Referat Instalarea Si Configurarea Microsoft Certificate Server
Mai jos puteti citi fragmente din
Referat Instalarea Si Configurarea Microsoft Certificate Server si de asemenea puteti face
Download Referat Instalarea si configurarea Microsoft Certificate ServerCiteste fragmente din Referat Instalarea Si Configurarea Microsoft Certificate Server
Instalarea si configurarea Microsoft
Certificate Server * 445
Utilizeze un director partajat pentru certificatele pe care le
emite.Acest lucru este folositor daca nu se utilizeaza Active Dirrectory
sau daca exista clienti care se asteapta sa obtina certificate numai
dintr-un fisier pe disc.
Casetan de validare Preserver Existing Certificate Database permite
reinstalarea CA peste o instalare existenta.De exemplu,pentru un
calculator care trebuie transformat din modul independent in modul
enterprise sau pentru un calculator care trebuie transformat din modul
independent in modul enterprise sau pentru care se doreste reinstalarea
pentru a modifica numele CA sau apartenenta la Active Directory,bifarea
acestei casete instruieste programul de instalare sa nu stearga
certificatele vechi.
(NOTA Asigurati-va ca locatia specificata se afla
pe un volum de
disc NTFS si ca este salvata cu
regularitate.Daca se pierd
certificatele unui CA, trebuie sa
se relanseze toate
certificatele lansate vreodata de
acel CA.
8.Dupa ce s-au completat aceste pagini,apasati butonul Next.Daca
utilizati curent serviciul www Internet Service (IIS),programul de
instalare il va opri,pentru a va putea finaliza instalarea.Dupa
accea,este necesar sa se restarteze calculatorul.Din acest
momemnt,serviciul CA va porni automat,o data cu serverul.
Instlarea componentelor Snap-in Certificates si Certificate Authority.
Gestionarea Microsoft Certificate Server presupune utilizarea a doua
componente snap-in de tip Microsoft Management Console (MMC):una pentru
gestionarea certificatelor,iar cealalta pentru gesitonarea CA.Procesul
de instalare a celor doua componente snap-in este identric si,de
obicei,se pot pastra impreuna intr-un singur fisier consola,astfel incat
sa se poata gestiona rapid toate functiile relative la certificate
pentru un calculator.
Se procedeaza astfel:
Deschideti MMC,fie cu un fisier consola existent,fie unul nou.
Selectati comanda Console > Add/Remove Snap-in ..pentru a deschide
caseta de dialog Add/Remove Snap-in.
Apasati butonul Add pentru a deschide caseta de dialog Ass Stand-Alone
Snap-in.Selectati elementul Certification Authority din lista Available
Stand-Alone Snap-Ins,apoi apasati butonul Add.
Se va deschide caseta de dialog Certification Authority.Implicit,aceasta
componenta snap-in va fi utilizata intodeauna pentru a gestiona
calculatorul local.Daca se doreste sa se redirectioneze componenta
snap-in astfel incat sa gestioneze un alt calculator,se va utiliza
butonul radio Another Computer,pentru a specifica respectivul
calculator.Caseta de validare Allow The Selected Computer To B e Changed
When Lounching From The Command Line permite modificarea tintei
componentei snap-in in orice moment.
Apasati butonul Finish si va reaparea caseta de dialog Add Stand-Alone
Snap-in de la Etapa 3.De aceasta data,selectati componenta Snap-in
Certificates,in lucl Certificate Authority,apoi apasati butonul Add.
Se va deschide caseta de dialog Certificates Snap-in ,de unde se poate
selecta setul de certificate care va fi gesionat cu ajutorul componentei
snap-in.Impleicit,butonul radio My User Account este selectta,insa se
pot gestiona calculatoare si certificate de cont de servicii – dar nu
cu acceasi componenta snap-in.Slectati tipul de certificat care se va
gestiona,apoi apasati butonul Finish.
(NOTA Pentru a gestiona cele tre tipuri de
certificate dintr-un
singur MMC , se vor adauga trei
instante ale componentei
snap-in Certificates.
