Installation einer Zertifizierungsstelle unter Windows Server 2012R2 Teil 2 – Erstellen der unter geordneten CA

Dies ist Teil 2 der Reihe „Installation einer Zertifizierungsstelle unter Windows Server 2012R2“. Teil 1, ist das Einrichten einer Offline-CA. Dieser Teil behandelt die untergeordnete Active Directory Integrierte Zertifizierungsstelle.

Erstellen der Untergeordneten Zertifizierungsstelle

Die Installation der Zertifizierungsstelle ist ähnlich, nur das diesmal auch zusätzlich die Zertifizierungsrolle „Zertifizierungsstellen-Webregistrierung“ mit installiert werden muss.

Die bringt auch den Internet Information Server (IIS) mit, leider wird noch der Kompatibilitätsmodus für den IIS 6 benötigt. Nach der Installation der Active Directory Zertifizierungsstelle erfolgt wieder die Konfiguration. Die Konfiguration möchten wir direkt für die beiden Rollendienste, „Zertifizierungsstelle“ und „Zertifizierungsstellen-Webregistrierung“, durchführen.

Dieses Mal soll allerdings eine „Unternehmenszertifizierungsstelle“ eingerichtet werden, um die Integration in das Active Directory zu nutzen.

Der Zertifizierungsstellen-Typ ist diese mal auch ein anderer, es wird eine „Untergeordnete Zertifizierungsstelle“ eingerichtet.

Auch hier sollte wieder ein neuer Privater Schlüssel erzeugt werden. Die Kryptografie Einstellungen würde ich genauso wie bei der Übergeordneten CA konfigurieren. Der Name der Zertifizierungsstelle sollte wieder für Ihre Umgebung passend sein.

Da die Übergeordnete CA keine automatisierten Schnittstellen hat, exportieren wir den Zertifikatsanforderung für die untergeordnete Zertifizierungsstelle. Diese Anforderung muss anschließend in das Transferverzeichnis, in dem schon die anderen Daten der Übergeordneten CA liegen, kopiert werden.

Die Datenbankeinstellungen übernehme ich auch hier wieder.

Die Zusammenfassung sollte auch hier geprüft werden, da sich im Nachhinein nichts mehr ändern lässt.

Die Installation erfolgt mit einer Warnung, da das Zertifikat noch von der Root-CA signiert werden muss.

Nun kann in die Offline-Zertifizierungsstelle die Zertifikate Anforderung der Untergeordneten Zertifizierungsstelle importiert werden.

Anschließend muss das Zertifikat ausgestellt werden.

Nun kann unter den Ausgestellten Zertifikaten das neue Zertifikat exportiert werden.

Anschließend wird auf der Untergeordneten Zertifizierungsstelle die MMC geestartet. Fügen Sie dort das Zertifikate Snap-In für das Lokale Computerkonto hinzu. Importieren Sie das Exportierte Zertifikat der Root-CA in den Ordner „Vertrauenswürdige Stammzertifizierungsstellen“.

Als nächstes müssen die CRL und CRT Dateien nach „C:\Windows\System32\certsrv\CertEnroll“ kopiert werden, damit die Revokation Liste der Root-CA geprüft werden kann.

Anschließend können Sie in der Konsole „Zertifizierungsstelle“ das Zertifizierungsstellenzertifikat installiert.

Nach der Installation kann die Zertifizierungsstelle gestartet werden. Nach dem Start kann die Root-CA heruntergefahren werden und exportiert werden. Sinnvoll wären 1-2 Exporte an verschieden Stellen, optimaler Weise verschlüsselt.

Konfiguration der Wiederherstellbarkeit von Privaten Schlüsseln

Damit auch mal der Private Schlüssel wiederhergestellt werden kann, wenn er mal verloren geht, muss noch etwas Arbeit getan werden.

Zuerst muss das „Key Recovery Agent“ (KRA) Zertifikat veröffentlicht werden. Dazu Verwalten Sie die Zertifikatsvorlagen und Duplizieren dort die KRA-Vorlage.

