3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

З а н я т ие

1

Установка

с л у ж б с е р т и ф и к а ц и и

Active

Directory

75 - ]

•

Ц е н т р С Л

в ы д а ч и

с е р т и ф и к а т о в с л е д у е т у с т а н о в и т ь в

W i n d o w s

Ser -

ver 2 0 0 8 E n t e r p r i s e

E d i t i o n

и л и

W i n d o w s Server 2008

D a t a c e n t e r Edition .

•

К о р н е в о м у

С А т р е б у ю т с я

к а к

м и н и м у м д в а диска,

а

С А в ы д а ч и серти -

•

Д л я у с т а н о в к и

с л у ж б ы N D E S

п о т р е б у е т с я о с о б а я у ч е т н а я з а п и с ь пользо -

н а

з а д а т ь д л я э т о й у ч е т н о й з а п и с и и м я N D E S S e r v i c e .

•

К л и е н т с к и е к о м п ь ю т е р ы (в и д е а л е — W i n d o w s V i s t a )

д л я запроса и

полу -

развертывании AD CS можно найти по адресу

с а м о м у

п р о ц е с с у у с т а н о в к и . Д л я установки

с е р т и ф и к а ц и и и с п о л ь з у й т е и н с т р у к ц и и , при-

В п р е д л о ж е н н ы х д а л е е у п р а ж н е н и я х в ы

с о з д а д и т е д в у х ъ я р у с н у ю архитектуру

N D E S .

Д л я в ы п о л н е н и я у п р а ж н е н и й нужно

п о д г о т о в и т ь х о т я бы

ж д е в с е г о » в н а ч а л е

в ы п о л н е н и я

у п р а ж н е н и я т а к ж е требуется

м а ш и н а S E R V E R 0 3 .

1 . В о й д и т е н а

м а ш и н у

S E R V E R 0 3 к а к а д м и н и с т р а т о р домена .

Н а с а м о м д е л е в а м

н у ж н ы л и ш ь п р а в а

д о с т у п а л о к а л ь н о г о

администра -

т о р а , о д н а к о

д л я в ы п о л н е н и я

д а н н о г о

у п р а ж н е н и я следует

использовать

р а з р е ш е н и я

д о с т у п а

а д м и н и с т р а т о р а д о м е н а . Н а сервере м о ж н о использо-

в а т ь с и с т е м ы W i n d o w s

S e r v e r 2 0 0 8 S t a n d a r d

Edition, W i n d o w s Server 2008

E n t e r p r i s e E d i t i o n и л и

W i n d o w s S e r v e r 2 0 0 8

D a t a c e n t e r Edition.

3 . На п а н е л и д е р е в а

щ е л к н и т е п р а в о й к н о п к о й м ы ш и узел Р о л и (Roles) и вы-

п о л н и т е к о м а н д у

Д о б а в и т ь р о л и ( A d d Roles).

бы сертификации Active Directory (Active D i r e c t o r y C e r t i f i c a t e

Services)

и щелкните кнопку Далее (Next) .

6 . На странице З н а к о м с т в о со с л у ж б а м и с е р т и ф и к а ц и и A c t i v e

D i r e c t o r y

(Active Directory

роли и щелкните

кнопку Далее (Next) .

сертификации

(Certification A u t h o r i t y ) и

щ е л к н и т е к н о п к у Д а л е е ( N e x t ) .

Поскольку вы

устанавливаете

к о р н е в о й

СА, к о т о р ы й будет о т к л ю ч е н от

сети сразу после создания СА

выдачи с е р т и ф и к а т о в ,

не н а з н а ч а й т е э т о м у

серверу дополнительные роли и службы .

8 . На странице

Задание типа установки (Specify S e t u p

Т у р е ) в ы б е р и т е т и п

Автономный

ЦС (Standalone)

и щ е л к н и т е к н о п к у Д а л е е ( N e x t ) .

которые будут использоваться программным

A P I - и н т е р ф е й с о м прило -

жения Microsoft Crypto для генерирования

пары к л ю ч е й этого корне -

вого СА. Поставщики CS могут быть

аппаратными и п р о г р а м м н ы м и .

Например, поставщик R S A # M i c r o s o f t

Software Key

S t o r a g e

P r o v i d e r

является программным, а поставщик

R S A # M i c r o s o f t

S m a r t

C a r d Key

Storage Provider — аппаратным.

Занятие 1

Установка служб сертификации Active Directory

75-]

.

•

Д л и н а к л ю ч а в з н а к а х определяет д л и н у ключей в паре. На странице

д о с т у п н ы

ч е т ы р е з н а ч е н и я д л и н ы . Помните: чем длиннее ключ,

тем

б о л ь ш е м о щ н о с т е й потребуется серверу для его обработки и расшиф-

р о в к и .

