Сурков Л.В. - Развёртывание служб сертификации корпоративной сети, страница 4

Также в журнал помещаются данные о планируемых отзывахсертификатов. Журнал может быть использован для восстановления данных серверасертификации после сбоя.МГТУ им. БауманаКафедра ИУ611Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev. 09Практическая частьУстановка Microsoft Certificate ServicesДля установки сервера цифровых сертификатов в мастере установки программногообеспечения (Пуск | Панель управления | Установка и удаления программ) выберите(Установка и удаление компонентов Windows | Службы сертификации)Заметьте, что если вы попытаетесь установить Службы сертификации, вам будетпредложено диалоговое окно, из которого следует, что в последствии вы не сможетепереименовать систему, примкнуть или удалить ее из домена до тех пор, пока не будутудалены Службы сертификации.Рис. 2Мастер установки Microsoft Certificate ServicesНа первом этапе предлагается определить роль устанавливаемого серверасертификатов.

Имеются 4 варианта: Корневой ЦС предприятия; Подчиненный ЦС предприятия; Изолированный корневой ЦС; Изолированный подчиненный ЦС.В случае установки ЦС не в Active Directory, первые два варианта недоступны.Если установлен флаг “Измененные параметры создания пары ключей исертификата ЦС”, то появляется возможность дополнительно указать используемые:службу криптографии, алгоритм шифования и имена имеющихся сертификатов.В случае установки подчиненного ЦС вам будет предложено указатьсоответствующий доверенный ЦС, который выдаст соответствующий сертификат ЦС.При установке корневого ЦС он сам выдает себе необходимый сертификат.На следующем шаге необходимо указать идентификационную информациюсоздаваемого ЦС.МГТУ им. БауманаКафедра ИУ612Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev.

09На последнем шаге предлагается указать расположение журнала и базы данныхсервера сертификатов.После того, как Службы сертификации установлены, сервер готов приниматьзапросы на выдачу сертификатов от клиентов. Для Изолированного ЦС эти запросыдолжны быть сделаны через web-броузер, по адресу URL http://<имя компьютера>/certsrv.Соответствующий мастер проведет вас через процесс осуществления запроса шаг зашагом.Процесс запроса сертификата также включает в себя предоставление информации опользователе, об использовании сертификата и т.д.Задание – установите изолированный корневой ЦС вместе со службой WWW(сервер приложений|служба IIS| служба WWW).Управление Certificate Services. Для управления службой сервера цифровых сертификатов служит оснастка“Certificate Authority”, устанавливающаяся вместе с сервером сертификатов.Рис.

3Оснастка “Центр сертификации”Дерево управления серверов сертификатов содержит следующие ветви: Выданные сертификаты – позволяет просмотреть список выданныхсертификатов; Запросы в ожидании – позволяет просмотреть список текущих запросов навыдачу сертификатов; Неудачные запросы – позволяет просмотреть список отклоненных запросов; Отозванные сертификаты – позволяет просмотреть список отозванныхсертификатов;Управление модулями сервера сертификацииДля управления модулями сервера сертификации в оснастке “Центр сертификации”выберите (<имя сервера сертификатов> | R-Click | Свойства).МГТУ им. БауманаКафедра ИУ613Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev.

09Рис. 4Свойства центра сертификацииНа странице “Общие” вы можете просмотреть общие настройки сервера и егосертификат ЦС.Страница “Модуль политики” позволяет выбрать и настроить используемый модульполитик сертификации. Здесь определяется действие, производимое серверомсертификатов при получении запроса на выдачу сертификата. Сервер может либо ставитьзапросы в очередь для дальнейшей проверки предоставленной информации системнымадминистратором, либо работать в автоматическом режиме.Страница «Модуль выхода» определяет, разрешается ли публикация сертификатов вфайловой системе или нет.На странице “Расширения” указываются URL и точки распространения, по которымбудут доступны список отзыва сертификатов и сертификат данного серверасертификации.МГТУ им. БауманаКафедра ИУ614Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev.

09Рис. 5Параметры модуля “Расширения”Страница “Хранилище” позволяет просмотреть расположение: базы данных сертификатов; журнала запросов; папки, в которой публикуются сертификаты в случае недоступности ActiveDirectory.Станица “Безопасность” позволяет управлять доступом к серверу сертификатов.Рис. 6Управление доступом к серверу сертификатовСтаница “Аудит” отражает политику аудита ЦС.МГТУ им. БауманаКафедра ИУ615Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev. 09Задание –изучите настройки модулей сервера ЦС.Управление шаблонами выдаваемых сертификатов в Active DirectoryДля определения списка шаблонов, выдаваемых данным сервером сертификатов,используется раздел “Policy Settings” оснастки “Certificate Authority”.Для добавления шаблона в списоквыберите (<имя сервера> | Policy Settings| R-Click | New | Certificate to issue), послечего вам будет предложено выбрать одиниз стандартных шаблонов сертификатов.Рис.