Veröffentlichen Sie nun die angepasste Vorlage.

Nun müssen Sie das entsprechende Zertifikat beantragen. Melden Sie sich dazu auf einem Computer mit einem Domänen-Administrator Konto an. Öffnen Sie den lokalen Zertifikatsspeicher, und fordern ein neues Zertifikat an.

Fordern Sie das „Key Recovery Agent“ Zertifikat an.

Exportieren Sie das Zertifikat mit dem Privaten Schlüssel und sichern Sie es gut.

Jetzt muss dieses Zertifikat noch der in der Zertifizierungsstelle entsprechend hinterlegt werden. In den Eigenschaften der Zwischenzertifizierungsstelle muss der Wiederherstellungs-Agent eingetragen werden.

Im Anschluss müssen die Dienste der Zertifizierungsstelle neu gestartet werden.

Konfiguration der Zertifikatsvorlagen

Damit die Zertifizierungsstelle auch Ihre Arbeit aufnehmen kann, müssen noch die Vorlagen für die Zertifikate konfiguriert werden die im Unternehmen genutzt werden sollen.

Vorlagen gibt es viele, wichtig ist die rauszusuchen und zu konfigurieren die im Unternehmen (oder wie in meinem Fall, zu Hause) gebraucht werden.

Wenn Sie Anpassungen an den Vorlagen vornehmen möchten, müssen Sie diese duplizieren.

Es empfiehlt sich beim duplizieren entsprecht der Umgebung die Kompatibilität zu konfigurieren. Daraus resultieren neue Funktionen, Algorithmen etc. die mit den alten Betriebssystem Versionen noch nicht kompatible waren.

Wenn der Private Schlüssel wiederherstellbar sein soll, muss noch der entsprechende „Wiederherstellungs-Agent“ konfiguriert werden.

Da die Konfiguration der einzelnen Zertifikatsvorlagen abhängig vom Zweck ist, gehe ich hier nicht weiter drauf ein.

Nach der Konfiguration muss die Zertifikatsvorlage noch als „Auszustellende Zertifikatsvorlage“ konfiguriert werden.

In diesen Dialog können Sie die Zertifikatvorlagen die Sie veröffentlichen möchten einfach auswählen.

Aktivierung des automatisierten Ausstellen von Zertifikaten (Auto-Enrollment)

Um die Zertifikate automatisch auszurollen nutzen wir eine Gruppenrichtlinie, da die CA auch noch bei den Clients als vertrauenswürdige Zertifizierungsstelle eingetragen werden muss.

Dazu legen wir eine neue Gruppenrichtlinie an.

Für Benutzer finden sich die Einstellungen unter: Benutzerkonfiguration > Richtlinien > Windows Einstellungen > Sicherheitseinstellungen > Richtlinien für öffentliche Schlüssel

Für Computer findet sich die selbe Einstellung unterhalb der Computerkonfiguration.

Zusätzlichen sollten hier noch das Zertifikat der Root-CA unter „Vertrauenswürdige Stammzertifizierungsstellen“ und das Zertifikat der Sub-CA in „Zwischenzertifizierungsstellen“, beide allerdings OHNE den privaten Schlüssel!

Die Zusammenfassung der Gruppenrichtline sieht dann ungefähr so aus:

Wenn die Gruppenrichtlinie entsprechend verknüpft ist, sollten mit dem nächsten Update der Gruppenrichtlinien die ersten Computer und Benutzer Zertifikate ausgestellt werden, die Domänencontroller haben schon automatisch welche nach der Erstellung der CA erhalten. Wenn die Gruppenrichtlinie auch auf die OU der Domänen Controller angewandt wird, beantragen diese sich automatisch weitere Zertifikate, abhängig von den passenden Vorlagen die sich veröffentlicht haben.

Update:

Alle 3 Teile dieser Serie sind zusammen als PDF auf GitHub zum kostenlosen Download verfügbar.