Exercitiul 14.1
Instalarea Microsoft Certificate Server (MCS)
Urmati etapele descrise in continuare pentru a instala MCS:
Selectati Strt > settings > Control Panels >Add/Remove programs,apoi
butonul Add/Remove Windows Components.
Slectati Certificate Services din lista de componente.Cand caseta de
dialog de avertizare apare,apasati butonul OK.
In caseta de dialog CA Type Selection,selectati butonul Enterprise Root
contrar,selctati butonul Stand-Alone Root CA.Apasati apoi butonul Next.
Completati campurile din pagina CA Identifying Information.Asigurati-va
ca specificati un nume unic pentru CA.Apasati apoi butonul Next.
In pagina Data Storage Location,introduceti calea pentru bazele de date
pentru o referire viitoare.Apasati apoi butonul Next.
Apasati butonul Finish pentru a finaliza instalarea.
Gesionarea serverului MS Certificate
Dupa ce s-a instalata Certificate Server si componenta snap-in
CA,sunteti pregatiri pentru a va configura si a gestiona CA.Cand se
deschide componenta snap-in CA in MMC,se observa ca aceasta contine mai
multe elemente.
Daca se extinde oricare dintre nodurile CA se vor observa cinci
directoare sub acest nod:
Directorul Revoked Certificates cotine toate certificatele care au fost
revocate de aceasta CA.Odata revocat,un certificat nu poate fi
,,re-revocatâ€Â;
va ramane in CRL.
Directorul Inssued Certificates listeaza certificatele pe care acesasta
CA le-a lansat de la instalarea sa.Daca se executa dublu-click pe un
certificat,se
vor afisa proprietatile acestuia,iar un click drepata permite
revocarea
certificatului.
Directorul Pending Requests afiseaza solicitarile care sunt in firul de
asteptare in CA,asteptand acordul sau refuzul
administratorului.Enterprise
CA nu vor avea niciodata elemte in acesta lista,insa CA independete
pot
afisa mai multe solicitari la un moment dat.
Directorul Failed Requests contine toate solicitarile care au fost
respinse
sau care au esuat,incluzand CN,adresa e-mail si data primirii
pentru
solicitarea nereusita.
Directorul Policy Settings afiseaza modelele de certificate disponibile
pentru acest servere.Se poate modifica setul de modele
disponibile,executand click-dreapta pe directorul Policy Settings si
utilizand
comanda New > Certificate to Issue sau comanda Delete.Daca se
executa
click dreapta pe un model se vor afisa scopurile de certificate
disponibile
pentru acel certificat,insal nu exista nici o mdoalitate de a
modifica direct
modelul.
Fiecare direcor se extinde intr-o lista si 9 conform comportamentului
MMC standard) se poate personaliza continutul coloanelor si campurilor
din lista,utilizand subdomeniul View din meniul context.Pentru a proceda
astfel,executati click dreapta pe direcot,apoi selctati comenzile Choose
Columns..si Customize ,pana lista este configurata in modul dorit.De
asemenea,se pot defini filtre ,utilizand comanda View >Filer .. ; de
exemplu,se poate crea un filtru care sa afiseze doar certificatele care
vor expira dupa o anumita data.
Controlarea serviciului CA
Deoarece MCS este doar un alt servicu Windows 2000,se poate configura sa
porneasca la un moment dorit.Programul de instalare configureaza automat
serviciul astfel incat sa porneasca la startarea sstemului;pentru o
securitate mai buna,se poate seta sa porneasca manual,astafel incat sa
se poata lansa certificate numai la dorinta administratorului.
Ca si in cazul celorlalte servii Windows 2000, se poate utiliza
optiunea Service din componenta snap-in Computer Management pentru a
starta si a opri servciile,sepot seta asemenea, o mare parte a acestor
functii,plus unele la fel de utile potfi utilizate direct din componenta
Snap-in Certification Authority.Cand se executa click dreapta pe o CA,
se obtine accesul la mai multe comenzi care simplifica sarcinile de
gestionare zilnice;urmatoarele comenzi de baza apar in subdomeniul All
Tasks din meniul de context,care apare cand se executa click dreapta pe
CA.
