http___microsoftguru.com.au_hr_tag_windows-server-2008__1.xml
1.1 2.1 2.2 2.3 3.1 3.2 4.1 4.2 5.1 5.2 6.1 7.1 8.1 9.1 10.1 10.2 10.3 10.4 10.5 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 64.1 65.1 66.1 67.1 68.1 69.1 70.1 71.1 72.1 72.2 72.3 73.1 74.1 74.2 75.1 76.1 77.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 96.2 97.1 97.2 97.3 98.1 99.1 100.1 101.1 102.1 103.1 104.1 105.1 106.1 107.1 108.1 108.2 109.1 110.1 111.1 112.1 113.1 114.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 136.1 137.1 138.1 138.2 139.1 140.1 141.1 142.1 143.1 144.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 160.1 161.1 162.1 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 170.2 171.1 172.1 173.1 174.1 175.1 176.1 176.2 176.3 177.1 178.1 178.2 178.3 178.4 179.1 180.1 181.1 182.1 183.1 184.1 185.1 186.1
Active Directory Certificate Services Best Practices AD CS is composed of several role services that perform several tasks. One or more of these role services can be installed on a server as required. These role services are as follows: - Certification Authority— This role service installs the core CA component, which allows a server to issue, revoke, and manage certificates for clients. This role can be installed on multiple servers within the same root CA chain. - Certification Authority Web Enrollment— This role service handles the web-based distribution of certificates to clients. It requires Internet Information Services (IIS) to be installed on the server. - Online Responder— The role service responds to individual client requests regarding information about the validity of specific certificates. It is used for complex or large networks, when the network needs to handle large peaks of revocation activity, or when large certificate revocation lists (CRLs) need to be downloaded. - Certificate Enrollment Web Service— This new service enables users and computers to enroll for certificates remotely or from non-domain systems via HTTP. - Certificate Enrollment Web Policy Service— This service works with the related Certificate Enrollment Web Service but simply provides policy information rather than certificates. - Network Device Enrollment Service— This role service streamlines the way that network devices such as routers receive certificates. Active Directory Certificate Services Hierarchy Public Key Infrastructure must be deployed in hierarchical order to securely deliver certificates to clients, application and servers. The best way to achieve this is to deploy a Standalone Offline Root CA and Online Enterprise Subordinate CA. Offline Root CA meaning you have to shut down the CA once you obtain the CRL chain for subordinate CA. Subordinate stays powered on and joined to the domain. Offline Root CA works in a workgroup not a domain member. Standalone offline Root CA: Benefits: - Principal component of PKI infrastructure - Provide CRL sign off capacity for subordinate authority - Provide Web Enrolment for Sub-ordinate Certificate Authority - Maintain CAPolicy.inf to record OID and certificate authority validity period Online Enterprise Subordinate CA Benefits: - Subordinate Component of PKI infrastructure - Present and issue Certificates to clients - Sign off Web Certificates for application - Management point of Certificate Infrastructure - Maintain CAPolicy.inf to record OID and certificate authority validity period Certificate Services Best practices - Analyze and plan necessity of Active Directory Certificates or public key infrastructure (PKI) in your organization before deploying certification authorities (CAs) - Place database and transaction log files on separate hard drives possibly SAN - Keep the root certification authority offline and secure its signing key by hardware and keep it in a vault to minimize potential for key compromise - When changing security permissions for the certification authority (CA), always use the Certification Authority snap-in - Do not issue certificates to users or computers directly from the root certification authority - Always point client to subordinate certificate any certificates - Back up the CA database, the CA certificate, and the CA