Книга Active directory

3 . Введите путь к ф а й л а м архива и л и щ е л к н и т е к н о п к у

О б з о р ( B r o w s e ) д л я

локализации данных архива. Щ е л к н и т е

к н о п к у Д а л е е

( N e x t ) .

4. Введите пароль для открытия архива и

щ е л к и и т е к н о п к у Д а л е е

( N e x t ) .

( N e x t ) .

В предложенных далее упражнениях вы в ы п о л н и т е четыре к л

ю ч е в ы е задачи .

В упражнении 1 вы откорректируете о ш и б к и в р е а л и з а ц и и AD

CS с п о м о щ ь ю

инструмента PKI предприятия (Enterprise P K I ) . З а т е м вы

с о з д а д и т е н а с т р а и -

ваемый шаблон интерфейса для п у б л и к а ц и и с е р т и ф и к а т о в ,

а т а к ж е в к л ю ч и т е

Active Directory Certificate S e r v i c e s \ E n t e r p r i s e

P K I \ C o n t o s o - R o o t - C A \

Contoso-Issuing-CA). Щ е л к н и т е правой

к н о п к о й

центр в ы д а ч и

с е р т и ф и -

катов Contoso и просмотрите ошибки, как показано на рис. 15-10.

В конфигурации есть ошибки . К о р н е в о й СА

C o n t o s o т а к ж е

с о д е р ж и т

ошибки PKI предприятия. Эти о ш и б к и

связаны

с и с т о ч н и к а м и

з а г р у з к и

в Интернете для точки распространения

C R L ( C R L

D i s t r i b u t i o n

P o i n t )

и

А1А. Эти ошибки возникают по п р и ч и н е того,

что

т а к и х и с т о ч н и к о в

не

существует. Их нужно вручную создать

в

IIS.

Тем

не менее,

п о с к о л ь к у

развертывание AD CS интегрировано в

AD

DS,

вам

не н у ж н о

д о б а в л я т ь

Занятие 2

Настройка и и с п о л ь з о в а н и е с л у ж б сертификации Active Directory

7 7 9

е с л и д о с т у п к

н и м т р е б у е т с я

п р е д о с т а в и т ь

м о б и л ь н ы м п о л ь з о в а т е л я м

вне

H i

. Зл5«rv«rManager(SIRVtR04)

яшяшт

\ * Roles

; Name

Statu,

£*p«at»onDatelocation

л "^ActivDirectorCertific»y

ok

1/21/200)2:51-

J САCertificate

OnlinReiponder.

OK

1/21/20012:50_tdap-7//CNxCo<iU>»osuir^- -A|L

* EnterprisePKI

i .«tlAIAlocation«1

i i>jAIAlocation«2

UnableTo0~

* O;Contoso-Root-O

OK

Conto»o-biuiL! CDPlocation«1

2/12/20013:26-Id ap-7//CN г С uontoso-ng-CAj-I

CertificatTemplate•J:DettaCRlocation"1

OK

2/4/2008УМ..ldep'///CN=Contososu-ngCA|-i

•<евContoio-bsuingOJDettaCRlocation«2-CAl

UnableToD_

bttp-7/se»vtf04-<ofte»

RevokedCertifici<*j CDPlocation«2

UnableToD~

.com/Cef;

•3 !>wed Certificated

PendingRequest:!1

. FailedRequests;

' CertificatTempi;

Рис. 15-10.

Просмотр ошибок конфигурации в PKI

предприятия

5 . В у з л е Р К 1 п р е д п р и я т и я ( E n t e r p r i s e

P K I )

щ е л к н и т е правой

кнопкой м ы ш и

к о р н е в о й

С А

C o n t o s o и

п р и м е н и т е

к о м а н д у У п р а в л е н и е Ц С

( M a n a g e СА).

