Domů

Windows2000

Microsoft Certificate Services

• Záležitost důvěry ve velkém podniku může být poměrně komplikovanou záležitostí. A tak se ke slovu dostává elektronický podpis a související digitální certifikáty. Ty lze získat od některé z CA, ale při potřebě důvěryhodných certifikátů může být mnohem výhodnější a levnější zřídit vlastní CA. Možnou nevýhodou zde může být určitá nedůvěra od příjemce zprávy, který není uvnitř podniku a nemusí považovat váš Certifikační úřad za důvěryhodný.

• V porovnání s používáním různých certifikátů nebo certifikátů EFS mají certifikační služby i další výhody: 1. Snadnější správa a přehled o vydávaných certifikátech. 2. Podpora různých druhů certifikátů včetně podpory přihlašování pomocí Smart Cards. 3. Centralizovaná správa - vydávání, zneplatnění a ovlivnění platnosti certifikátů.

 Instalace Služby Certificate Services

1. Skupina

• 1. V ovládacích panelech zvolte přidat nebo odebrat programy a ze součástí systému Windows 2000 instalujte "Služba Certificate Services".

• V případě skupiny zvolíme "Samostatný kořenový CÚ" ("Upřesnit možnosti" slouží k detailní konfiguraci používaného druhu certifikace - pouze pro opravdu zkušené uživatele.)

Po volbě úřadu následuje zadání podrobných informací o certifikačním úřadu

• Zadání umístění adresářů certifikační databáze (certificate database), logů (logs) databáze a  sdílené složky (shared folders) (sdílená složka není povinná).

• Před dokončením jste požádáni o potvrzení pro pozastavení služby IIS

2. Doména

• Postup je stejný jako u počítače ve skupině. Pouze volba typů certifikačních úřadů je obsáhlejší.

 Typ certifikačního úřadu (CÚ)

• Kořenový CÚ rozlehlé sítě - Základní CÚ v rozlehlé síti určený pro integraci s Active Directory.

• Podřízený CÚ rozlehlé sítě - Základní CÚ v rozlehlé síti. K činnosti potřebuje Kořenový úřad a Active Directory.

• Samostatný kořenový CÚ (SCÚ) - Základní CÚ pro malé a střední sítě, nevyžaduje Active Directory.

• Samostatný podřízený CÚ - Běžný CÚ, k činnosti potřebuje jiný základní CÚ.

• Důležitý rozdíl mezi kořenovým CÚ rozlehlé sítě a Samostatným kořenovým CÚ je v nabídce možností a konfiguraci certifikátů. U SCÚ není nastavení zásad, a tak nemůžete ovlivnit nabízené typy certifikátů. Pro naši potřebu autentifikace přihlášení do domény pomocí karty Smartcard potřebujeme Kořenový CÚ.

Používání CÚ: Získání certifikátu pro ověření pomocí Smart Card

• V prostředí Windows 2000/XP lze používat ověřování pomocí Smart Cards v různých aplikacích. Od přihlášení do systému po používání při komunikaci s VPN. Následující postup slouží k zprovoznění přihlašování do systému s kartou Smart Card. Při zavádění přihlašování pomocí Smart Card je doporučeno přidělit karty a certifikáty všem uživatelům a klasické přihlašování se jménem a heslem nepoužívat.

• Další řádky jsou příkladem nastavení pro produkt iKey. Před dalším nastavením byla vyžadována instalace ovladačů pro iKey a instalace Kořenového CÚ rozlehlé sítě.

• Pro naši potřebu potřebujeme přidat další typy certifikátů do nastavení zásad (policy settings). Z Nástrojů pro správu spusťte Certifikační úřad (Certification Authority). Přidejte certifikáty: 1. Agent pro zápis certifikátu (Enrollment Agent), 2. Uživatel karty Smart Card (Smart Card User)

• Přidání se provádí nalistováním složky Nastavení zásad, vyvoláním místní nabídky pravým tlačítkem myši, a volbou: "Nový" > "Vystavovaný Certifikát" (New > Certificate to issue)

• Z nabídky vybereme "Agent pro zápis certifikátu" (Enrollment agent) a potvrdíme tlačítkem "OK"

• Stejným způsobem vybereme šablonu: "Uživatel karty Smart Card" (Smart Card user)

Žádost o certifikát

• Pro konfiguraci a vydávání karet Smarz Card potřebujeme získat postupně 3 certifikáty:

V internetovém prohlížeči zadat jméno serveru s /certsrv 

např. http://alfa.atlguide2000.com/certsrv

• Ze serveru se po zadání jména, hesla a domény při správném oprávnění instaluje komponenta ActiveX a zobrazí úvodní stránka.

