12.8
Autoenrollment und automatische Zertifikatanforderung
Die Wunschvorstellung ist sicherlich, dass alle Anwender und Computer ohne Zutun des Administrators ein Zertifikat erhalten. Diese Forderung gilt sowohl für bereits vorhandene als auch für zukünftig angelegte Benutzerkonten und Computer. Des Weiteren sollen abgelaufene beziehungsweise in Kürze ablaufende Zertifikate automatisch erneuert werden.
Für diese Aufgabenstellung gibt es Lösungen, und zwar das Autoenrollment und die automatische Zertifikatanforderung. Diese Verfahren eignen sich übrigens nicht nur, um Zertifikate für die Mailverschlüsselung und -signierung auszurollen, sondern kommen beispielsweise auch zur Anwendung, wenn Sie Smartcards mit Zertifikaten für die Benutzeranmeldung betanken müssen. Man kann sicherlich davon ausgehen, dass im Laufe der Zeit deutlich mehr Anwendungen spezielle Benutzerzertifikate benötigen, die natürlich immer nach Möglichkeit automatisch ausgerollt und erneuert werden sollen.
12.8.1
Automatische Zertifikatanforderung
Die automatische Zertifikatanforderung ist sehr einfach aufzusetzen, denn es muss lediglich eine Gruppenrichtlinie angepasst werden. Eine der Haupteinschränkungen ist allerdings, dass über diesen Weg nur Computerzertifikate verteilt werden können. Hauptanwendungsgebiet ist die Verteilung von Computer- oder IPSec-Zertifikaten – das geht dann aber wirklich sehr gut.
Um beispielsweise dafür zu sorgen, dass alle Computer der Domäne ein Computerzertifikat anfordern, gehen Sie wie folgt vor:
- Erstellen Sie ein neues Gruppenrichtlinienobjekt. Sie könnten die notwendigen Einstellungen zwar auch einem bestehenden Gruppenrichtlinienobjekt hinzufügen, aus Gründen der Übersichtlichkeit empfehle ich aber immer eine sinnvolle Aufteilung (Abbildung 12.50).
- Wählen Sie das Bearbeiten des neuen Gruppenrichtlinienobjekts. Dann öffnet sich der Gruppenrichtlinienverwaltungs-Editor (Abbildung 12.51).
- Navigieren Sie dort zu Computerkonfiguration · Richtlinien · Windows-Einstellungen · Sicherheitseinstellungen · Richtlinien für öffentliche Schlüssel · Einstellungen der automatischen Zertifikatanforderung. Im Kontextmenü wählen Sie das Erstellen einer neuen Zertifikatanforderung (Abbildung 12.51).
Abbildung 12.50 Aus Gründen der Übersichtlichkeit erstellen Sie am besten ein eigenes Gruppenrichtlinienobjekt.
Abbildung 12.51 Hier erstellen Sie eine automatische Zertifikatanforderung.
In dem nun startenden Assistenten können Sie die Zertifikatvorlage auswählen, auf deren Basis der Computer ein neues Zertifikat anfordern soll. Fertig!
Abbildung 12.52 In dem Assistenten wählen Sie die Zertifikatvorlage aus, auf deren Basis das neue Zertifikat registriert werden soll.
12.8.2
Autoenrollment
Wenn Sie nicht nur Computerzertifikate, sondern auch Benutzerzertifikate verteilen möchten, können Sie nicht die automatische Zertifikatanforderung verwenden, sondern müssen das Autoenrollment konfigurieren.
Die Nutzung des Autoenrollments erfordert die Einhaltung einer ziemlich engen Kompatibilitätsliste:
- Active Directory mit Windows Server 2012-, 2008- oder Windows 2003-Schema und Gruppenrichtlinien
- Domänencontroller mit dem Betriebssystem Windows Server 2012, 2008 oder Windows Server 2003. Windows 2000-DCs mit aktuellem Service Pack (ab SP3) können ebenfalls verwendet werden.
- Stammzertifizierungsstelle auf einem Windows Server 2012, 2008 oder Windows Server 2003 (Bei Betriebssystemen vor Server 2012 kann Autoenrollment nicht mit einer Zertifizierungsstelle konfiguriert werden, die auf einem Standard-Edition-Server läuft.)
- Clientbetriebssystem Windows 8/8.1, Windows 7, Windows Vista, Windows XPpro, Windows Server 2012, Windows Server 2008 oder Windows Server 2003
Konfiguration des Autoenrollments für Benutzerzertifikate
In diesem Abschnitt werde ich Ihnen die Konfiguration des Autoenrollments für Benutzerzertifikate vorführen.
