AD CS-i mallide kujundamine VPN-lüüsi ja kliendi rollide jaoks

Ettevõtte CA saab väljastada iga sertifikaadi, mida VPN vajab, ilma et ta ise kunagi lüüs oleks. Kujundustöö on otsustada, mida iga pool peab tõestama, ja seejärel, milline mall saab väljastada tõendi, mis tõestab täpselt seda. Alustan rollitabelist, kopeerin sobiva malli selle asemel, et olemasolevat kohapeal muuta, fikseerin subjekti allika rolli kaupa, avaldan tulemuse väljastavas CA-s ja registreerin ühe piloodi, enne kui keegi selle automatiseerib. Iga allpool olev samm on koht, kus töötav CA toodab ikkagi sertifikaadi, mille VPN tagasi lükkab.

Kirjuta rollitabel enne mallikonsooli avamist

Kaks rolli, kaks otstarvet. Lüüs tõestab teenuse identiteeti, seega vajab selle sertifikaat Server Authentication (1.3.6.1.5.5.7.3.1), võtme kasutust digitaalallkirja ja võtme krüpteerimise jaoks ning hostinime, millele kliendid helistavad, subjekti alternatiivses nimes. Kliendid, kes autentivad end sertifikaatidega, vajavad Client Authentication (1.3.6.1.5.5.7.3.2) ja identiteeti, mis vastab sellele, mida lüüs oma vastaspoole kontrollis ootab. Kasutaja sertifikaat ja arvuti sertifikaat ei ole vahetatavad, sest need asuvad erinevates hoidlates ja neid kasutavad erinevad protsessid.

Kirjuta iga rolli jaoks neli veergu: identiteet, mis peab ilmuma, otstarve, võtme tarbija ja kas võti tohib masinast lahkuda. See tabel otsustab hiljem iga märkeruudu ja see on ka see, mille annad üle retsensendile. Paroolipõhine kliendi autentimine on eraldi haru: kui lüüs autendib kasutajaid volituste abil, lisab kliendisertifikaatide jagamine tööd ilma tõestust lisamata.

Kopeeri mall, mitte ära muuda jagatud malli

Alusta mallist, mille otstarve on umbkaudu õige, näiteks RAS and IAS Server lüüsi jaoks või Computer domeeniga liidetud seadmete jaoks, seejärel kopeeri see ja anna koopiale nimi, mis ütleb, mille jaoks see on. Malli laiendamine, mida teised teenused juba kasutavad, on muudatus, mis kuus nädalat hiljem katki teeb midagi mitteseotut. Koopial sea rakendusepoliitikad rollitabeli otstarbele, hoia võtme kasutus sellega kooskõlas, vali võtmealgoritm ja pikkus, mida sinu lüüsid aktsepteerivad, ja märgi privaatvõti mitteeksporditavaks, kui seade ei pea seda teisaldamiseks eksportima.

Kehtivus ja uuendamine kuuluvad samuti malli juurde. Lühike eluiga on kergem tühistada ja raskem käitada; pikk eluiga vähendab registreerimistööd ja pikendab lekkiva võtme eksponeeritust. Vali number, mida suudad kaitsta, ja arvesta, et CA enda kehtivus ja malli uuendusperiood võivad tulemust lühendada.

Otsusta, kust subjekt tuleb

Domeeni arvuti või kasutaja jaoks ehita subjekt kataloogiinfost, et taotleja ei saaks nime trükkida. Lüüsi jaoks, mis ei ole domeeniga liidetud, või seadme jaoks, mille identiteet määratakse väljaspool AD-d, vajab mall selle asemel kontrollitud taotlusrada. Taotleja esitatud subjekti ja alternatiivsete nimede lubamine on tõeline otsus: see ei ole litsents iga registreeritu jaoks nõuda ükskõik millist nime, ja CA-poolne poliitika peab ikkagi ütlema, kes tohib küsida ja millist tõestust on vaja.

Windows IKEv2 on siin range. Lüüsi sertifikaati võrreldakse nimega, mille klient seadistas, seega peab DNS-nimi olema olemas seal, kust klient seda otsib, tavaliselt dNSName-kirje subjekti alternatiivses nimes. Nimekontrolli või otstarbe kontrolli väljalülitamine, et sobimatu sertifikaat töötaks, eemaldab kontrolli, mis oleks tootmises sobimatuse kinni püüdnud.

Avalda mall, seejärel kitsenda õigusi

Malliobjekti loomine AD DS-is ja selle avaldamine väljastavas CA-s on eraldi toimingud, mida tehakse erinevates konsoolides. Avalda koopia Certification Authority konsoolist jaotises Certificate Templates, seejärel kontrolli käsurealt, et CA pakub seda nüüd:

certutil -CATemplates
certutil -TCAInfo

Õigused tulevad järgmisena. Anna Read ja Enroll gruppidele, kes peaksid seda taotlema, ja mitte rohkem, hoia CA enda lugemisõigus puutumatuna ja anna Autoenroll ainult seal, kus automaatne registreerimine on kavatsetud ja mida toetab juurutuspoliitika, mis selle toimima paneb. Märkeruut mallis ei registreeri iseenesest midagi ja avaldatud mall ilma registreerimisõiguseta loob portaali, mis loetleb sertifikaadi ja seejärel keeldub taotlusest.

Registreeri üks piloot päris tarbijas

Taotle sertifikaati kontekstis, mis seda kasutab, seejärel uuri, mis tagasi tuli, selle asemel et usaldada failinime. Kasutaja sertifikaat maandub praeguse kasutaja hoidlasse ja arvuti sertifikaat kohaliku arvuti hoidlasse ning MMC näitab mõlemat, mistõttu registreerimine, mis “töötas”, võib VPN-teenuse jaoks siiski nähtamatuks jääda.

certlm.msc
certutil -dump vpn-gateway.cer

Loe dumpi subjekti, alternatiivsete nimede, laiendatud võtmekasutuse ja ahela kohta. Kui lüüs ei ole Windows, esita taotlus toetatud töövoo kaudu selle asemel, et eeldada, et domeeni automaatne registreerimine jõuab selleni, ja kinnita, et eksporditud vorming on see, mille tarbija impordib koos oma vastava privaatvõtmega. Lõpuks hoia usaldus ja volitus lahus: VPN peab ikkagi otsustama, millised kasutajad või seadmed jõuavad millistele ressurssidele, ja tühistamine eemaldab juurdepääsu ainult siis, kui lüüs üldse tühistamist kontrollib. Microsofti juhend sertifikaadimallide haldamise kohta katab mallikonsooli, õigused ja eraldi avaldamissammu.