Comanda Switching to a different CA
Aceasta comanda apare de fapt atunci cand se excuta click dreapta pe
nodul Certification Authority,nu pe o CA individuala.Comanda Retarget
Certification Authority permite directionarea componentei snap-in catre
o alta CA;de retinut ca in timpul instalarii s-a speciifcat ce CA se va
gestiona; in acest mod se poate schimba aceasta CA.Cand se utilizeaza
aceasta comanda,se poate cauta in retea,selectand o alta CA pentru care
aveti drepturi de gestionare.
Startarea /Oprirea serviciului
Pe langa startarea si oprirea CA folosind optiunea Services din Computer
Mnagement sau de la linia de comanda , se poate utiliza una din
comenzile Start service sau Stop service din meniul de context.ceste
opereatiuni au efect imediat, nu exista posibilitatea de a varazgandi
sau de aconfigura comanda.
Salvarea si restaurarea datelor CA
Crearea unei copii de siguranta pentru datele unei CA are loc in doua
etape si implica doua instrumente diferite.Desi acest lcuru poate parea
mai complicat decat ar fi nevoie creea unor copii corecte este critica;
daca se pierd certificatele CA nu se vor putea lansa , reinnoi sau
revoca certificate pentrul domeniul acelei CA.
Desigur salvarea datelor reste inutila daca nu exista posibilitatea de a
restaura datele atunci cand este necesar.
Salvarea datelor CA
Procesul din doua etape de creea a copiilor de siguranta pentru CA este
simplu din punct de vedere conceptural.Mai intai se utilizeaza
instrumentul Wizard Certification Authority Backup.Pentru a creea o
copie utilizabila a datelor CA.Deoarece CA isis pasteraza fisierele
deschise cat timp ruleaza nu se pot copia fisierele decat daca se
opreste serviciul;totusi instrumenstul Wizard poate copia datele
necesare si atat timp cat serviciul ruleaza.
Pentru a incepe aceasta prima etapa , executai click dreapta pe CA si
utilizati comanda Back-up CA.Dupa o prima pagina introductiva va aparea
pagina Items to back-up.Aceasta pagina este utilizata pentru a specifica
ce date vor fi salvate.
Setarile urmatoare specifica ce anume se va salva:
Setarea Private Key and CA Certificates specifica faptul ca se doreste
salvarea cheii private a CA sia certificatului asociat.Daca se
selecteaza aceasta optiune instrumenstul Wizard va solicita o aprola pe
care o va utiliza pentru a cripta cheia privata si certificatul si o
stocheaza intr-un fisier PKCS#12 Caseta de validare Configuration
Information specifica faptul ca se doreste si salvarea setarilor
CA.Serverele care fac parte din Active Directory isi stocheaza
informatiile in Add deci aceasta caseta va fi inhibata.Daca se
utilizeaza o CA independeta si se doreste salvarea configuratiei sale
trebuie sa se bifeze aceasta caseta.
CA pastreaza fisiere jurnal care inregistreaza lasnaea si revocarea
certificatelor.De asemenea va pastra un fir de asteptare cu
solicitarile in
asteptare.Daca se doreste si salvarea acestor date ( ceea ce ar
trebui sa se faca
deoarece pierderea lor inseamanc a utilizatorii finali vor trebui
sa-si refaca
solicitarile iar pierdrea jurnalelor va duce la pierderea
istoricului referitor la
lansarea certificatelor)bifati caseta de validare Issued
Certificare Log and
Pending Certificate Request Queue.Daca se opteaza pentru salvarea
jurnalul
si a fisierelor pentru sirul de asteptare se poate specifica daca
se doreste
salvarea intregului set de fisiere la fiecare salvare.(valoarea
implicita)sau doar
a acelor elemente care s-au modificat de la salvarea
anterioara(bifand caseta
de dialog Perform Incremental Backup).Salvarile incrementale reduc
volumul
deinformatii encesar pentru salvarile obisnuite insa trebuie sa se
efectueze cel
putin o salvare non incrementala.Se recomanda efectuarea salvarilor
incrementale in timpul saptamanii iar a salvarilor complete fie la
icneputul
saptamianii fie la sfarsitul acesteia.
