O'Reilly logo

Aktualisieren Ihrer MCSA/MCSE-Zertifizierung auf Windows Server 2008 MCTS - Original Microsoft Training für Examen 70-648 und 70-649 by Ian L. McLean, Orin Thomas

Stay ahead with the world's most comprehensive technology and business learning platform.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, tutorials, and more.

Start Free Trial

No credit card required

Lektion 1: Verwalten und Warten von Zertifikatservern 353
Weitere Informationen Zertifikatrichtlinien und Verwendungserklärungen
Ausführlichere Angaben über die Definition und Entwicklung von Zertifikatrichtlinien und
Zertifikatverwendungserklärungen finden Sie im TechNet in dem Dokument http://technet.
microsoft.com/en-us/library/cc780454.aspx.
Schnelltest
1. Wie nennt man die Richtliniendokumente, die Sie in Zusammenarbeit mit der Rechts-
abteilung Ihrer Organisation entwickeln sollten, wenn sich durch die Ausstellung von
Zertifikaten durch Zertifizierungsstellen, die Sie verwalten sollen, potenzielle Haf-
tungsansprüche ergeben?
2. Welche dieser Richtlinien bezieht sich auf die Ausstellung von Zertifikaten und wel-
che auf die Verwaltung der Zertifizierungsstelle?
Antwort zum Schnelltests
1. Zertifikatrichtlinien und Zertifikatverwendungserklärungen.
2. Zertifikatrichtlinien beziehen sich auf die Ausstellung von Zertifikaten, Zertifikat-
verwendungserklärungen auf die Verwaltung der Zertifizierungsstelle.
Verwalten der Zertifikatdiensterollen
Die Active Directory-Zertifikatdienste sind eine integrale Komponente der Sicherheitsinfra-
struktur einer Organisation. Viele Organisationen teilen die Verantwortlichkeit für verschie-
dene Aspekte der Sicherheitsinfrastruktur unter mehreren Leuten auf. Die Aufteilung dieser
Zuständigkeiten ist eine Sicherheitsmaßnahme, mit der sichergestellt werden kann, dass sich
nicht alle Befugnisse auf dieselbe Person konzentrieren. Diese Aufteilung der wichtigen
Verantwortlichkeiten wird Rollentrennung genannt. Die Active Directory-Zertifikatdienste
unterstützen die Rollentrennung. Daher können Organisationen die Verantwortung für die
Verwaltung des Servers von der Verantwortung für die eigentliche Ausstellung von Zertifi-
katen trennen.
Hinweis Überwachung und eingeschränkte Gruppen
In Hochsicherheitsumgebungen reicht die Rollentrennung nicht aus, es ist auch erforderlich,
eine Überwachungs- und Warnungsinfrastruktur einzurichten, damit die zuständigen Leute
jeden Versuch erkennen können, die Vorgänge zu manipulieren. Sorgen Sie mit den entspre-
chenden Gruppenrichtlinien für eine Beschränkung der Mitgliedschaften der sensiblen
Gruppen, die von der Rollentrennung betroffen sind.
Es gibt vier Zertifikatdiensterollen: Zertifizierungsstellenadministrator, Zertifikatmanager,
Sicherungs-Operator und Prüfer (Auditor). Die beiden entscheidenden Rollen sind Zertifi-
zierungsstellenadministrator und Zertifikatmanager. Zugewiesen werden Zertifikatdienste-
rollen im Eigenschaftsdialogfeld der Zertifizierungsstelle durch die Zuweisung von Berech-
tigungen auf der Registerkarte Sicherheit. Wer die Rolle des Zertifizierungsstellenadminist-
rators übernimmt, entscheiden Sie durch das Gewähren der Berechtigung Zertifizierungs-
354 Kapitel 7: Active Directory-Zertifikatdienste
stelle verwalten (Abbildung 7.4). Die Rolle des Zertifikatmanagers weisen Sie durch das
Gewähren der Berechtigung Zertifikate ausstellen und verwalten zu. Wenn Sie für die Zerti-
fizierungsstellen Ihrer Organisation eine Rollentrennung durchführen wollen, vergessen Sie
nicht, dass die Gruppen der Domänen-Admins, Organisations-Admins und der lokalen
Administratoren standardmäßig über die Berechtigungen Zertifikate ausstellen und ver-
walten und Zertifizierungsstelle verwalten verfügen.
Abbildung 7.4 Konfigurieren der Zertifikatdiensterollen
Weisen Sie die Rolle des Zertifizierungsstellenadministrators den Mitarbeitern aus Ihrer Or-
ganisation zu, die für die Konfiguration und Wartung der eigentlichen Zertifizierungsstelle
zuständig sind. Benutzer, denen Sie diese Rolle zuweisen, sind in der Lage, den Zertifikat-
server zu starten und zu stoppen, Zertifizierungsstellenschlüssel zu erneuern, Schlüsselwie-
derherstellungs-Agenten zu definieren, Zertifikatmanagereinschränkungen zu konfigurieren,
Erweiterungen zu konfigurieren und – ganz wichtig – Zertifikatdiensterollen zuzuweisen.
Wenn Sie mit Rollentrennung arbeiten, ist eine entsprechende Überwachung sehr wichtig.
Schließlich wollen Sie sicherstellen, dass sich Ihre Zertifizierungsstellenadministratoren
nicht selbst als Zertifikatmanager einsetzen.
Weisen Sie die Rolle des Zertifikatmanagers den Leuten aus Ihrer Organisation zu, die für
die Genehmigung von Zertifikatanforderungen und für Zertifikatsperrungen zuständig sind.
Außerdem ist es möglich, die Rolle des Zertifikatmanagers auf bestimmte Vorlagen zu
beschränken. Sie können zum Beispiel einer Benutzergruppe die Berechtigung geben, die
Webserver-Zertifikatvorlage zu verwalten (Abbildung 7.5).
Weisen Sie die Rolle des Prüfers den Mitarbeitern Ihrer Organisation zu, die für die Über-
prüfung der Verwendung der Zertifizierungsstelle zuständig sind. Prüfer können das Sicher-
heitsereignisprotokoll der Zertifizierungsstelle einsehen und die Überwachungsereignisse
überprüfen, die mit den Active Directory-Zertifikatdiensten zu tun haben. Die Zuweisung
dieser Rolle erfolgt in den lokalen Sicherheitsrichtlinien der Zertifizierungsstelle.
Lektion 1: Verwalten und Warten von Zertifikatservern 355
Abbildung 7.5 Konfigurieren der Rolle des Zertifikatmanagers
Abbildung 7.6 Konfigurieren der Sicherungs-Operatoren
Fügen Sie unter dem Knoten Zuweisen von Benutzerrechten die Benutzerkonten oder Grup-
pen zur Richtlinie Verwalten von Überwachungs- und Sicherheitsprotokollen hinzu, die für
die Überwachung der Zertifizierungsstelle zuständig sind. Die Rolle des Sicherungs-Opera-
tors weisen Sie den Leuten zu, die für die Sicherung der Zertifizierungsstellendatenbank, der
Zertifizierungsstellenkonfiguration und der öffentlichen und geheimen Schlüssel der Zerti-
fizierungsstelle zuständig sind. Wie die Rolle des Prüfers weisen Sie die Rolle des Siche-
rungs-Operators in den lokalen Sicherheitsrichtlinien der Zertifizierungsstelle zu, indem Sie

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, interactive tutorials, and more.

Start Free Trial

No credit card required