keys - Ensure that key lifetimes are long enough to avoid renewal issues - Review the concepts of security permissions and access control, since enterprise certification authorities issue certificates based on the security permissions of the certificate requester - Use Secure Sockets Layer (SSL) when using Web-based certificate enrollment Certificate Provider You have to select RSA#Microsoft Software Key Storage Provider” with sha1 if there is any Windows XP Client otherwise select RSA#Microsoft Software Key Storage Provider” with sha256 as certificate provider. Cryptographic Key Length Use 2048 bit cryptographic length for both offline Root CA and Subordinate CA. Templates - Plan certificate templates before deployment - Only Publish templates that are necessary - Duplicate new templates from existing templates closest in function to the intended template - Do not exceed the certificate lifetime of the issuing certification authority - Do not delete the Certificate Publishers security group Validity Period - Offline Standalone Root CA- 10 Years - Online Enterprise Subordinate CA- 10 Years Revocation List The following sections summarize how certificate revocation checking works. - Basic chain and certificate validation - Validating revocation information - Network retrieval and caching Revocation Best Practice - Leave the default revocation checking behavior instead of using CRLs for revocation checking - Instead of creating long listings of URLs for OCSP and CRL retrieval, consider limiting the lists to a single OCSP and a single CRL URL - Use CryptoAPI 2.0 Diagnostics to Troubleshoot Revocation Settings - Use Group Policy to Define Revocation Behavior Audit Policy Select the following Audit Policy for both Certificate Authority - Backup and restore the CA database - Change CA configuration - Change CA security settings - Issue and manage certificate request - Revoke certificates and publish CRL Backup Certificate Authority - Backup Public Key - Backup CA database - Retention: Daily increment/Monthly Full Security Permission on Template The following table summarize certificate security permission in AD CS. Security Permission on Servers You must create role separation in Active Directory Certificate Services to provide greater control on Certificate Authority. To enable Role separation, Open Elevated command prompt and type certutil -setreg ca\RoleSeparationEnabled 1. The following table describe role separation for AD CS. The Following are the messy configurations you must avoid when installing a Certificate Authority. - Do not install Certificate Authority on any Domain Controller or server with other roles unless you are a small business and you have only one or two servers in your organization. In this case, you don’t have any choice. - Do not install both certificate authority in two different operating systems such as Windows Server 2003 and Windows Server 2008. - Do not keep CAs in different patch and update level. - Do not use 1024 bit encryption length. Relevant Articles: Microsoft Active Directory Best Practice Part II Microsoft Active Directory—Best Practice How to Extend Root CA and Sub CA Validation Period in Windows Server 2008 R2 Environment—Step by Step Guide How Certificate Authority Check Validity: As a pre-caution backup CA, IIS and registry of certificate servers. To Backup Certificate Authority - Log on to the system as a Backup Operator or a Certification Authority Administrator. - Open Certification Authority>click the name of the certification authority (CA). Certification Authority (Computer)/CA name - On the Action menu, point to All Tasks, and click Backup CA. - Click Next>Select Private and Certificate Database>Point Backup location>Click Next>Click Finish. To restore certificate authority - Log on to the system as a Backup Operator or a Certification Authority Administrator. - Open Certification Authority>click the name of the certification authority (CA). Certification Authority (Computer)/CA name - On the Action menu, point to All Tasks, and click Restore CA>Click Yes - Click Next> Select Private and Certificate Database>Point Backed up CA DB location>Click