O'Reilly logo

Aktualisieren Ihrer MCSA/MCSE-Zertifizierung auf Windows Server 2008 MCTS - Original Microsoft Training für Examen 70-648 und 70-649 by Ian L. McLean, Orin Thomas

Stay ahead with the world's most comprehensive technology and business learning platform.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, tutorials, and more.

Start Free Trial

No credit card required

358 Kapitel 7: Active Directory-Zertifikatdienste
Weisen Sie die Rolle des Schlüsselwiederherstellungs-Agenten den Leuten aus Ihrer Organi-
sation zu, die für die Wiederherstellung von privaten, in der Zertifizierungsstellendatenbank
archivierten Schlüsseln zuständig sind. Ein Benutzer, der die Rolle eines Schlüsselwieder-
herstellungs-Agenten inne hat, ist zum Beispiel in der Lage, den privaten Schlüssel und das
Zertifikat wiederherzustellen, das vom verschlüsselnden Dateisystem verwendet wurde, falls
er die verschlüsselten Dateien eines anderen Benutzers wiederherstellen muss. Bevor Sie
einem Benutzer die Rolle des Schlüsselwiederherstellungs-Agenten zuweisen, sollten Sie
sicherstellen, dass Sie für das Benutzerkonto ein Zertifikat mit der Objektkennung Schlüs-
selwiederherstellungs-Agent ausgestellt haben. Die Standardzertifikatvorlage Schlüssel-
wiederherstellungs-Agent verfügt über diese Objektkennung. Sie können diese Vorlage
schützen, indem Sie genau festlegen, welche Benutzer und Gruppen Zertifikate dieses Typs
anfordern dürfen. Wenn Sie in Ihrer Organisation eine Schlüsselwiederherstellung bereit-
stellen möchten, sollten Sie die Anzahl der Leute, die Schlüsselwiederherstellungs-Agenten
sind, möglichst klein halten. Lektion 2 beschreibt die Bearbeitung der Berechtigungen auf
den Zertifikatvorlagen ausführlicher.
Bei der Wiederherstellung eines privaten Schlüssels ist es erforderlich, die Seriennummer
des fraglichen Zertifikats zu ermitteln und mit
certutil –getkey eine verschlüsselte Version
des Schlüssels aus der Zertifizierungsstellendatenbank abzurufen. Diese Funktionalität ist
auch in der Konsole Zertifizierungsstelle verfügbar, wobei das betreffende Zertifikat in der
Liste der ausgestellten Zertifikate mit der rechten Maustaste angeklickt wird. Anschließend
kann ein Benutzer mit einem Schlüsselwiederherstellungs-Agent-Zertifikat den privaten
Schlüssel mit dem Befehl
certutil –recoverkey auslesen und dann nach Bedarf importieren
oder anderen zum Import übergeben.
Weitere Informationen Mehr über das Archivieren von Verschlüsselungsschlüsseln
Weitere Informationen über das Archivieren von Verschlüsselungsschlüsseln finden Sie
in Kapitel 18, „Archivieren von Verschlüsselungsschlüsseln“, des Buchs Windows Server
2008 – PKI- und Zertifikat-Sicherheit von Brian Komar (Microsoft Press, 2008).
Sichern und Wiederherstellen der Zertifikatdatenbank
Zertifikatserver sind wichtige Komponenten der Netzwerkinfrastruktur Ihrer Organisation.
Daher sollten Sie regelmäßig eine Datensicherung durchführen. Die gebräuchlichste Metho-
de zur Sicherung der Active Directory-Zertifikatdienste ist die Systemstatussicherung. Wenn
Sie auf der Zertifizierungsstelle eine Systemstatussicherung durchführen, werden folgende
Komponenten der Zertifikatdienste gesichert:
Zertifizierungsstellendatenbank Die Zertifizierungsstellendatenbank enthält
Informationen über alle Zertifikate, die von der Zertifizierungsstelle ausgestellt oder
gesperrt wurden.
Schlüsselpaare der Zertifizierungsstelle Wenn Sie das Schlüsselpaar der Zertifizie-
rungsstelle sichern, können Sie die Zertifizierungsstelle auch nach einem Totalausfall
wiederherstellen und auf diese Weise dafür sorgen, dass alle von ihr ausgestellten Zer-
tifikate gültig bleiben. Wenn Sie das Zertifikat der Zertifizierungsstelle erneuern und
dabei ein neues Schlüsselpaar erstellen, müssen Sie nicht nur den neuen Zertifizie-
rungsstellenschlüssel sichern, sondern auch die älteren Versionen. Beachten Sie bitte,
Lektion 1: Verwalten und Warten von Zertifikatservern 359
dass das Schlüsselpaar der Zertifizierungsstelle vielleicht von der Sicherung ausge-
nommen wird, wenn ein Hardware-Sicherheitsmodul vorhanden ist. Überprüfen Sie
die Dokumentation, falls Sie eines dieser Geräte auf der Zertifizierungsstelle ver-
wenden.
Registrierungseinstellungen der Zertifikatdienste Bei einer Systemstatussiche-
rung wird die gesamte Registrierung des Computers gesichert. Das umfasst auch die
Änderungen, die bei der Installation der Zertifikatdienste vorgenommen wurden.
Auf einem Computer, auf dem Windows Server 2008 ausgeführt wird, können Sie eine Sys-
temstatussicherung durchführen, indem Sie die Windows Server-Sicherung installieren und
dann den Befehl
wbadmin start systemstatebackup –backuptarget:LaufwerksBuchstabe verwen-
den. Aus der GUI der Windows Server-Sicherung heraus können Sie zwar keine reinen
Sicherungen des Systemstatus durchführen, aber wenn Sie ein Volume sichern oder eine
vollständige Sicherung durchführen, werden die Systemstatusdaten automatisch ebenfalls
gesichert.
Eine Sicherung der Zertifizierungsstellendatenbank, der Schlüsselpaare und der Protokoll-
dateien lässt sich auch mit der Konsole Zertifizierungsstelle und mit dem Befehl
Certutil
durchführen. Um mit der Konsole Zertifizierungsstelle eine Sicherung durchzuführen, kli-
cken Sie die Zertifizierungsstelle mit der rechten Maustaste an, wählen Alle Aufgaben und
dann Zertifizierungsstelle sichern. Dadurch wird der Sicherungs-Assistent der Zertifizie-
rungsstelle gestartet. Wie Abbildung 7.9 zeigt, können Sie den privaten Schlüssel und das
Zertifizierungsstellenzertifikat ebenso sichern wie die Zertifikatdatenbank und das Zertifi-
katdatenbankprotokoll. Das Verzeichnis, in dem Sie die Sicherung speichern, muss leer sein.
Aus Sicherheitsgründen müssen Sie ein Kennwort eingeben, wenn Sie den privaten Schlüs-
sel und das Zertifizierungsstellenzertifikat sichern. Verwahren Sie jede Niederschrift dieses
Kennworts an einem sicheren Ort, getrennt von den Sicherungskopien, in denen der private
Schlüssel und das Zertifizierungsstellenzertifikat enthalten ist. Dasselbe Ergebnis erhalten
Sie mit dem Befehl
certutil –backup C:\SpeicherOrt auf der Befehlszeile.
Abbildung 7.9 Sichern der Zertifizierungsstelle

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, interactive tutorials, and more.

Start Free Trial

No credit card required