Иерархия центров сертификации
В подходе, который описывается в данном руководстве, используется иерархическая модель доверия с единственным внутренним корневым центром сертификации. Такой подход имеет и достоинства, и недостатки, поэтому для определения того, насколько он выгоден в конкретной ситуации, иногда требуется провести более тщательный анализ. Чтобы получить дополнительные сведения об этом, обратитесь к главе Designing a Public Key Infrastructure («Проектирование инфраструктуры открытых ключей») руководства Windows Server 2003 Deployment Kit по адресу http://technet2.microsoft.com/WindowsServer/en/library/b1ee9920-d7ef-4ce5-b63c-3661c72e0f0b1033.mspx (эта ссылка может указывать на содержимое полностью или частично на английском языке).
Рис. 2. Иерархия центров сертификации
Защита корневого центра сертификации
Реализация протокола EAP-TLS от корпорации Майкрософт не будет работать, если корневой центр сертификации подключен к сети. В силу ряда веских причин, связанных с безопасностью, использовать автономный корневой центр сертификации предпочтительнее, чем корневой центр сертификации предприятия. Именно этот подход рекомендуется выбирать при реализации любой инфраструктуры открытого ключа.
Данный подход может показаться пустой тратой ресурсов, но есть методы, позволяющие при этом повторно использовать по крайней мере часть аппаратных средств корневого центра сертификации, который никогда не будет подключен к сети. Некоторые рекомендации приведены ниже.
После создания и доставки корневого сертификата в выдающий центр сертификации жесткие диски можно извлечь из корневого центра сертификации и сохранить в надежном месте, пока они не потребуются снова. Недостаток этого подхода заключается в том, что, если потребуется воспользоваться корневым центром сертификации, придется снова задействовать оборудование, к которому подключаются эти жесткие диски, прервав выполнение на нем других задач.
После создания и доставки корневого сертификата в выдающий центр сертификации можно создать резервную копию образа сервера и сохранить ее на магнитных лентах или других внешних носителях. Это позволяет снова использовать аппаратные ресурсы сервера. Однако проблема, присущая предыдущему методу, сохраняется и в этом случае.
Используйте для создания корневого центра сертификации виртуальный сервер, виртуальный ПК или другую программную виртуальную машину. После создания и доставки корневого сертификата образ виртуальной машины можно заархивировать и сохранить на внешнем носителе. Если при этом подходе использовать стандартную универсальную систему (например стандартный настольный ПК, соответствующий требованиям к оборудованию), будет легче найти необходимые аппаратные средства, когда корневой центр сертификации понадобится снова.
Создайте автономный корневой центр сертификации на старом ноутбуке и заприте его в сейфе. Это позволяет воспользоваться аппаратными ресурсами, которые в противном случае остались бы невостребованными.