3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

Центр выдачи сертификатов готов к работе н будет автоматически выдавать сертификаты, запрашиваемые устройствами и пользователями .

Завершение настройки сетевого ответчика

В случае использования сетевых ответчиков необходимо п о л н о с т ь ю настроить их конфигурацию. Сетевые ответчики способны создать массив систем, обеспечивая таким образом высокую готовность службы . Такой массив может состоять из двух центров сертификации, и с п о л н я ю щ и х роль сетевых ответчиков, или из большего числа серверов.

Для завершения настройки сетевого ответчика н у ж н о о т к о н ф и г у р и р о в а т ь и установить сертификат Подписывание о т к л и к а O C S P ( O C S P R e s p o n s e Signing), а затем отконфигурировать для его поддержки р а с ш и р е н и е Сведения о шаблоне сертификата (Authority Information Access). После этого н у ж н о назначить данный шаблон для центра сертификации и в ы п о л н и т ь подачу з а я в к и системы для получения сертификата. Д л я настройки с е р т и ф и к а т а подписыва - ния отклика OCSP используйте следующую процедуру.

1.Войдите на сервер выдачи сертификатов, используя у ч е т н у ю з а п и с ь с правами локального администратора.

5. Установите флажок Опубликовать сертификат в Active Directory (Publish Certificate In Active Directory).

вручную найдите компьютер, управляющий сетевым ответчиком. Щелкните

8.Щелкните имя компьютера и в секции Разрешения (Permissions) диалогового окна разрешите права доступа Чтение (Read), З а я в к а (Enroll) и Автоматическая подача заявок (Autoenroll).

9.Щелкните О К, чтобы создать копию шаблона.

Шаблон сертификата готов к использованию. Теперь для поддержки сетевого ответчика необходимо отконфигурировать расширение Доступ к сведениям о центрах сертификации (Authority Information Access).

[. 7 7 2 Службы сертификации Active Directory Глава 15

Поскольку каждая конфигурация отзыва привязывается к отдельному центру сертификации, в имя конфигурации имеет смысл включить имя центра сертификации, например R C S E R V E R 0 4 .

7. Щелкните кнопку Далее (Next).

8. На странице Выберите расположение сертификата ЦС (Select СА Certificate Location) укажите, откуда будет загружаться сертификат .

Вы можете выбрать загрузку из Active Directory, локального хранилища сертификатов или файла.

9. Щелкните параметр Выберите сертификат для существующего ЦС предприятия (Select A Certificate For An Existing Enterprise C A ) и щелкните кнопку Далее (Next).

Теперь сетевой ответчик должен подтвердить, что издатель сертификата, которым в данном случае является корневой центр сертификации, располагает подлинным сертификатом. Вы можете в ы п о л н я т ь поиск сертификатов путем обзора сертификатов СА, о п у б л и к о в а н н ы х в Active Directory, или выполнять их поиск по имени компьютера .

12.Щелкните кнопку Далее (Next).

На странице Выбрать сертификат п о д п и с и (Select A Signing Certificate)

необходимо выбрать метод подписи, поскольку сетевой ответчик подписывает все отклики для клиентов. Д о с т у п н ы три опции:

• сертификат для подписи можно выбрать вручную;

•при выборе опции Сертификат ЦС ( С А Certificate) используется сертификат самого центра сертификации .

13.Выберите опцию Автоматически выбрать сертификат подписи (Automatically Select A Signing Certificate), а д л я сертификата подписи O C S P выберите параметр Автозаявка (Auto-Enroll).

14.Выберите центр подачи заявок и щелкните О К .

Будет автоматически выбран ранее подготовленный шаблон.

15.Щелкните кнопку Далее (Next).

Теперь мастер инициирует поставщика отзыва. Если мастер по каким-либо причинам не может найти поставщика, его следует добавить вручную.

16.Щелкните кнопку Поставщик (Provider), а затем щелкните кнопку Доба-

вить (Add) под секцией Базовые C R L (Base CRLs) . Например, вы можете использовать следующий адрес H T T P : http://localhost/ca.crl.

17.Щелкните ОК. Повторите эту операцию для разностных CRL (Delta CRLs) и укажите тот же HTTP-адрес. Щелкните ОК.