•

А л г о р и т м ы х э ш и р о в а н и я и с п о л ь з у ю т с я д л я генерирования и назначе-

н и я х э ш - з н а ч е н и я к л ю ч е й в паре. Поскольку они назначаются ключам,

п р и подделке к л ю ч а будет изменено хэш-значение и ключ станет недейс-

т в и т е л ь н ы м . Х э ш - з н а ч е н и я обеспечивают дальнейшую защиту ключей.

В ы б и р а е м ы й а л г о р и т м просто использует другой метод вычисления для

г е н е р и р о в а н и я х э ш - з н а ч е н и я ,

ш

П о с л е д н я я о п ц и я на этой странице обеспечивает дальнейшую защиту

к о р н е в о г о

СА, п о с к о л ь к у д л я его использования необходимы админис-

т р а т и в н ы е

п р а в а доступа . Э т а опция н у ж н а для дальнейшей защиты

д а н н о г о к о р н е в о г о СА.

12.

Щ е л к н и т е к н о п к у Д а л е е ( N e x t ) .

13. На с т р а н и ц е

З а д а н и е и м е н и ЦС (Configure C A N a m e ) введите имя Contoso-

Д а л е е ( N e x t ) .

н ы й с е р т и ф и к а т , в ы д а в а е м ы й п о цепочке.

14.

На

с т р а н и ц е

У с т а н о в и т ь с р о к д е й с т в и я (Set Validity Period) выставьте

значение 20 л е т и щ е л к н и т е кнопку Далее (Next).

15. На с т р а н и ц е

Н а с т р о й к а базы данных сертификатов (Configure Certificate

о т к р о й т е

д и с к D,

щ е л к н и т е к н о п к у Создать

папку (Make New Folder) и

задайте д л я п а п к и

и м я C e r t D a t a . Щ е л к н и т е

О К . Д л я журналов создайте

на диске

D п а п к у с и м е н е м CertLogs. Щ е л к н и т е кнопку Далее (Next).

К о р н е в о й

ц е н т р с е р т и ф и к а ц и и установлен.

[. 7 5 2

Службы сертификации Active Directory

Глава15

Службы сертификации Active Directory добавили корневой сертификат цепочки

сертификатов 0 в ыгружениое хранилище доверенных корневых цемтрое сертификации

предприятия на компьютере ЦС Это хранилище будет обновлено И5 контейнера центров

сертификации в Active Directory при следующем применении групповой политики.

Чтобы убедиться, что сертификат ЦС опубликован правильно в Active Directory,

выполните следующую команду: cwtutil -viewstore "ldap:///CN=cootoso-Raat-

j r j

•J

Имя журнала:

Приложение

•J

Подач a:

Certification Authority

Дата:

21Л 2.2008 6:56:35

Кед события;

103

Категория задачи:

Отсутствует

Уровень:

Предупреждение

Ключевые слова:

Классический

Пользователь:

S-1-5-1S

Компьютер:

SERVETO1 .contoso.com

Код операции:

Сведения

Подробности:

Веб-справка журнала

Занятие 1

Установка служб сертификации Active Directory 75-]

бы

с е р т и ф и к а ц и и Active

Directory (Active Directory Certificate

Services)

И щ е л к н и т е кнопку Далее (Next).

6. На

с т р а н и ц е З н а к о м с т в о

со службами сертификации Active

Directory

Д а л е е в ы п о л у ч и т е

с е р т и ф и к а т д л я

з а в е р ш е н и я у с т а н о в к и ц е н т р а выдачи сер-

т и ф и к а т о в . О б ы ч н о

э т у п р о ц е д у р у

н у ж н о в ы п о л н я т ь в автономном режиме с

п о м о щ ь ю с ъ е м н о г о

у с т р о й с т в а х р а н е н и я , н а п р и м е р дискеты и л и флэш - памяти

д о с т у п ( S h a r e ) .

3. В

д и а л о г о в о м о к н е

О б щ и й д о с т у п

к ф а й л у (File Sharing) выберите в рас-

к р ы в а ю щ е м с я с п и с к е г р у п п у Все

( A d d ) .

4. В

с т о л б ц е

У р о в е н ь

р а з р е ш е н и й (Permission Level) выберите в раскрываю-

щ е м с я с п и с к е у р о в е н ь

С о а в т о р

( C o n t r i b u t o r ) д л я группы Все и щелкните

к н о п к у О б щ и й д о с т у п ( S h a r e ) .

5. С к о п и р у й т е в п а п к у T e m p з а п р о с

сертификата, сгенерированный в папке

Д о к у м е н т ы ( D o c u m e n t s ) .

( A d m i n i s t r a t i v e Tools)

о т к р о й т е к о н с о л ь

Центр сертификации (Certification

A u t h o r i t y ) .

7. В

п а н е л и д е р е в а к о н с о л и

м ы ш и и м я

к о р н е в о г о

СА,

д а ч у В ы д а т ь н о в ы й

з а п р о с ( S u b m i t N e w Request).