7Выбор шаблона сертификата Чтобы определить, какие типы сертификатов разрешено выдавать тому или иномупользователю, каждый шаблон сертификата имеет список контроля доступа. Правадоступа пользователей к шаблонам могут быть отредактированы в оснастке “ActiveDirectory Sites and Services” в разделе (Services | Public Key Services | Certificate Templates).Рис. 8Шаблоны цифровых сертификатов в оснастке “Active Directory Sites and Services”Работа с сертификатамиБольшинство пользовательских задач по использованию цифровых сертификатовможет быть выполнено при помощи оснастки MMC “Сертификаты”.

Для ее установки вMMC выберите (Консоль | Добавить удалить оснастку | Добавить | Сертификаты | Длямоей учетной записи). Для управления сертификатами пользователей, компьютеров ислужб требуется установить по отдельной оснастке.МГТУ им. БауманаКафедра ИУ616Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev.

09Рис. 9Оснастка MMC, “Сертификаты”.Запрос сертификатаЛюбой пользователь может запросить в свое хранилище сертификат. Для того,чтобы запросить сертификат необходимо зайти на сайт http://<имя компьютера>/certsrv/.Эта страничка устанавливается вместе центром сертификации и службой WWW.На появившейся странице необходимо выбрать «Запрос сертификата». Далее будетпредложены шаблоны сертификатов.Если выбрать пункт «расширенный запроссертификата», то на следующих шагах будет предложено указать используемых:поставщика служб криптографии и сервер сертификатов, к которому будет отосланзапрос, а также выбор способа задания запроса (явным образом или через файл запросаPKCS#10).На последнем шаге формирования запроса сертификата задается его имя икомментарий, описывающий данный сертификат в списке сертификатов.Обратите внимание на параметры расширенный запрос сертификата.

Типсертификата определят возможную область применения выдаваемого сертификата.Возможно «Пометить ключ как экспортируемый» для дальнейшей возможностьимпортировать сертификат с закрытым ключом в файл. Это бывает необходимо дляпереноса сертификата на другой компьютер, либо для сохранения его на отдельномносителе.Рис. 10МГТУ им. БауманаКафедра ИУ617Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev. 09Форма расширенного запроса на сертификат.После этого запрос отсылается на ЦС. Дальнейшие действия зависят от настройкимодуля политики сертификатов. Если он настроен на автоматическую выдачусертификатов, то на следующей странице будет предложено установить сертификат сзакрытым ключом в личное хранилище.

При не автоматической работе ЦС,администратору необходимо вручную выпустить сертификат.Процесс подтверждения для запрошенного сертификата достаточно прост.Используя инструмент Центр Сертификации в Администрировании, откройте опциюЗапросы в ожидании и выберите Выпустить или Отвергнуть запрос.После этого пользователь запросившей сертификат должен будет заново зайти настраничку http://<имя компьютера>/certsrv/, и выбрать «Просмотр состояния ожидаемогозапроса сертификата», а затем уже установить его.Просмотр сертификатаДля просмотра списка выданных вам сертификатов в оснастке “Сертификаты”выберите (Личные | Сертификаты). В правой части окна появится списоксоответствующих сертификатов. Для просмотра содержимого сертификата выберитенужный сертификат, (R-Click | Открыть).Рис.

11Просмотр содержимого сертификата.На вкладке "Общие" отображается, является ли этот сертификат доверяемым. Еслида, то ниже будут перечислены его назначения, а также кто, кому и на какой срок еговыдал.На вкладке “Состав” можно просмотреть значения полей сертификата, а на вкладке“Путь сертификации” – положение сертификата в иерархии центров сертификации.Для редактирования свойств сертификата выберите нужный сертификат, (RClick | Свойство).

Редактор свойств сертификата позволяет изменить имя сертификата,комментарий и список задач, для которых он будет использоваться.МГТУ им. БауманаКафедра ИУ618Сурков Л.В.Корпоративные сетиПрактикум «Развертывание cлужб сертификации корпоративной сети» Rev. 09Задание – Установите необходимые средства управления сертификатами и запроситеновый сертификат, поместите его в хранилище сертификатов вашего пользователя.Изучите свойства и содержимое сертификата.Управление отзывом сертификатовДля отзыва выданного сертификата в оснастке “Центр сертификации” выберите(Выданные сертификаты | <отзываемый сертификат> | R-Click | Все задачи | Отзывсертификата) и укажите причину отзыва сертификата.Списки отзыва (CRL) ЦС хранятся по адресу: WINDOWS\system32\certsrv\CertEnroll.Устанавливаются списки отзыва через контекстное меню. Там же находится и корневойсертификат ЦС.В оснастке Сертификаты CRL располагаются в (Промежуточные центрысертификации | Списки отзыва сертификатов)Список отзыва обновляется с заданным периодом, который устанавливается всвойствах «Отозванные сертификаты» в оснастке Центр сертификации.