Поскольку вы получаете сертификат из Active Direcrtory, для адреса указанного поставщика мастер автоматически использует формат ldap://. Для получения информации и хранилища каталогов AD DS службы AD CS используют протокол LDAP (Lightweight Directory Access Protocol).

18. Щелкните кнопку Готово (Finish), чтобы завершить настройку отзыва.

Новая конфигурация должна быть указана в панели сведений. Повторите эту процедуру для каждого центра сертификации, который является сетевым ответчиком.

СОВЕТ К ЭКЗАМЕНУ

Запомните, какие операции следует выполнять для включения сетевого ответчика, поскольку это одна из тем экзамена.

Использование и управление AD CS

Управление службами роли Службы сертификации Active Directory (Active Directory Certificate Services) осуществляется с помощью оснасток ММС. В табл. 15-4 перечислены инструменты, рассматриваемые в данной главе, большинство их которых доступны в Диспетчере сервера (Server Manager).

Табл. 15-4. Средства управления AD CS

Оснастки, перечисленные в табл. 15-4, можно установить с помощью диспетчера сервера, выбрав инструменты AD CS в средствах удаленного администрирования сервера RSAT (Remote Server Administration Tools). Если на компьютере, с которого требуется выполнять удаленные административные задачи, используется система Windows Vista Service Pack 1, пакет средств удаленного администрирования сервера RSAT можно загрузить в центре загрузки Microsoft по адресу http://go.microsoft. com/fwlink/?LinkID=89361.

Занятие 2 Настройка и использование служб сертификации Active Directory 798

Табл. 15-5. (окончание)

И с п о л ь з у й т е д а н н ы е табл. 15-5 д л я быстрой идентификации сути неполадки и у с т р а н е н и я п р о б л е м ы .

К СВЕДЕНИЮ Коды событий AD CS

Более подробную информацию о типах событий AD CS можно найти но адресу

http://technet2.microsoft.com/windowsserver2008/en/library/688d1449-3086-4a79-95e6- 5a7f620681731033. mspx.

PKI предприятия

дельных центров с е р т и ф и к а ц и и с целью идентификации ошибок конфигурации и л и о п е р а ц и и в и н ф р а с т р у к т у р е PKI .

Средство P K I п р е д п р и я т и я (Enterprise P K I ) в основном используется в качестве представления диагностики и работоспособности, поскольку отображает о п е р а ц и о н н ы е д а н н ы е о членах иерархии PKI . Кроме того, PKI предприятия можно быстро привязать к каждому СА, щелкнув имя последнего правой кноп-

Containers) . С п о м о щ ь ю последней консоли можно просмотреть перечень всех команд в каталоге, которые используются д л я хранения сертификатов архи-

ботоспособности P K I . С помощью различных значков можно немедленно получить о б р а т н у ю связь с к а ж д ы м компонентом в инфраструктуре. Зеленый цвет значка означает, что компонент работоспособен, желтый указывает на незначительные неполадки, а красный свидетельствует о возникновении серьезной проблемы .

Занятие 2 Настройка и использование служб сертификации Active Directory 7 7 7

•о п ц и я База д а н н ы х сертификатов и журнал БД (Certificate Database And

Certificate D a t a b a s e Log) обеспечивает защиту сертификатов, которыми у п р а в л я е т СА . Вы т а к ж е можете выполнять инкремеитную архивацию б а з ы д а н н ы х .

и с п о л ь з у я у т и л и т у Certutil.exe с соответствующими переключателями архива- ц и и и в о с с т а н о в л е н и я б а з ы данных .

Более подробную информацию об использовании утилиты Certutil.exe для архивации

центра с е р т и ф и к а ц и и (Certification Authority Restore Wizard). Щелкнув правой к н о п к о й м ы ш и и м я сервера, выберите опцию Все задачи (All Tasks) и примените задачу Восстановление ЦС (Restore СА). Мастер сразу потребует остановить службу центра с е р т и ф и к а ц и и перед запуском операций восстановления. После остановки с л у ж б ы откроется страница приветствия мастера.

26 Зак. 3399