н и т е |
команду Свойства (Properties). |
||||
3 . Н а в к л а д к е П а р а м е т р ы |
п у б л и к а ц и и C L R |
( C L R |
Publishing |
Parameters) |
||
о т к о н ф и г у р и р у й т е и н т е р в а л ы п у б л и к а ц и и |
CLR и |
разностных |
CLR (Del- |
|||
ta C L R ) . |
|
|
|
|
|
|
По у м о л ч а н и ю з а д а ю т с я значения соответственно 1 неделя и 1 день. Если п л а н и р у е т с я интенсивное использование сертификатов и требуется обеспе- ч и в а т ь в ы с о к у ю готовность списков CLR, уменьшите оба значения. В про- т и в н о м с л у ч а е оставьте значения по умолчанию .
На в к л а д к е П р о с м о т р списков отзыва сертификатов (View CLRs) можно т а к ж е п р о с м о т р е т ь с у щ е с т в у ю щ и е списки отзыва сертификатов.
4 . Щ е л к н и т е О К .
К о н ф и г у р а ц и я о т з ы в а с е р т и ф и к а т о в задана.
Н а с т р о й к а и п е р с о н а л и з а ц и я ш а б л о н о в с е р т и ф и к а т о в
Ш а б л о н ы с е р т и ф и к а т о в используются для генерирования сертификатов, кото- р ы е и с п о л ь з у ю т с я в к о н ф и г у р а ц и и AD CS. Центры сертификации предприятия п р и м е н я ю т ш а б л о н ы в е р с и й 2 и 3. Эти шаблоны можно конфигурировать и персонализировать . Ч т о б ы подготовить шаблоны к использованию, вначале необходимо о т к о н ф и г у р и р о в а т ь к а ж д ы й шаблон, который будет использоваться, а затем п о с л е н а с т р о й к и развернуть каждый шаблон в центрах сертификации. После этого ш а б л о н ы м о ж н о использовать для выдачи сертификатов. Начните с и д е н т и ф и к а ц и и ш а б л о н о в д л я использования, а затем приступайте к следу- ю щ е й процедуре .
Занятие 2 |
|
Н а с т р о й к а и и с п о л ь з о в а н и е с л у ж б с е р т и ф и к а ц и и Active Directory 788 |
|
||||||||||||||||
|
в A c t i v e D i r e c t o r y . |
О т м е т и м , ч т о |
с р о к |
д е й с т в и я с е р т и ф и к а т а агента |
|||||||||||||||
|
в о с с т а н о в л е н и я |
н а м н о г о |
д о л ь ш е , |
чем |
с р о к д е й с т в и я |
самого с е р т и ф и - |
|||||||||||||
|
к а т а E F S . К р о м е |
т о г о , |
и с п о л ь з у й т е |
н а д р у г и х в к л а д к а х свойств т е ж е |
|||||||||||||||
|
п а р а м е т р ы , к о т о р ы е б ы л и н а з н а ч е н ы д у б л и к а т у Б а з о в о е ш и ф р о в а н и е |
||||||||||||||||||
|
E F S ( B a s i c E F S ) . |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
К СВЕДЕНИЮ |
Использование EFS |
|
|
|
|
|
|
|
|
|
|
|
|||||||
И н ф о р м а ц и ю о р е а л и з а ц и и |
E F S м о ж н о найти |
в |
официальном документе «Working |
||||||||||||||||
W i t h |
T h e |
E n c r y p t i n g |
File |
Systems» |
по |
адресу |
http://www.reso-net.com/articles.aspPm-8 |
||||||||||||
в разделе «Advanced Public |
Key Infrastructures» . |
|
|
|
|
|
|||||||||||||
• |
Е с л и в ы |
п л а н и р у е т е и с п о л ь з о в а т ь |
б е с п р о в о д н ы е сети, |
создайте шаблон |
|||||||||||||||
|
с е р в е р а |
с е т е в о й |
п о л и т и к и ( N e t w o r k |
P o l i c y Server, N P S ) . Как |
п р а в и - |
||||||||||||||
|
л о , |
ш а б л о н с о з д а е т с я |
и к о н ф и г у р и р у е т с я |
д л я автоматической |
подачи |
||||||||||||||
|
з а я в о к . |
З а т е м |
н о в ы е |
с е р т и ф и к а т ы б у д у т |
н а з н а ч е н ы |
при с л е д у ю щ е м |
|||||||||||||
|