( Campul Back-up To This Location (si butonul Browse asociat) pemrite
specificarea locului in care a fie salvate datele.Trebuie sa se
specifice un
director gol;instrumenstul Wizard va plasa un fisier
p12
(care
contine cheia privata si certificatul) si un director numit Data
Base care
contine jurnalele , firele de asteptare si baza de date
propriu-zise) in directorul
specificat.Nu se pot plasa mai multe salvari in aeclasi director
fara a le
suprascrie.
Dupa selectarea setarilor corespunzatoare apasati butonul
Next.Daca s-a opta penrtu selectarea cheii private se va solicita
introducerea
unei parole pentru a asigura datele de pe disc.Dupa accea va aparea
pagina de
sumar a instrumentului Wizard cand se apasa butonul Finish salvarea va
incepe.
Dupa ce s-a utilizat instrumesntul Wizard CA Backup pentru a face o
salvare a
datelor CA urmatorul pas necesar consta in utilziarea programului
Windows 2000 Backup (sau altui instrument penrtu Backup cum ar fi Arc
Serve sau Backupexec) pentru a salva datele ca pe disc discheta CD-R sau
pe un alt mediu.Nu sa sariti aecasta etapa.Programul Wizard CA Backup
creeaza doar o copie a datelor CA pe calculatorul local unde nu sunt mai
protejate decat datele initiale.
Restaurarea CA
Restaurarea inverseaza procesul de salvare refacand starea initaiala a
calculatorului de destinatie.Restaurarea datelor CA reprezinta procesul
invers al procesului de salvare,mai intai se restaureaza datele CA
salvate de pe mediul sau de stocare utilizand Windows 2000 Backup sau un
alt program apoi se utilizeaza instrumentul Wizard Certification
Authority Restore cu comanda restore CA.Aceste instrument Wizard permite
restaurarea datelor salvate in orice combinatie specificata.De exemplu
se paote restaura doar firul de asteptare sau sirul de asteptare si
jurnalele sau sirul de asteptare , jurnalele si cheia privata.
Exista totusi unele diferente in procesul propriu zis.Mai intai
serviciul CA trebuie sa fie oprit pentru a utiliza instrumentul Wizard
rstore;acesta se ofera sa faca aecst lucru.Pagina principala este Items
To Restore.Utilizand casetele de validare din aceasta pagina se
specifica ce se va restaura;de asemeena trebuie sa se utilizeze
controalele Restore from this location pentru a indica programului unde
gaseste salvarea specificata din care se va efectua restaurarea.
Daca se doreste salvarea mai multor salvari incrementale succesiv
( de exemplu atunci cand a trecut mai mult timp de ultima salvare
completa) trebuie mai intai sa se restaureze salvarea completa corecta
apoi sa se restaureze fiecare dintre salvarile incrementale , in ordine
corecta.Pentru a facilita aecest proces ar fi bine sa se nunmeasca
salvarile CA cu un cod care indica date la care a fost creeata salvarea.
Rennoirea certiifcatului CA
Ca si acreditarile reale si certificatele expira dupa un anumit
timp.Cand se controelaza CA se va obtine controlul si asupra intervalul
de expirare pentru certificatele pe care le lanseaza.Certificatele CA nu
reprezinta o exceptie deci va fi nevoie sa se reinnoiasca certificatele
CA la intervale regulate.Pentru CA subordonate reinnoirea este efectuata
prin solictarea unui nou certificat de la CA initiatoare,insa CA root
isi vor reinnoi singure certificatele.Exista doua moduri de a realiza
aecst lucru:
( CA poate lua cheile existenete pentru a le lega intr-un nou
certificat.Acesata este optiuena cea mai obisnuita deoarece permite
realizarea cheilor existente pentru verificare semnaturii se
semnale.Daca se face acest lucru de mai multe ori totusi CRL-ul CA poate
creste foarte multe ceea ce reduce performanele tututor componentelor
PKI.