1. Certifikát uživatele

• Každý uživatel by měl mít svůj vlastní uživatelský certifikát

• Na titulní stránce www zvolíme: Žádost o certifikát > Žádost o certifikát uživatele > Odeslat (Request a certificate > User certificate request > Submit)

• Po odeslání by se po chvilce měla objevit výzva k instalaci certifikátu: "Nainstalovat Tento Certifikát" ("Install this certificate")

• Tímto získáme certifikát od CA v podniku pro šifrování souborů EFS, identifikaci uživatele a k podepisování emailových zpráv.

2. Agent pro zápis certifikátu

• Po nakonfigurování CÚ k vydávání certifikátu "Agent pro zápis..." potřebujete vystavit certifikát pro vás. To je možné pomocí MMC a snap-in Certificates (Current Account), kde: Ve stromu zvolíte: Osobní > Certifikáty. V místní nabídce zvolíte: Všechny úkoly > Požádat o nový certifikát. V průvodci už stačí jen vybrat "Agent pro zápis Certifikátu" ke konci zvolit "Nainstalovat certifikát". 

• Personal > Certificates, All Tasks > Request New Certificate..

3. "Uživatel karty Smart Card" (Smart Card user)

• Na úvodní stránce zvolte Žádost o certifikát (Request a certificate) >

• U následující stránky vybíráte způsob žádosti (Request Type). Zvolte Advanced. >

• Zde volíte třetí možnost - Podat žádost o certifikát pro kartu Smart Card nebo za jiného uživatele pomocí terminálu Smart Card Enrollment Station (Request a certificate for a smar card on behalf of another user using the Smart Card Enrollmnet Station) >

• Následuje stránka Smart Card Enrollment Station jako poslední krok a nastavení údajů pro generování a zápis certifikátu na kartu Smart Card. Při prvním spuštění je ze serveru instalována komponenta ActiveX (Microsoft Smart Card Enrollment Station Control).

• V žádosti upřesňujete podrobnosti vydání. Nejdůležitějšími volbami jsou:

• Certificate Template - Jako šablonu volíte Smartcard User.

• Certification Authority - Obvykle zanecháváte v nezměněné, výchozí podobě.

• Cryptographic Service Provider (CSP) - Jediná funkční volba se mi ukázala "Rainbow iKey 1000 RSA Cryptographic Service Provider".

• Administrator Signing Certificate  - Pokud zde není dostupný žádný certifikát pak pravděpodobně nemáte certifikát Agent pro zápis

 Chybová hlášení

• The proper version of the ActiveX control failed to download and install. You may not have sufficient permissions. Please ask you system administrator for assistance - Nemáte patřičné oprávnění ke stažení a instalaci prvku ActiveX.

• The certifikate request could not be completed. The RPC server is unavailable. -  S podobnými nebo jinými hláškami související s Active directory naznačují problém v komunikaci. V mém případě byl problém v nevyplněné adrese serveru DNS v konfiguraci TCP/IP.

• You do not have enough smart card readers installed on thi system. You must have one smart card available after the signing certificate is selecter. - Zde může být jedna nebo více příčin.  1. Nenainstalovány ovladače čtečky Smart Card. 2. Nevložená karta Smart Card. 3. Chyba při vypnuté službě Smart Card. Ve správě služeb přepněte startovací typ (Startup type) na Automatic (výchozí je manual) a restartujte počítač.

• The user smart card you inserted does not match the selected cryptographic service provider (CSP). Please insert a differen smart card or select apropriate CSP. - Ve Windows XP nestačí pouze instalovat ovladač pro námi testovaný iKey. Musíte nasintalovat instalační balíček, kde je kromě administrativních nástrojů i podpora CSP "Rainbow iKey 1000 RSA Cryptographic Service Provider". Tuto možnost pak volíte jako CSP přil generování certifikátu.

Poznámky

• Po instalaci Služby není možné odebrání počítače z domény, popř. nemožnost změnit v budoucnu jméno počítače. Před těmito změnami musíte nejdříve odinstalovat službu Certificate Services.

• Zálohování Certifikačního Serveru - Provádí se pomocí nástroje Backup a zálohování System State

• Pro větší zabezpečení počítače a pro omezení zneužití počítače při odchodu uživatele je možné nastavit chování při vyjmutí karty Smart card.  Zásady skupiny: \ Computer Configuration \ Windows Settings \ Security Settings \ Local Policies \ Security Options : volba "Interactive logon: Smart card removal behavior" zde je na výběr: 1. Žádná akce, 2. Zamknutí stanice, 3. Odhlášení uživatele.

• Přístup k šablonám je závislý na volbě oprávnění. Oprávnění k šablonám lze zobrazit a měnit v administraci: Nástroj Active Directory Sites and Services \ Services \ Public key Services \ Certificate Templates

Šablony Dalších Certifikátů

Příbuzné odkazy

Seznam Odkazů»Zabezpečení

Tisk Verze pro tisk | Doporučit Poslat odkaz přes email