З а п у с т и т с я а в т о н о м н а я

к о н с о л ь

Ц е н т р с е р т и ф и к а ц и и (Certificate Authority),

с ф о к у с и р о в а н н а я

н а к о р н е в о м

С А . П о м н и т е , что диспетчер сервера может

р а б о т а т ь

л и ш ь с

л о к а л ь н ы м

с е р в е р о м . П о э т о м у

н е о б х о д и м о использовать

н е з а в и с и м у ю к о н с о л ь .

6 . Щ е л к н и т е п р а в о й к н о п к о й

м ы ш и к о р н е в о й С А

C o n t o s o и

примените

ко-

м а н д у С в о й с т в а ( P r o p e r t i e s ) .

7 . П е р е й д и т е на

в к л а д к у Р а с ш и р е н и я

( E x t e n s i o n s )

и в п о я в и в ш е м с я списке

в ы б е р и т е

р а с ш и р е н и е Т о ч к а

и с п о л ь з у ю т

д а н н ы е д л я п о и с к а

в р а з м е щ е н и я х Delta C R L (Include In CRLs,

C l i e n t s U s e

T h i s

To F i n d D e l t a

C R L Locations) и

Включать в C D P - р а с ш и -

р е н и е в ы д а н н ы х

с е р т и ф и к а т о в

( I n c l u d e I n T h e

C D P Extension O f Issued

C e r t i f i c a t e s ) .

ч а н и ю . О д н а к о

в п р о ц е с с е у с т а н о в к и AD CS этот в и р т у а л ь н ы й каталог не

и н с т а л л и р у е т с я

по у м о л ч а н и ю . К р о м е того, п о с к о л ь к у этот центр сертифи-

к а ц и и я в л я е т с я

к о р н е в ы м , он не у п р а в л я е т IIS

и будет отключен от сети.

В к а ч е с т в е т о ч к и р а с п р о с т р а н е н и я ( C D P ) н е

р е к о м е н д у е т с я у к а з ы в а т ь

Clients

В к л ю ч а т ь в C D P - р а с ш и -

рение

C D P Extension Of Issued

Certificates).

AD

CS

в

веб-

сайте по умолчанию. Однако в процессе установки AD CS этот виртуальный

ся к к о н т р о л л е р у д о м е н а , ч т о б ы п у б л и к о в а т ь ш а б л о н ы в AD

DS. Д л я этого

с л е д у е т и с п о л ь з о в а т ь в п а н е л и Д е й с т в и я (Actions) команду

Подключиться

Server 2 0 0 8 )

и щ е л к н и т е О К .

7. П р и с в о й т е

ш а б л о н у и м я

Basic EFS

WS08 и в ы б е р и т е следующие опции,

о с т а в и в все

о с т а л ь н ы е п а р а м е т р ы

п о

умолчанию .

•

На

в к л а д к е О б р а б о т к а запроса

( R e q u e s t Handling) установите флажки

А р х и в и р о в а т ь

з а к р ы т ы й к л ю ч

субъекта (Archive Subject's

Encryption

P r i v a t e

K e y ) и

И с п о л ь з о в а т ь

р а с ш и р е н н ы й симметричный

алгоритм

д л я

о т п р а в к и к л ю ч а в

ЦС ( U s e Advanced Symmetric Algorithm To Send

T h e

K e y

T o T h e С А ) .

Х р а н и л и щ е з а к р ы т ы х ключей обеспечивает и х

з а щ и т у

в

с л у ч а е у т е р и

к л ю ч е й пользователями .

•

На

в к л а д к е И м я с у б ъ е к т а ( S u b j e c t N a m e ) добавьте информацию в аль-

т е р н а т и в н о е и м я субъекта (Alternate Subject Name). Установите флажки

И м я э л е к т р о н н о й почты (E - mail N a m e ) и И м я участника-пользователя

( U P N ) ( U s e r P r i n c i p a l N a m e ( U P N ) ) .

8 . Щ е л к н и т е

О К .

9 . Щ е л к н и т е

п р а в о й к н о п к о й м ы ш и шаблон Агент восстановления EFS (EFS

Server 2 0 0 8 )

и

щ е л к н и т е О К .