Next>Click Finish. How to Backup Windows Registry Key.. Follow these KB256986 and KB322756 article. You can use the following command line to backup and restore IIS metabase. Backup should be used to back up the IIS Web content pages and the CA. Open Command Prompt as an administrator>Change Directory to %windir%\system32\inetsrv To backup configuration, run the follow command: appcmd.exe add backup “CABackupddmmyyyy” To restore that backup, run this command: appcmd.exe restore backup “CABackupddmmyyyy” To extend validity period in Enterprise Root CA perform step1 to step4 on Enterprise Root CA Server Step1: Open Command Prompt as an Administrator> type Following certutil -getreg ca\ValidityPeriod certutil -getreg ca\ValidityPeriodUnits certutil –setreg ca\ValidityPeriod Years certutil -setreg ca\ValidityPeriodUnits 10 Step2: Create a file using notepad.txt and rename the file as CAPolicy.inf . Copy the following into the file CAPolicy.inf and paste CAPolicy.inf file into C:\Windows Folder [Version] Signature= “$Windows NT$” [PolicyStatementExtension] Policies = AllIssuancePolicy Critical = FALSE [AllIssuancePolicy] [Certsrv_Server] RenewalKeyLength=2048 RenewalValidityPeriod=Years RenewalValidityPeriodUnits=10 Step3: If you don’t want to renew Certificate Key then type the following command into command prompt net stop certsvc net start certsvc If you want to renew key then skip step3 and follow step4 Step4: To open Certification Authority, click Start, click Control Panel, double-click Administrative Tools, and then double-click Certification Authority. In the console tree, click the name of the certification authority (CA)> Select Certification Authority (Computer)/CA name On the Action menu, point to All Tasks, and click Renew CA Certificate. Do one of the following: · If you want to generate a new public and private key pair for the certification authority’s certificate, click Yes. · If you want to reuse the current public and private key pair for the certification authority’s certificate, click No. Right Click Certification Authority (Computer)/CA name, Click Property> Click General Tab>Select Certificate #1>View Certificate>Check Expiry date as above mentioned CAPolicy.inf To extend validity period in Enterprise subordinate CA Server perform step5 to step8 in SUB CA Step5: Open Command Prompt in SUB CA and type the following and press enter certutil -getreg ca\ValidityPeriod certutil -getreg ca\ValidityPeriodUnits certutil –setreg ca\ValidityPeriod Years certutil -setreg ca\ValidityPeriodUnits 5 Step6: Create a file using notepad.txt and rename the file as CAPolicy.inf . Copy the following into the file CAPolicy.inf and paste CAPolicy.inf file into C:\Windows Folder [Version] Signature= “$Windows NT$” [PolicyStatementExtension] Policies = AllIssuancePolicy Critical = FALSE [AllIssuancePolicy] [Certsrv_Server] RenewalKeyLength=2048 RenewalValidityPeriod=Years RenewalValidityPeriodUnits=5 Step7: If you don’t want to renew Certificate Key then type the following command into command prompt net stop certsvc net start certsvc If you want to renew key then skip step7 and follow step8 Step8: To open Certification Authority, click Start, click Control Panel, double-click Administrative Tools, and then double-click Certification Authority. In the console tree, click the name of the certification authority (CA)> Select Certification Authority (Computer)/CA name On the Action menu, point to All Tasks, and click Renew CA Certificate. Do one of the following: · If you want to generate a new public and private key pair for the certification authority’s certificate, click Yes. · If you want to reuse the current public and private key pair for the certification authority’s certificate, click No. If a parent CA is available online · Click Send the request directly to a CA already on the network. · In Computer Name, type the name of the computer on which the parent CA is installed. · In Parent CA, click the name of the parent CA. If a Root CA is Offline or not a member of domain · Click Save the request to a file. · In Request file, type the path and file name of the file that will store the request. · Obtain