( CA poate genera o noua pereche de chei epc are o va utiliza pentru a
creea un nou certificat.Aceasta optiune ste utila cand se doreste sau
este nevoie sa se genereze o noua cheie (deoare cea veche a fost
compromisa).In prncipiu este echivalent cu creearea unei noi CA noi
deoarece exista o noua cheie si un nou certificat.
Pentru a incepe proceul de rennoire executati cliekc drepata pe CA a
caror certificate se vor utiliza si selectati comanda Renew CA
Certificate.Va aparea un mesaj care atentioneaza ca CA trebuie stopata
pentru a rennoi certiifcatul apoi va aparea o caseta de dialog.Aceasta
caseta de dialog este utilizata pentru a specifica daca se doreste sau
nu creearea unei noi perechi de chei pentru noul certiifcat; totusi nu
se poate modifica CSP-ul sau lungimea cheii.
Configurarea CA
Ca are mai multe proprietati configurabile care controleaza modul in
care se comporta CA.Cele mai multe setari au valori implicite
rezonabile,insa exista situatii in care ste nevoie ca acestea sa fie
modificate.Toate proprietatile CA inclusiv modulul de reguli si de
iesiri sunt disponibile prin intermediul casetei de dialog Properties
care apare cand se selcetaza o CA si utilizand comanda Properties ( fie
din meniul Action fie din meniul de context)
Obiectivele
Examenului
Microsoft
Setarea proprietatilor generale
Prima pagina din caseta de dialog CA Properties este pagina
General.Majoritatea informatiilod in acesasta pagina este strict
informativa desi pagina prezinta numele si descrierea CA precum si
CSP-ul si algoritmul has utilizat , acestea nu pot fi
modificate.Detaliile certificatului CA pot fi vizualizate folosind
butonul View Certificate.
Setarea proprietatilor modulului de reguli
Pagina Policy Module este mai interesanat decat pagina General deoarece
contine si controale ce pot fi modificate.Aceasta pagina afisaza modulul
de reguli care este activ si permite configuarera modulului curent sau
trecera la un alt modul.Modulul de reguli selectat av fi aproape
intotdeauna modulul Enterprise and Stand-Alone Policy pe care Microsoft
il include in Windows 2000.In acest caz utilizati butonul Select pentru
a selecta un nou modul de reguli din lista celor inregistrate in
sistem.Butonul Configure permite setarea optiunilor pentru modelul de
reguli instalat.Cand se apasa acest buton se va deschide caseta de
dialog configuration care are urmatoarele doua pagini:
( Pagina Default Action determina modulul in care solicitarile
primite sau prelucrate cu ajutorul celor doua butoane radio:Butonul
Always Issues the Certificate ( singura optiune pentru Enterprise
CA)arata ca CA sa prelucreze imediat solicitarea iar butonul Set The
Certificare request Status To Pending arata CA sa marcheze solicitarea
ca fiind ,,in asteptare†si sa o plaseze intr-un sir de asteptare pana
cand este aprobata sau refuzata.
( Pagina X509 extension permite specificarea a doua liste de
locatii:una pentru locul in care sunt publicare CRL (cunoscuta sub
numele CRL distribution point sau CDP) si una care specifica de unde isi
pot obtine utilizatorii certificatul CA (cunoscuta sub numele Authority
Information Access Points sau AIA ).Lista de CDP si AIA sunt codificate
ca parte din certificatul CA deci orice client poate cerceta
certificatul si poate determina de CDP si AIA exista si pot si
utilizate.Implicit MCS va utiliza CDP si AIA HTTP si LDAP insa exista si
URL-uri bazate pe sisteme de fisiere.Se pot utiliza butoanele AddAIA si
AddCDP pentru a specifica alte CDP-uri sau AIA.Se poate specifica orice
Url insa nu are sens sa se specifice un URL daca nu aveti intentia sa
folositi un CRL sau Certificate CA din el.