11. З а д а й т е д л я

ш а б л о н а и м я EFS Recovery Agent WS08 и назначьте следующие

о п ц и и ( о с т а л ь н ы е

•

На в к л а д к е

ф и к а т в

Active

О т м е т и м , что с р о к д е й с т в и я сертификата агента восстановления намно-

го д о л ь ш е ,

чем

•

На в к л а д к е

О б р а б о т к а запроса

(Request Handling) установите флажки

А р х и в и р о в а т ь

з а к р ы т ы й к л ю ч

субъекта (Archive Subject's Encryption

P r i v a t e K e y ) и

И с п о л ь з о в а т ь

р а с ш и р е н н ы й симметричный алгоритм

д л я о т п р а в к и к л ю ч а в ЦС ( U s e Advanced Symmetric Algorithm To Send

T h e Key

To

з а щ и т у в

случае у т е р и ключей пользователями .

•

На в к л а д к е

тернативное и м я субъекта (Alternate Subject Name). Установите флажки

ц е н т р о м

с е р т и ф и к а ц и и п р и п о л у ч е н и и

запросов н а выдачу сертификата.

1. В е р н и т е с ь

к м а ш и н е

S E R V E R 0 4

и

войдите на нее как администратор до-

мена .

2 . О т к р о й т е

Д и с п е т ч е р

с е р в е р а

(Server M a n a g e r ) .

3 . В

к н о п к о й м ы ш и и м я

сервера СА Contoso

и

(Properties) .

4. П е р е й д и т е на в к л а д к у

М о д у л ь п о л и т и к и (Policy Module) и щелкните кноп-

к у С в о й с т в а ( P r o p e r t i e s ) .

5 . Д л я

а в т о м а т и ч е с к о й

в ы д а ч и

с е р т и ф и к а т о в выберите

параметр

Следовать

п а р а м е т р а м , у с т а н о в л е н н ы м

в ш а б л о н е сертификата,

если они

примени-

м ы ,

и н а ч е а в т о м а т и ч е с к и

в ы д а в а т ь с е р т и ф и к а т

(Follow T h e Settings I n

T h e

C e r t i f i c a t e T e m p l a t e , If Applicable. Otherwise,

Automatically

Issue The

о к н о С в о й с т в а ( P r o p e r t i e s ) .

В а ш

ц е н т р с е р т и ф и к а ц и и

готов

к работе и автоматически будет выдавать

с е р т и ф и к а т ы ш и ф р о в а н и я

E F S

п р и получении запросов о т пользователей

и л и к о м п ь ю т е р о в .

•

К о н ф и г у р а ц и я о т з ы в а ц е н т р о в

к о м п о н е н т о в . П е р в ы м я в л я е т с я

з ы в а с е р т и ф и к а т о в (Certificate Revocation List, CRL), вторым — перекрытие

м е ж д у C R L и р а з н о с т н ы м и

C R L ( D e l t a C R L ) , отправляемыми в ответ на

з а п р о с ы . Т р е т и й к о м п о н е н т — расписание,

используемое для публикации

с п и с к о в C R L .

•

В к а ч е с т в е ц е н т р а в ы д а ч и

с е р т и ф и к а т о в

необходимо использовать СА

п р е д п р и я т и я , п о с к о л ь к у он

п о д д е р ж и в а е т

автоматическую подачу заявок,

а т а к ж е

м о д и ф и к а ц и ю и п е р с о п а л н з а ц и ю шаблонов

сертификатов.

•

С е т е в ы е

о т в е т ч и к и м о г у т с о з д а т ь

массив систем,

обеспечивая высокую

г о т о в н о с т ь с л у ж б ы . М а с с и в м о ж е т

состоять из двух СА, играющих роль

сетевых

о т в е т ч и к о в , и л и содержать

множество серверов.