о б н о в л е н и и п а р а м е т р о в г р у п п о в о й п о л и т и к и серверов NPS . В качестве |
||||||||||||||||||
|
и с х о д н ы х д л я |
н о в о г о |
ш а б л о н а N P S и с п о л ь з у й т е |
ш а б л о н ы R A S и IAS- |
|||||||||||||||
|
с е р в е р а . |
П р о д у б л и р у й т е ш а б л о н |
д л я |
W i n d o w s |
Server 2008 и задайте |
||||||||||||||
|
с о о т в е т с т в у ю щ е е |
и м я , |
|
н а п р и м е р N P S |
Server W S 0 8 . О п у б л и к у й т е шаб- |
||||||||||||||
|
л о н |
в A c t i v e D i r e c t o r y . |
П е р е й д и т е |
на |
в к л а д к у Безопасность (Security) |
||||||||||||||
|
и в ы б е р и т е г р у п п ы |
с е р в е р о в |
R A S |
и IAS, |
ч т о б ы назначить разрешения |
||||||||||||||
|
А в т о м а т и ч е с к а я п о д а ч а |
з а я в о к ( A u t o e n r o l l ) |
и З а я в к а (Enroll). Просмот- |
||||||||||||||||
|
р и т е с о д е р ж и м о е |
д р у г и х в к л а д о к |
и |
с о х р а н и т е н о в ы й шаблон. |
|
||||||||||||||
• |
Е с л и вы с о б и р а е т е с ь в о й т и |
в сеть с п о м о щ ь ю смарт-карты, создайте дуб- |
|||||||||||||||||
|
л и к а т ы ш а б л о н о в |
В х о д со с м а р т - к а р т о й |
( S m a r t c a r d Logon) и Пользова- |
||||||||||||||||
|
т е л ь со с м а р т - к а р т о й |
( S m a r t c a r d U s e r ) д л я W i n d o w s Server 2008. Задайте |
|||||||||||||||||
|
им с о о т в е т с т в у ю щ и е |
и м е н а |
и о п у б л и к у й т е ш а б л о н ы в Active Directory. |
||||||||||||||||
|
Д л я |
э т и х |
с е р т и ф и к а т о в |
н е |
п р и м е н я е т с я |
автоматическая |
подача заявок, |
||||||||||||
|
п о с к о л ь к у д л я |
р а с п р е д е л е н и я |
с а м и х |
с м а р т - к а р т |
среди |
пользователей |
|||||||||||||
|
н е о б х о д и м ы с т а н ц и и |
п о д а ч и з а я в о к |
н а |
с март - кар ты . |
|
|
|||||||||||||
• Е с л и |
в ы |
х о т и т е з а щ и т и т ь |
в е б - с е р в е р ы |
и л и |
к о н т р о л л е р ы домена, со- |
||||||||||||||
|
з д а й т е д у б л и к а т ы |
ш а б л о н о в п р о в е р к и |
п о д л и н н о с т и веб-сервера |
( W e b |
|||||||||||||||
|
S e r v e r ) и |
к о н т р о л л е р а |
д о м е н а |
( D o m a i n |
Controller |
Authentication) . Не |
|||||||||||||
|
и с п о л ь з у й т е ш а б л о н К о н т р о л л е р д о м е н а |
( D o m a i n Controller), поскольку |
|||||||||||||||||
|
о н п р е д н а з н а ч е н д л я п р е д ы д у щ и х в е р с и й о п е р а ц и о н н о й системы. Про - |
||||||||||||||||||
|
д у б л и р у й т е ш а б л о н ы д л я |
W i n d o w s Server 2008, опубликуйте их в Active |
|||||||||||||||||
|
D i r e c t o r y и п р о в е р ь т е д р у г и е с в о й с т в а . |
|
|
|
|
|
|
||||||||||||
ПРИМЕЧАНИЕ |
Настройка дубликатов шаблонов |
|
|
|
|
|
|
|
|
||||||||||
В к о н ф и г у р а ц и ю |
к а ж д о г о |
ш а б л о н а |
часто |
включаются дополнительные типы |
|||||||||||||||
активности, не о б я з а т е л ь н о связанной |
с AD |
CS. |
Просмотрите справку AD |
CS |
|||||||||||||||
в Интернете и изучите т и п ы активности в зависимости от публикаций каждого |
|||||||||||||||||||
типа сертификата. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
Теперь н а |
о с н о в е э т и х п е р с о н а л и з и р о в а н н ы х ш а б л о н о в |
необходимо выдать |
|||||||||||||||||
ш а б л о н ы ц е н т р у с е р т и ф и к а ц и и д л я в ы д а ч и с е р т и ф и к а т о в .
