Проект внедрения PKI – конфигурирование серверов

В прошлой части - Проект внедрения PKI – базовая инфраструктура, мы разобрались с вспомогательными составляющими нашей инфраструктуры PKI. Далее давайте посмотрим непосредственно на конфигурирование серверов.

Начнем с корневого СА:

Конфигурирование Root CA

Серверу необходимо присвоить следующее DNS-Имя:

vm-ca-root.alexxhost.ru

Данные для установки корневого сервера CA:

• Role Services – Certification Authority ;
• Setup Type — Enterprise;
• CA Type— Root CA;
• Private key – Create a new private key ;
• Cryptography:
  • Криптопровайдер - RSA#Microsoft Software Key Storage Provider;
  • Длина ключа - 2048 бит;
  • Алгоритм подписи - SHA1;
• CA Name:
  • Common Name —Root-CA;
  • Distinguished name suffix – O=AlexxHost,C=RU;
• Validity Period — 15 лет;
• Certificate database – оставляем по умолчанию;

Post-install configuration

После установки роли СА на сервер необходимо сделать дополнительные настройки:

• Срок действия Base CRL —90 дней;

certutil -setreg CA\CRLPeriodUnits 90
certutil -setreg CA\CRLPeriod "Days"

• Отключаем публикацию Delta CRL;

certutil -setreg CA\CRLDeltaPeriodUnits 0
certutil -setreg CA\CRLDeltaPeriod "Days"

• Продлеваем срок жизни CRL для клиентов на 2 недели:

certutil -setreg CA\CRLOverlapPeriod "Weeks"
certutil -setreg CA\CRLOverlapUnits 2

• Срок действия издаваемых сертификатов — 10 лет;

certutil -setreg CA\ValidityPeriodUnits 10
certutil -setreg CA\ValidityPeriod "Years"

Примечание: Данные параметр может быть изменены и через реестр в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\

• Включаем полный аудит для сервера CA

certutil -setreg CA\AuditFilter 127

• Расширения CDP (CRL Distribution Point) и AIA (Authority Information Access) будут настроены в соответствии с пунктом Конфигурирование расширений CDP/AIA.
• Запрет выдачи сертификатам всем кроме издающих СА:

Удаляем все шаблоны из списка доступных для выдачи, кроме Subordinate Certification Authority.

Конфигурирование расширений CDP/AIA:

Настройки CDP/AIA производятся в свойствах СА (правой кнопкой мыши на имени СА – Properties) на вкладке Extensions.

Настройки CRL Distribution Point:

Настройки LDAP:

Удаляем все LDAP-ссылки;

C:\WINDOWS\system32\CertSrv\CertEnroll\<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

• Check box – Publish CRLs to this location
• Check box – Publish Delta CRLs to this location

File://\\S-Web-01\pki\<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

• Check box – Publish CRLs to this location

http://pki.alexxhost.ru/<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

• Check box – Include in the CDP extensions of issued certificates
• Check box – Include in CRLS. Clients use this to find Delta CRL Locations

Настройки AIA:

Настройки LDAP:

Удаляем все LDAP-ссылки;

C:\WINDOWS\system32\CertSrv\CertEnroll\<CAName><CertificateName>.crt

Галочки должны быть убраны. (Остаётся без изменений)

http://pki.alexxhost.ru/<CaName><CertificateName>.crt

• Check box – Include in the AIA extension of issued certificates

Публиковать CRT в нестандартные локации невозможно, поэтому их необходимо переименовать и переместить из папки C:\WINDOWS\system32\CertSrv\CertEnroll вручную в папку \\S-Web-01\pki

На этом закончим конфигурирование Root CA и перейдем к настройке выдающих СА:

Issuing CA

Серверу необходимо присвоить следующее DNS-Имя:

Issuing-CA-1.alexxhost.ru

Данные для установки корневого сервера CA:

• Role Services – Certification Authority ;
• Setup Type — Enterprise;
• CA Type— Subordinate CA;
• Private key – Create a new private key ;
• Cryptography:
  • Криптопровайдер - RSA#Microsoft Software Key Storage Provider;
  • Длина ключа - 2048 бит;
  • Алгоритм подписи - SHA1;
• CA Name:
  • Common Name —Issuing-CA-1;
  • Distinguished name suffix – O=AlexxHost,C=RU;
• Send a certificate…
  • Root-CA
• Certificate database – оставляем по умолчанию.

Post-install configuration

После установки роли СА на сервер необходимо сделать дополнительные настройки:

• Срок действия Base CRL —5 дней;

certutil -setreg CA\CRLPeriodUnits 5
certutil -setreg CA\CRLPeriod "Days"

• Срок действия Delta CRL – 12 часов;

certutil -setreg CA\CRLDeltaPeriodUnits 12
certutil -setreg CA\CRLDeltaPeriod "Hours"

• Продлеваем срок жизни CRL для клиентов на 1 день:

certutil -setreg CA\CRLOverlapPeriod "Days"
certutil -setreg CA\CRLOverlapUnits 1

• Срок действия издаваемых сертификатов — 5 лет (по умолчанию 2);

certutil -setreg CA\ValidityPeriodUnits 5
certutil -setreg CA\ValidityPeriod "Years"

Примечание: Данные параметр может быть изменены и через реестр в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\

• Включаем полный аудит для сервера CA

certutil -setreg CA\AuditFilter 127

• Расширения CDP (CRL Distribution Point) и AIA (Authority Information Access) будут настроены в соответствии с пунктом Конфигурирование расширений CDP/AIA.

Конфигурирование расширений CDP/AIA:

Настройки CDP/AIA производятся в свойствах СА (правой кнопкой мыши на имени СА – Properties) на вкладке Extensions.

Настройки CDP:

Настройки LDAP:

Удаляем все LDAP-ссылки;

C:\WINDOWS\system32\CertSrv\CertEnroll\<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

• Check box – Publish CRLs to this location
• Check box – Publish Delta CRLs to this location

File://\\S-Web-01\pki\<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

• Check box – Publish CRLs to this location
• Check box – Publish Delta CRLs to this location (не ставить для ROOT-CA)

http://pki.alexxhost.ru/<CaName><CRLNameSuffix><DeltaCRLAllowed>.crl

• Check box – Include in the CDP extensions of issued certificates
• Check box – Include in CRLS. Clients use this to find Delta CRL Locations

Настройки AIA:

Настройки LDAP:

Удаляем все LDAP-ссылки;

C:\WINDOWS\system32\CertSrv\CertEnroll\<CAName><CertificateName>.crt

Галочки должны быть убраны. (Остаётся без изменений)

http://pki.alexxhost.ru/<CaName><CertificateName>.crt

• Check box – Include in the AIA extension of issued certificates

Публиковать CRT в нестандартные локации невозможно, поэтому их необходимо переименовать и переместить из папки C:\WINDOWS\system32\CertSrv\CertEnroll вручную в папку \\S-Web-01\pki

Заключение

На этом все, чем я хотел поделиться с вами в рамках данного проекта. Напоследок ещё раз хочу предупредить, что не стоит воспринимать данную статью как информацию в последней инстанции!

Для более детального изучения темы PKI предлагаю ознакомиться со следующими материалами:

• Блог Вадимса Поданса, здесь вы найдете ответы на очень многие вопросы;
• Цикл бесплатных вебинаров по PKI в Windows Server 2008 R2 от Руслана Карманова – для тех кто хочет знать всё, или почти всё.