(NOTA Daca se modifica una dintre valorile extensiilor
X.509
utilizand aceastapagina,trebuie sa se
opreasca se sa se starteze
CA inaite ca modificarile sa aiba
efect.Aceasta cerinta este
valabila pentru majoritatea
modificarilor in CA
Setarea properietatilor modului de iesire
Pagina Excite Modul este faorte similara cu pagina Policy Module;
aceasta afiseaza modulele de iesire care au fost configurate pentru a
lucra cu CA.O CA poate utiliza doar un modul de reguli la un moment dat
insa poate utiliza mai multe module de iesire care sunt executate in
secventa.De exemplu se poate folosi modulul de reguli Microsoft pentru a
publica certificatele nou lansate in Active Directory si ins istemul de
fisiere,apoi se pot folosi un modul propriu pentru a public
certiifcatele pe o apgina web sau intr-un director public Exchange.
Daca se apasa butonul Configure… , se va deschide o caseta de dailog
Properties ce contine doua casete de validare care ofera controlul
asupra locului in care sunt publicate certificatele.Optiunile
disponibile depind de aprteneta calcupatorulii CA la un domeniu Active
Directory :
( Caseta de validare Allow Certificates to be publisched in the
Actiev Directory va fi bifata implicit pentru serverele care participa
intr-un domeniu AD.Pentru a permite modulului de iesire sa incarce
certificare in AD atunci cand acesta este prezent bifati aceasta caseta.
( Caseta de validare Allow Certificates To Be Publisched To The File
System permite specificarea stocarii noilor certificate in directorul
partajat specificat cand s-a isntalat CA.
In acest moment probabil va intrebati udne sunt publicate CRL
deoarece nu exista nici o modalitate explicita de a specifica acest
lucru.
Implicit CA plaseaza intotdeauna CRL-urile nou generate in %Syetem
Root%Sytem32certservcertenrool.Fiecare CRL primeste cate un nume care
incepe cu litera ,,c†si include data la care a fost generat(in
formatul YYMMDD).Daca s-au generat mai multe CRL intr-o zi CA adauga un
numar ca sufix.De exemplu c00214,crl este sngurul CRL publicat in 14
februarie 2000,iar c0007115.crl este cel de-al ciniclea CRL publicat in
11 iunie 2000.CRL vor fi disponibile pentru clientii LDAP si HTTP (in
functie de CDP specificate) apoi s epot publica fisierele generate
oriunde se doreste.
Vizualizarea proprietatilor referitoare la stocare.
Pagina Storage atara caile in care CA sii pasteraza fisierele bazei de
datepentru certificate si pentru configuratii.Aceste valori nu pot fi
modificate dupa instalarea CA insa se poat deveni utile ca sa exuste o
modalitate de a mai verifica o data locatia fisierelor iar aceasta este
modaliattea cea mai rapida.Exista o setare care poate fi modificata:daca
CA este o CA independenta care ruelaza pe un calculator cu acces la
Actiev Directory bifarea casetei de validare Active Directory va muta
informatile de configurare ale CA in director.
Setarea proprietatilor de securitate.
Ca orice altceva din Windows 2000 serverelor MCS le pot fi atribuite
seturi proprii de permisiuni care determina cine poate vizualiza si
modifica informatiile detinute CA.Urmatoarele patru grupuri au
permisiunea sa utilizeze CA:
( Grupul Administrators are drepturile Manage,Enroll si Read
configuration.Chiar daca Manage activeaza celelalte permisiuni se
poate
dezactiva daca se doreste sa se permita administratorilor sa
inroleze utilizatori
fara a le oferi permisiuni de a gestiona CA propriu zisa.
( Grupul Authentficated users are permisiunile Enroll si Read
Configuration.
( Grupurile Domain Admins si Enterprise Admins au permisiunile
Manage,Enroll si Read Configuration.
Permisiunea Ce pot face cei care au
aceasta permisiune
Manage Sa modifice orice CA.Acordarea
sau refuzarea
acestei permisiuni
permite sau revoca celeleate
permisiuni.
Enroll Sa solicite noi certificate
pentru utilizatori sau
Calculatoare.
Read Sa cietasca doar din baza
de date
Write configuration Sa salveze modificatrile in
configuratia CA si sa le
Permanetizeze.
Read configuration Sa cietasca datele de configurare
ale CA;aceasta
implica si permisiunea
Read Control.