Um das Autoenrollment zu konfigurieren, öffnen Sie zunächst das Snap-In Zertifikatvorlagen. Suchen Sie die Zertifikatvorlage »Benutzer«, und erstellen Sie mit dem Befehl Vorlage duplizieren eine Kopie. Das Anlegen weiterer Vorlagen ist zuvor erklärt und vorgeführt worden.
Die neu erzeugte Zertifikatvorlage muss nun konfiguriert werden. Die wichtigsten Anpassungen sind die beiden folgenden:
- Auf der Karteikarte Allgemein müssen der Vorlagenanzeigename und der Vorlagenname vorgegeben werden. Die Gültigkeitsdauer sollte aus Sicherheitsgründen nicht mehr als ein Jahr betragen. Da mit dem Autoenrollment
vor Ablauf eines Zertifikats die Anforderung eines neuen Zertifikats bearbeitet werden
kann, ist ein regelmäßiger Zertifikatstausch kein großes Problem.
Achten Sie darauf, dass die Checkbox Zertifikat in Active Directory veröffentlichen aktiviert ist (Abbildung 12.53).
Abbildung 12.53 Auf der Registerkarte »Allgemein« konfigurieren Sie unter anderem die Gültigkeitsdauer und die Veröffentlichung im Active Directory.
- Wichtig ist, dass Sie die Berechtigungen korrekt setzen: Für die Benutzer, an die
das Zertifikat ausgerollt werden soll (im Allgemeinen wird das Authentifizierte Benutzer sein), müssen die Berechtigungen Lesen, Registrieren und Automatisch Registrieren gesetzt sein (Abbildung 12.54).
Abbildung 12.54 Damit das Autoenrollment funktioniert, müssen Sie für die Benutzer die Berechtigungen »Lesen«, »Registrieren« und »Automatisch registrieren« setzen.
Natürlich gibt es noch viele andere konfigurierbare Optionen für die Zertifikatvorlage; wenn Sie die zuvor genannten setzen, genügt es für die grundlegende Funktion! Die nächsten Konfigurationsschritte werden im Snap-In Zertifizierungsstelle ausgeführt. Beachten Sie, dass die neu erstellte Zertifikatvorlage momentan noch nicht in der Zertifizierungsstelle sichtbar ist.
- Im Kontextmenü des Knotens Zertifikatvorlagen wählen Sie den Befehl Auszustellende Zertifikatvorlage (Abbildung 12.55). Dieser Befehl dient dazu, der Zertifizierungsstelle eine weitere Vorlage hinzuzufügen.
- Es erscheint nun eine Liste mit allen vorhandenen Zertifikatvorlagen; in dieser Liste
sollte auch die zuvor neu erzeugte Vorlage aufgeführt sein. Diese Vorlage wählen Sie
nun aus. Sie sollte nun im Vorlagenverzeichnis der Zertifizierungsstelle aufgeführt
sein (Abbildung 12.56).
Abbildung 12.55 Um der Zertifizierungsstelle die neu erzeugte Vorlage hinzuzufügen, wählen Sie zunächst diesen Befehl.
Abbildung 12.56 Aus der Gesamtliste wählen Sie die neu erstellte Zertifikatvorlage aus.
Die letzte Aufgabe ist nun, die Clients dazu zu bringen, ein auf der neuen Vorlage basierendes Zertifikat anzufordern. Dies lässt sich mithilfe von Gruppenrichtlinien recht einfach erledigen:
- In der Gruppenrichtlinienverwaltung erstellen Sie ein neues Gruppenrichtlinienobjekt und verknüpfen es mit einer oder mehreren Organisationseinheiten oder der Domäne (das wird ausführlich in Abschnitt 8.4.11 besprochen).
- Im Gruppenrichtlinienverwaltungs-Editor konfigurieren Sie die entsprechenden Einstellungen für Benutzer und Computer. Abbildung 12.57 zeigt die Einstellung der Benutzerkonfiguration.
Abbildung 12.57 Konfiguration der Gruppenrichtlinie für Benutzer
Wenn alles korrekt konfiguriert ist, wird einige Sekunden, nachdem sich ein Benutzer angemeldet hat, ein Zertifikat erzeugt und installiert sein. Dies funktioniert natürlich nur, wenn die Zertifizierungsstelle für die Ausgabe des Zertifikats nicht noch eine manuelle Bestätigung erfordert. (Das wird in den Eigenschaften der Zertifizierungsstelle konfiguriert.)
Ihre Meinung
Wie hat Ihnen das Openbook gefallen? Wir freuen uns immer über Ihre Rückmeldung. Schreiben Sie uns gerne Ihr Feedback als E-Mail an kommunikation@rheinwerk-verlag.de.