[. 789 Службы сертификации Active Directory |
Глава 15 |
|
9. В Диспетчере |
сервера (Server M a n a g e r ) |
р а з в е р н и т е у з е л Р о л и \ С л у ж б ы |
сертификации |
Active Directory\!i.v*_Z/C\LIJa6.TOHbi с е р т и ф и к а т о в ( R o l e s \ |
|
Active Directory Certificate Services\//.w/_ Z/C\Certificate Templates). |
||
10. Чтобы выдать |
шаблон, щелкните праной |
к н о п к о й к о н т е й н е р .Шаблоны |
сертификатов |
(Certificate Templates), примените команду Создать ( N e w ) |
|
и щелкните опцию Выдаваемый шаблон сертификата (Certificate Template То Issue).
11.В диалоговом окне Включение шаблонов с е р т и ф и к а т о в (Enable Certificate Templates) нажмите клавишу Ctrl, выделите все шаблоны, к о т о р ы е хотите выдать, и щелкните ОК, как показано на рис. 15-8.
TtnipUte* Ш:
Setecs ore Cervcye Teroa»e to enatte on the Certfcabon At/horny.
'.^e • a :fK#e tempia« "war *аг 'teenBy created doe» not vpear on ihit list, you may need to wait until
rr;. т-atcn about tr«i te^aie |
been recreated to al doman ccoticJert. |
|
|||
aj ci the cemcafe tercn'e: n the orgar»zai*>n may not be avaisWe to you CA. |
|
||||
h t m rt iV< - . ** |
|
Twi: |
Crnifrptv |
|
|
|
|
Intended Pupose |
|
||
3 OCSP Refporae Sqrmg |
|
OCSP Sigrmg |
|
||
ii RAS and IAS Server |
|
Cbent Authenticetion. Server Authentication |
|||
Rouer [Ortne ieoue»t| |
|
CSent Authenticafon |
|
||
.и Smertced Logon |
|
Cbent Authentication. Smart Card Logon |
|||
Smartcard User |
|
Secure Email. Ckeni Authentication, Smart Caid Logon |
|||
inKoMiUw WW |
|
|
5ЭЕ332Е |
ЗШЕШ2 |
|
jj TrunLrt Sgrng |
|
Mctotcrft Trutl Lie Sigmg |
|
||
Рис. 15-8. Диалоговое окно включения шаблонов сертификатов
Теперь вы можете приступать к настройке подачи заявок . Д л я этого используется групповая политика. Вы можете создать новый объект групповой политики или модифицировать существующий. Д а н н а я политика должна применяться ко всем членам домеиа. Поэтому вы можете использовать существующий объект групповой политики Default Domain Policy. Создание и управление объектами GPO осуществляется с помощью консоли Упраиленне групповой политикой (Group Policy Management Console, G P M C ) .
1.Войдите на контроллер домена и в программной группе Администрирование (Administrative Tools) запустите консоль Управление групповой политикой (Group Policy Management Console).
2. Локализуйте или создайте соответствующий объект групповой политики, щелкните его правой кнопкой мыши и примените команду Изменить (Edit).
3. Чтобы назначить для компьютеров автоматическую подачу заявок, разверните узел К о н ф и г у р а ц и я к о м п ы о т е р а \ П о л и т и к и \ К о н ф и г у р а ц и я Windows\riapaMeTpbi безопасности\Политики открытого ключа ( C o m p u t e r Configuration\Policies\Windows S e t t i n g s \ S e c u r i t y S e t t i n g s \ P u b l i c Key Policies).
Занятие 2 Настройка и использование служб сертификации Active Directory 7 6 7
4 . Д в а ж д ы щ е л к н и т е п о л и т и к у К л и е н т с л у ж б сертификации: автоматическая п о д а ч а з а я в о к ( C e r t i f i c a t e Services Client — Auto - Enrollment) .