Read control Sa citeasca informatiile de
control pentru CA.
Delete Sa elimine obiecte din baza
de date CA.
Modify permissions Sa modifice permisiunile pentru CA si
obiectele
sale.
Modify owner Sa schimbe proprietarul obiectelor
CA
Revoke certificate Sa revoce un utilizator,un
calculator sau un certificat
CA
Approve certificate Sa aprobe sau sa refuze o
solicitare de certificat care
este marcata ,,in
asteptareâ€Â.
Read database Sa citeasca informatiile despre
certificatle din baza
de date CA.
Configurarea modelelor de certificate
O etapa in configurarea CA consta in specificarea modelelor de
certificate ce pot fi utilizate si acelor ce le pot utiliza.Cand cineva
solicita un certificat din CA,dumenavostra (dupa cum se va rescrie in
sectiunea ,,Solicitarea noilor certificate†din acest capitol) pot
solicita CA sa utilizeze un model disponibil iar certificatul oferit va
fi completat respectand regulile din model.Adaugand si eliminad modelele
si setand permisiuni in modelele instalate se pot controla ce pot face
beneficiarii permisiunilor.
Atribuirea permisiunilor pentru modele.
Permisunile pentru CA sunt setate utilizand caseta de dialog CA
Properties insa setarea permisiunilor asupra modelelor de certificate
presupune parasirea mediului familiar al componentei Snap-in
Certification Authority.Compoennta Snap-in Directory Site and Services
permite setarea permisiunilor pentru servicii pentru intreaba firma
inclusiv utilizarea modelelor de certificate si a altor componente PKI.
Pentru a seta permisiuni se procedeaza astfel:
Deschideti componenta Snap-in Active Directory Sites and Services
(aceasta poate fi instalatad aca este nevoie utilizand intructiunile din
sectiunea Instalrea componentelor Snap-in in Certificates si Certificate
Authority).
Executai click dreapta pe nodul Sites apoi selectati comada View > Sow
Services node
Extidneti nodul Services pana localizato nodul Certificate Templates si
extindeti-l si pe acesta.Acesta va umple partea din dreapta a ferestrei
MMC cu o lista a modelelor instalate.
Executai click dreapta pe modelul ale carui permisuni se vor seta apoi
selectati comadna Properties.In caseta de dialog Properties deschideti
pagina Security.
Modificati permisiunile dupa caz.Pentru a impiedica utilizatorii sa
foloseasca modelul pentru a solicita noi certificare,asigurativa ca se
interzice permisiunea Enroll pentru grupurile respective.
Activarea inrolarii automate
Utilizatorii nu sunt singurii care detin certificate;si calculatoarele
Windows detinc ertificate.In mod normala r trebui sa se lasneze manual
certificate pentru calculatoarele noi pe masura ce acestea se inscriu in
domeniul AD insa acest lucru este dificil.In schimb se poate utiliza
inrolarea automata pentru ca CA sa genereze automat un certificat nou
pentru fiecare calculator care devine membru al domeniului.Pentru a face
acest lucru trebuie sa se modifice o setare in Grup Policy Object
(GPO)pentru domeniul propriu.Se va proceda astfel:
Deschide componenta Snap-in Group Policy si utilizati-o pentru a selecta
GPO pentru care se va activa inrolare automata.
Deschideti nodul Computer Configuration pentru GPO apoi deschideti
nodurile Windows Settings , Security Settings si Publik Key Policies.Se
vor afisa patru subdirectoare,de sub nodul Publik Key Policies.
Executai click dreapta pe directorul automatic Certificare Request
Settings de sub nodul Publik Key Policies apoi utilizati comanda New
Automate Certificate Request.Se va lansa astfel instrumentul Wizatd
Automate Certificare Request.
Apasati butonul Next pentru a trece de pagina introductiva a
instrumenstului Wizard.In pagina a doua se observa lista tipurilor de
certificate care pot fi lasnaate automat pentru calculatoare.In mod
normal se va utiliza tipul de baza Computer.
Instalarea si configurarea Certificate Authority (CA)
ì¥Â@