•

Д л я п о д п и с и ответов на з а п р о с ы сетевые ответчики должны использовать

с е р т и ф и к а т ы O C S P ( O n l i n e Certificate Status Protocol). Эти сертификаты

ш и ф р у ю т с о д е р ж и м о е о т к л и к а сетевого ответчика.

•

Д л я

п о л н о ф у н к ц и о н а л ь н о й работы

сетевых ответчиков также необходи-

мо

н а с т р о и т ь к о н ф и г у р а ц и ю р а с ш и р е н и я Д о с т у п

к сведениям центров

809 Службы ф е д е р а ц и и Active Directory

Глава 17

сертификата иа сервер. Вы создали

настраиваемую

к о н с о л ь с о с н а с т к о й

Сертификаты (Certificates), однако

при просмотре

с е р т и ф и к а т о в в узле

787

A.

Э т о т с е р т и ф и к а т н е л ь з я

и с п о л ь з о в а т ь

у т и л и т у

Certutil.exe.

Б .

Н е к о р р е к т н о з а д а н ы свойства безопасности шаблона сертификата.

B .

На э т о м сервере н е л ь з я загрузить сертификат Подписывание отклика

O C S P ( O C S P Response

Signing).

Г.

Этот с е р т и ф и к а т не н у ж н о загружать вручную. Он будет загружен ав-

т о м а т и ч е с к и

п р и с л е д у ю щ е м обновлении групповой политики.

Д л я

того чтобы п о п р а к т и к о в а т ь с я и

закрепить знания, полученные при изу-

ч е н и и

п р е д с т а в л е н н о г о в этой

главе

материала, вам необходимо выполнить

с л е д у ю щ и е з а д а н и я :

•

о з н а к о м и т ь с я с

р е з ю м е главы;

•

п о в т о р и т ь и с п о л ь з у е м ы е в главе

•

м е н е н и я п о л у ч е н н ы х знаний, и предложить свое решение;

•

в ы п о л н и т ь р е к о м е н д у е м ы е

упражнения;

•

С п о м о щ ь ю и н ф р а с т р у к т у р ы открытых ключей полномочия организации

м о ж н о р а с ш и р и т ь за пределы управляемой ею сети. Роль AD DS сфоку-

сирована

иа с л у ж б а х каталогов сетевой операционной системы и должна

располагаться в пределах внутренней сети. Роль AD CS можно запускать

в н у т р и и вие к о р п о р а т и в н о й сети. При использовании внутри сети AD CS

м о ж н о и н т е г р и р о в а т ь вместе с AD DS, обеспечив автоматизированную по-

дачу з а я в о к на с е р т и ф и к а т ы . При использовании вне корпоративной сети

с л у ж б ы AD CS

н е о б х о д и м о

установить в качестве автономных центров

с е р т и ф и к а ц и и и

п р и в я з а т ь

их к стороннему доверенному центру серти-

ф и к а ц и и ,

чтобы

в а ш и м сертификатам доверяли компьютерные системы,

к о т о р ы м и

вы не

управляете .

•

С е р т и ф и к а т ы м о ж н о использовать д л я различных целей, включая шифро-

вание д а н н ы х на персональных компьютерах, шифрование коммуникаций

м е ж д у

д в у м я к о н е ч н ы м и точками, защиту информации, двухфакторную

проверку подлинности, защиту беспроводных коммуникаций и многое дру-

гое. Д л я в ы п о л н е н и я всех этих задач используется роль AD CS.

•

Р а з в е р т ы в а н и е AD CS выполняется в виде иерархии и формирует цепочку

доверия между исходной и конечной точками в иерархии. Если сертифика-

ты в какой-то точке данной цепочки недействительны или срок их действия

истек,

все

с е р т и ф и к а т ы в цепочки после утратившего силу сертификата

также

станут недействительными .

•

Сетевые ответчики (Online Responder, OR) можно связать вместе для созда-

ния конфигурации массива, обеспечивающего высокую готовность службы

сетевого ответчика. В случае усложнения конфигурации развертывания