Установка сертификата в выдающем центре сертификации

Подписанный ответ корневого центра сертификации уже создан как пакет сертификатов PKCS#7, и теперь его можно установить в выдающем центре сертификации. Для публикации сертификата центра сертификации в хранилище NTAuth службы Active Directory, которое идентифицирует центр сертификации как центр сертификации предприятия, этот сертификат нужно установить, используя учетную запись, входящую в выдающем центре сертификации в группу Enterprise PKI Admins и локальную группу Administrators. Первая группа имеет права на установку сертификата центра сертификации в каталог, а вторая — на установку сертификата на сервере центра сертификации. Если используется уже упоминавшаяся простая модель администрирования, роль CAAdmin уже является членом обеих этих групп.

Чтобы установить сертификат выдающего центра сертификации, выполните следующие действия.

1. Войдите в систему выдающего центра сертификации, используя учетную запись, входящую в группу Enterprise PKI Admins и локальную группу Administrators.

2. Вставьте диск с подписанным сертификатом, выданным корневым центром сертификации.

3. Выберите в меню «Задачи ЦС» консоли управления центром сертификации пункт «Установить сертификат», чтобы установить сертификат выдающего центра сертификации с дискеты.

После этого центр сертификации должен начать работу.

Настройка свойств выдающего центра сертификации

При выполнении следующей процедуры будут сконфигурированы специфичные для среды параметры, информация о которых была собрана при подготовке к созданию выдающего центра сертификации. Перед выполнением этого этапа важно убедиться в том, что собранная информация об организации включена в файл C:\MSSScripts\pkiparams.vbs в корневом центре сертификации и что эти изменения были также распространены на выдающий центр сертификации.

Чтобы настроить свойства корневого центра сертификации, выполните следующие действия.

1. Войдите на сервер выдающего центра сертификации как член локальной группы администраторов.

2. Убедитесь в том, что изменения, внесенные в файл C:\MSSScripts\pkiparams.vbs, соответствуют специфическим параметрам среды, описанным выше в этом разделе.

3. Выполните следующий сценарий:

Копировать код

Cscript //job:IssCAConfig C:\MSSScripts\ca_setup.wsf

Настройка административных ролей выдающего центра сертификации

Чтобы можно было использовать административные роли, описываемые в данном руководстве, они должны быть сопоставлены с группами безопасности. Как уже было сказано, несмотря на то, что большинство компаний среднего размера могут довольствоваться упрощенными ролями, данный процесс позволит реализовать детализированные роли, обеспечивающие максимальную гибкость и разделение областей ответственности.

Чтобы настроить роли в выдающем центре сертификации, выполните следующие действия.

1. Войдите на сервер выдающего центра сертификации как член локальной группы администраторов.

2. Откройте в консоли управления центром сертификации окно свойств, чтобы изменить свойства центра сертификации.

3. Откройте вкладку «Безопасность» и добавьте группы безопасности домена, указанные в следующей таблице, с соответствующими разрешениями.

Таблица 14. Разрешения на работу с выдающим центром сертификации

Группа	Разрешение	Предоставить / отказать
CA Admins	Управление центром сертификации	Предоставить
Certificate Managers	Выдача сертификатов и управление ими	Предоставить

4. Группу CA Auditors следует добавить в локальную группу администраторов, несмотря на то, что она уже была частично определена с помощью политики безопасности, заданной ранее.

Публикация сведений о выдающем центре сертификации

Сертификаты и списки отзыва сертификатов выдающего центра сертификации автоматически публикуются в службе Active Directory, но не по HTTP-путям CDP и AIA. Для автоматизации публикации сертификата центра сертификации по HTTP-путям CDP и AIA необходимо запланировать выполнение соответствующего задания.

Сертификаты центра сертификации обновляются очень редко, поэтому их можно опубликовать для AIA вручную, выполнив следующий процесс.

Чтобы установить сертификат выдающего центра сертификации, выполните следующие действия.

1. Войдите в систему выдающего центра сертификации, используя учетную запись с разрешениями на запись данных в опубликованную папку веб-сервера.

2. Обновите параметр WWW_REMOTE_PUB_PATH в файле C:\MSSScripts\PKIParams.vbs, присвоив ему путь к папке веб-сервера.

   1. Если веб-сервер установлен на удаленном сервере, убедитесь в том, что папка веб-сервера является общей, и запишите UNC-путь к этой папке.

   2. Если веб-сервер установлен на том же сервере, что и центр сертификации, запишите локальный путь к этой папке (по умолчанию используется локальный путь C:\CAWWWPub).

3. Выполните следующий сценарий, чтобы опубликовать сертификат центра сертификации на веб-сервере:

Копировать код

Cscript //job:PublishIssCertsToIIS

C:\MSSScripts\CA_Operations.wsf

Примечание.   Эта процедура разработана для внутренних веб-серверов. Если сертификаты будут опубликованы на веб-сервере, подключенном к Интернету, нужно будет выполнить ряд дополнительных действий, потому что данное решение основано на совместном доступе к файлам через сеть Windows, который обычно блокируется брандмауэрами.

Списки отзыва сертификатов публикуются чаще, чем сертификаты центра сертификации, поэтому их публикацию на веб-сервере следует автоматизировать.