8. В

д и а л о г о в о м о к н е

в

а д р е с н у ю с т р о к у

и

в в е д и т е

адрес

\\SERVER04\Temp. Выберите

в папке

з а п р о с и щ е л к н и т е к н о п к у О т к р ы т ь ( O p e n ) .

9. В

п а н е л и д е р е в а п е р е й д и т е в у з е л

З а п р о с ы в ожидании (Pending Request),

щ е л к н и т е

п р а в о й к н о п к о й м ы ш и

о ж и д а ю щ и й запрос в панели сведений,

в ы б е р и т е

Все з а д а ч и (All Tasks)

10.

В

п а н е л и

д е р е в а

п е р е й д и т е

в

у з е л

В ы д а н н ы е с е р т и ф и к а т ы

(Issued

Certificates), в п а н е л и с в е д е н и й

щ е л к н и т е правой кнопкой мыши

выдан-

н ы й с е р т и ф и к а т и

в ы п о л н и т е команду

О т к р ы т ь (Open) .

11.

В д и а л о г о в о м окне С е р т и ф и к а т (Certificate) перейдите на вкладку Сведения

( D e t a i l s ) и щ е л к н и т е к н о п к у Копировать в ф а й л (Copy То File) в нижней

части д и а л о г о в о г о

окна .

З а п у с т и т с я М а с т е р

12. Щ е л к н и т е

к н о п к у Д а л е е

(Next) .

( I n c l u d e All

Certificates In T h e Certification Path If

к н о п к у Д а л е е

(Next) .

няемый для пересылки з а щ и щ е н н о й

э л е к т р о н н о й

п о ч т ы по И н т е р н е -

ту. На серверах этот формат обычно

и с п о л ь з у е т с я

д л я о п е р а ц и о н н ы х

систем не на п л а т ф о р м е W i n d o w s .

Ф а й л ы с е р т и ф и к а ц и и с о з д а ю т с я

в формате CER.

•

•

Формат Personal Information Exchange

( P K C S # 1 2 )

т а к ж е и с п о л ь з у е т с я

для передачи сертификатов и их пути

в ц е п о ч к е с о д н о г о к о м п ь ю т е р а

на другой, однако этот формат т а к ж е

п о д д е р ж и в а е т п е р е д а ч у з а к р ы -

формат PFX.

•

на другой. Использует ф а й л о в ы й ф о р м а т SST.

14.

В диалоговом окне Экспортируемый ф а й л (File То E x p o r t ) щ е л к н и т е к н о п к у

Обзор (Browse) и сохраните сертификат в папке \ \ S E R V E R 0 4 \ T e m p . З а д а й -

те для файла имя Issuing-СА01 .р7Ь и щ е л к н и т е к н о п к у С о х р а н и т ь (Save) .

15.

( N e x t ) .

16.

к н о п к у Готово ( F i n i s h ) .

СА Certificate).

20. Перейдите к папке C:\Temp, выберите с е р т и ф и к а т и щ е л к н и т е к н о п к у

О т -

крыть (Open).

21. Сертификат будет импортирован на сервер.

22. Щелкните правой кнопкой м ы ш и и м я сервера,

(АН

Tasks) и щелкните задачу Запуск службы ( S t a r t

Занятие 1

Установка служб сертификации Active Directory 75-]

ВНИМАНИЕ1

Защита сертификата

з о в а т е л я в н а ч а л е н у ж н о

и с п о л ь з о в а т ь машину SERVER01 .

1. В о й д и т е на м а ш и н у

S E R V E R 0 1 как администратор домена.

Users A n d

C o m p u t e r s ) .

3 . С о з д а й т е

с л е д у ю щ у ю с т р у к т у р у подразделений: Contoso . com\Admins\

те к о м а н д у С о з д а т ь ( N e w ) ,

а затем выберите объект Пользователь (User).

5. З а д а й т е д л я п о л ь з о в а т е л я

и м я NDESService, которое используйте для вхо-

6. Н а з н а ч ь т е у ч е т н о й

з а п и с и строгий пароль. Сбросьте флажки Требовать

At N e x t L o g o n ) и

С р о к д е й с т в и я пароля не ограничен (Password Never

Expires).

9.

В программной группе Администрирование (Administrative Tools) запустите

Д и с п е т ч е р с е р в е р а (Server

10.

Разверните узел К о н ф и г у р а ц и я \ Л о к а л ь н ы е пользователи и группы\Группы

( C o n f i g u r a t i o n \ L o c a l Users

11.

Д в а ж д ы щ е л к н и т е группу

12.

Добавьте в эту группу учетную запись NDESService и щелкните ОК.

1. В

п а н е л и дерева Д и с п е т ч е р а сервера (Server Manager) щелкните пра-

вой

к н о п к о й м ы ш и узел С л у ж б ы сертификации Active Directory (Active