O'Reilly logo

Aktualisieren Ihrer MCSA/MCSE-Zertifizierung auf Windows Server 2008 MCTS - Original Microsoft Training für Examen 70-648 und 70-649 by Ian L. McLean, Orin Thomas

Stay ahead with the world's most comprehensive technology and business learning platform.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, tutorials, and more.

Start Free Trial

No credit card required

372 Kapitel 7: Active Directory-Zertifikatdienste
Stellenkompromiss (engl. CA Compromise, Stellenkompromittierung) Wählen
Sie diesen Grund, wenn Sie das Signaturzertifikat einer untergeordneten Zertifizie-
rungsstelle sperren wollen, weil Sie vermuten, dass ein Angreifer das Sicherheitssys-
tem der Zertifizierungsstelle überwunden hat. Dadurch werden alle von dieser Zertifi-
zierungsstelle ausgestellten Zertifikate ungültig, einschließlich aller Zertifikate von
Zertifizierungsstellen, die in der Hierarchie unter dieser Zertifizierungsstelle stehen.
Zuordnung geändert (engl. Change of Affiliation) Wählen Sie diesen Grund,
wenn die Person, der Sie das Zertifikat ausgestellt haben, die Organisation verlässt
oder in der Organisation zukünftig eine andere Aufgabe übernimmt.
Abgelöst (engl. Superseded) Wählen Sie diesen Grund, wenn ein aktuelleres Zerti-
fikat ausgestellt wurde, beispielsweise wegen Änderungen in der Zertifikatvorlage,
und wenn alle für diesen Zweck zuvor ausgestellten Zertifikate ungültig sein sollen.
Vorgangsende (engl. Cease of Operation) Wählen Sie diesen Grund, wenn Sie ein
Computerzertifikat sperren wollen, das für einen Computer ausgestellt wurde, der
außer Dienst gestellt werden soll. Vielleicht stellt Ihre Organisation zum Beispiel eine
E-Commerce-Website außer Dienst, weil sich ein Markenname geändert hat, und Sie
möchten das SSL-Zertifikat dieser Website deswegen sperren.
Zertifikat blockiert (engl. Certificate Hold) Wählen Sie diesen Grund, um Zertifi-
kate zu blockieren. Das bedeutet, dass das Zertifikat nicht als gültig eingestuft werden
kann, aber auch nicht gesperrt worden ist. Es ist möglich, diesen Zustand durch die
Zuweisung des Status Aus Zertifikatsperrliste entfernen wieder aufzuheben, der nur
blockierten Zertifikaten zugewiesen werden kann.
Nicht angegeben (engl. Unspecified) Dieser Grund wird angegeben, wenn keiner
der anderen Sperrungsgründe zutrifft. Sollte die Sperrung später angezweifelt werden,
weist diese Kategorie aber den Nachteil auf, dass ein Prüfer nicht erkennen kann,
warum ein bestimmtes Zertifikat gesperrt wurde.
Beachten Sie bitte, dass eine Sperrung erst dann wirksam wird, wenn Sie die Zertifikatsperr-
liste oder Deltasperrliste veröffentlichen. Das bedeutet nicht, dass Sie bei jeder Sperrrung
eines Zertifikats automatisch auch eine neue Zertifikatsperrliste veröffentlichen sollten. Aber
Sie sollten die Leute, die für Zertifikatsperrungen zuständig sind, darauf hinweisen, dass
Sperrungen nur mit einer gewissen Verzögerung ihren Weg in die Zertifikatsperrliste finden.
Verwalten und Warten von Online-Respondern
Wenn ein Zertifikat überprüft wird und sich die erforderliche Zertifikatsperrliste nicht im
Zwischenspeicher des Clients befindet, muss die gesamte Zertifikatsperrliste und die dazu-
gehörige neuste Deltasperrliste heruntergeladen werden. Je länger die Zertifizierungsstelle in
Betrieb ist, desto länger wird auch die Zertifikatsperrliste werden. Zu Spitzenzeiten, wenn
sich zum Beispiel viele Benutzer mit ihren Smartcards anmelden, kann es wegen der starken
Belastung des Netzwerks und der Server zu spürbaren Verzögerungen kommen. Dieses
Problem können Sie unter Verwendung von OCSP (Online Certificate Status Protocol)
abschwächen.
Für eine herkömmliche Sperrungsprüfung wird die gesamte Zertifikatsperrliste gebraucht.
Bei Prüfungen mit Online-Respondern erfolgen ganz gezielt Abfragen über den Status von
bestimmten Zertifikaten. Statt die gesamte Zertifikatsperrliste über das Netzwerk zu übertra-
Lektion 2: Verwalten und Warten von Zertifikaten und Zertifikatvorlagen 373
gen, werden nur die Angaben für ein bestimmtes Zertifikat übermittelt. Die Sperrungsdaten
von einer einzelnen Zertifizierungsstelle können an mehrere Online-Responder eines Res-
ponderarrays übermittelt werden. Umgekehrt kann ein einzelner Online-Responder Sperr-
statusdaten für Zertifikate liefern, die von mehreren Zertifizierungsstellen ausgestellt wur-
den. Durch die Implementierung von Online-Respondern verringern sich die Verzögerungen
deutlich, die sich sonst bei der Sperrungsprüfung ergeben würden.
Den Rollendienst Online-Responder können Sie nur auf Computern installieren, auf denen
Windows Server 2008 ausgeführt wird. Microsoft empfiehlt, den Rollendienst Online-Res-
ponder nicht auf dem Computer bereitzustellen, auf dem bereits die Zertifizierungsstelle
läuft. Allerdings ist auch dies möglich und dürfte in kleineren Bereitstellungen der Active
Directory-Zertifikatdienste eher die gewählte Konfiguration sein. Stellen Sie den Rollen-
dienst Online-Responder bereit, nachdem Sie Ihre Zertifizierungsstelleninfrastruktur aufge-
baut haben, aber noch bevor Sie irgendwelche Zertifikate ausstellen. Dadurch wird sicher-
gestellt, dass ein Online-Responder die Sperrungsprüfungen übernimmt und nicht die
herkömmlichen Zertifikatsperrlisten verwendet werden.
Sorgen Sie vor der Bereitstellung eines Online-Responders dafür, dass Sie auf den betref-
fenden Zertifizierungsstellen die Zertifikatvorlage OCSP-Antwortsignatur für die Online-
Responder konfiguriert und aktiviert haben. Die Ausstellung der OCSP-Antwortsignatur-
zertifikate für alle Computer, auf denen der Rollendienst Online-Responder ausgeführt wird,
erfolgt mit automatischer Registrierung. Ein Online-Responder, der für mehrere Zertifizie-
rungsstellen zuständig ist, braucht von jeder dieser Zertifizierungsstellen ein OCSP-Ant-
wortsignaturzertifikat. Außerdem müssen Sie die AIA-Erweiterung der Zertifizierungsstelle
aktualisieren, wobei Sie die URL des Online-Responders hinzufügen.
Abbildung 7.17 Die Konsole Online-Responderverwaltung

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, interactive tutorials, and more.

Start Free Trial

No credit card required