5. В к л ю ч и т е эту п |
о л и т и к у и установите ф л а ж о к Обновлять сертификаты с ис- |
т е к ш и м с р о к о м |
д е й с т в и я и л и в с о с т о я н и и о ж и д а н и я и удалять отозванные |
с е р т и ф и к а т ы ( R e n e w Expired Certificates, U p d a t e P e n d i n g Certificates, |
And |
||||||
R e m o v e R e v o k e d |
Certificates) . |
|
|
|
|
||
6 . Установите ф л а ж о к |
О б н о в л я т ь с е р т и ф и к а т ы , использующие шаблоны сер- |
||||||
т и ф и к а т о в ( U p d a t e |
C e r t i f i c a t e s T h a t Use Certificate |
Templates), |
если |
в ы |
|||
д л я э т о й |
ц е л и у ж е |
в ы д а л и н е с к о л ь к о с е р т и ф и к а т о в . |
Щ е л к н и т е |
О К |
для |
||
н а з н а ч е н и я п а р а м е т р о в . |
|
|
|
|
|||
7 . Ч т о б ы н а з н а ч и т ь а в т о м а т и ч е с к у ю |
подачу заявок д л я пользователей, развер- |
||||||
ните у з е л |
К о н ф и г у р а ц и я п о л ь з о в а т е л я \ П о л и т и к и \ К о н ф и г у р а ц и я Windows\ |
||||||
П а р а м е т р ы б е з о п а с н о с т и \ Г 1 о л и т и к и открытого ключа |
(User Configuration\ |
||||||
P o l i c i e s \ W i n d o w s S e t t i n g s \ S e c u r i t y S e t t i n g s \ P u b l i c Key Policies). |
|
|
|||||
8. В к л ю ч и т е |
п о л и т и к у а в т о м а т и ч е с к о й подачи заявок с теми же параметрами, |
||||||
что и д л я |
к о м п ь ю т е р о в . |
|
|
|
|
||
9 . О т м е т и м , |
ч т о д л я |
п о л ь з о в а т е л е й |
в п о л и т и к е м о ж н о |
установить |
флажок |
||
У в е д о м л я т ь о б |
о к о н ч а н и и с р о к а |
д е й с т в и я (Expiration Notification). Д л я |
|||||
этого п а р а м е т р а |
с л е д у е т у к а з а т ь |
соответствующее значение. |
|
|
|||
П о л ь з о в а т е л и б у д у т п о л у ч а т ь у в е д о м л е н и я об окончании срока действия |
|||||||
с е р т и ф и к а т о в . |
|
|
|
|
|
|
|
1 0 Щ е л к н и т е О К , |
ч т о б ы н а з н а ч и т ь эти параметры . |
|
|
|
|||
ВНИМАНИЕ! Параметры групповой политики компьютеров и пользователей
Параметры для пользователя и компьютера, как правило, не применяются в одном объекте групповой политики . В данном примере мы лишь продемонстрировали принцип применения параметров для автоматической подачи заявок.
11. |
З а к р о й т е |
о с н а с т к у |
G P M C . |
|
|
|
||
12. |
В е р н и т е с ь |
к ц е н т р у |
в ы д а ч и с е р т и ф и к а т о в и откройте окно Диспетчер сер- |
|||||
|
в е р а |
( S e r v e r M a n a g e r ) , ч т о б ы в ы б р а т ь значение |
по умолчанию, которое |
|||||
|
будет |
и с п о л ь з о в а т ь |
ц е н т р в ы д а ч и |
сертификатов |
при |
получении запросов |
||
|
с е р т и ф и к а т о в . |
|
|
|
|
|
||
13. |
В у з л е AD CS щ е л к н и т е п р а в о й |
к н о п к о й м ы ш и |
имя |
сервера с центром |
||||
|
в ы д а ч и с е р т и ф и к а т о в |
и п р и м е н и т е команду Свойства |
(Properties). |
|||||
14. |
П е р е й д и т е иа в к л а д к у |
М о д у л ь п о л и т и к и (Policy Module) и щелкните кноп- |
||||||
|
к у С в о й с т в а ( P r o p e r t i e s ) . |
|
|
|
|
15. |
Д л я а в т о м а т и ч е с к о й в ы д а ч и |
сертификатов установите флажок |
Следовать |
||
|
п а р а м е т р а м , у с т а н о в л е н н ы м |
в ш а б л о н е сертификата, если они |
примени- |
||
|
мы, |
и н а ч е а в т о м а т и ч е с к и в ы д а в а т ь с е р т и ф и к а т |
(Follow The Settings In |
||
|
T h e |
Certificate Template, If Applicable. Otherwise, |
Automatically |
Issue The |
|
|
Certificate) . Щ е л к н и т е O K . |
|
|
|
|
16. |
Вновь щ е л к н и т е O K , чтобы закрыть диалоговое окно Свойства (Properties). |
||||