this subordinate CA’s certificate from the root CA. Open Certification Authority>click the name of the CA. Certification Authority (Computer)/CA name On the Action menu, point to All Tasks, and then click Install CA Certificate. Locate the certificate file received from the parent certification authority, click this file, and then click Open. Right Click Certification Authority (Computer)/CA name, Click Property> Click General Tab>Select Certificate #1>View Certificate>Check Expiry date as above mentioned CAPolicy.inf Post renewal checks: Check all the event logs in Root CA and Sub CA for any potential error related to the changes you made If you have any gotcha and you have to restore a CA, the IIS metabase must also be restored if it has been damaged or lost. If a damaged or missing IIS metabase is not restored, IIS will fail to start, and that will result in Certificate Services Web pages (http://caservername/certsrv) failing to load. An alternative method is to recreate the IIS metabase and then use the certutil.exe -vroot command at a command line to reconfigure the IIS server to support the CA Web pages. All Websites and Computer certificates issued by sub CA and Root CA are valid as long CA’s are valid and issued certificates aren’t expired. Issue new certificate CRL using GPO to all computers and servers as you have changed root CA. Export Root CA CRL using http://caservername/certsrv . Click Download a CA Certificate, Click Download CA Certificate and Save in a location. Create new GPO or edit an existing GPO - Open the Group Policy object (GPO) that you want to edit. - Go to Policy Object Name/Computer Configuration/Windows Settings/Security Settings/Public Key Policies/Trusted Root Certification Authorities - In the console tree, click Trusted Root Certification Authorities. - On the Action menu, point to All Tasks, and then click Import and point to the location where you saved CA certificate. - Apply this GPO to designated computer and server OU. Relevant Article: An Overview of Active Directory Certificate Service Active Directory Best Practice
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 35.2 36.1 37.1 38.1 38.2 39.1 40.1 41.1 42.1 43.1 44.1 44.2 44.3 44.4 44.5 44.6 45.1 45.2 46.1 47.1 48.1 49.1 49.2 50.1 51.1 51.2 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 64.1 64.2 65.1 66.1 67.1 68.1 69.1 70.1 70.2 71.1 72.1 73.1 74.1 74.2 75.1 75.2 76.1 76.2 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 84.1 84.2 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 94.2 94.3 95.1 96.1 96.2 96.3 97.1 98.1 98.2 99.1 99.2 99.3 100.1 100.2 101.1 102.1 103.1 104.1 105.1 106.1 107.1 108.1 109.1 109.2 110.1 110.2 111.1 111.2 112.1 113.1 114.1 115.1 115.2 116.1 117.1 118.1 119.1 120.1 120.2 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 141.2 142.1 143.1 144.1 145.1 146.1 147.1 147.2 148.1 149.1 149.2 150.1 150.2 151.1 151.2 152.1 152.2 152.3 153.1 154.1 155.1 156.1 157.1 158.1 158.2 159.1 159.2 160.1 161.1 161.2 162.1 162.2 162.3 163.1 164.1 165.1 165.2 165.3 165.4 166.1 166.2 167.1 167.2 167.3 167.4 167.5 168.1 169.1 170.1 171.1 171.2 172.1 173.1 174.1 175.1 176.1 177.1 177.2 178.1 179.1 180.1 180.2 180.3 181.1 181.2 181.3 181.4 182.1 183.1 184.1 184.2 184.3 184.4 184.5 185.1 186.1 187.1 188.1 189.1 190.1 191.1 192.1 193.1 193.2 193.3 194.1 195.1 196.1 197.1 198.1 199.1 200.1 201.1 202.1 203.1 204.1 205.1 205.2 206.1 207.1 208.1 208.2 209.1 210.1 210.2 211.1 211.2 212.1 213.1 214.1 215.1 215.2 216.1 216.2 216.3 217.1 218.1 219.1 220.1 221.1 222.1 223.1 224.1 224.2 225.1 226.1 227.1 228.1 229.1 229.2 230.1 231.1 232.1 232.2 233.1 233.2 234.1 235.1 236.1 236.2 237.1 238.1 239.1 240.1 240.2 241.1 242.1 243.1 243.2 244.1 245.1 245.2 246.1 246.2 247.1 247.2 248.1 249.1 250.1 251.1 252.1 253.1 254.1 254.2 255.1 255.2 256.1 257.1 257.2 258.1 258.2 259.1 259.2 260.1 260.2 260.3 261.1 262.1 263.1 263.2 263.3 264.1 264.2 265.1 266.1 267.1 267.2 268.1 269.1 269.2 270.1 270.2 271.1 272.1 272.2 273.1 274.1 275.1 276.1 276.2 277.1 277.2 278.1 279.1 279.2 280.1 281.1 281.2 282.1 283.1 283.2 283.3 283.4 283.5 283.6 284.1 284.2 284.3 284.4 284.5 284.6 284.7 285.1 286.1 287.1 288.1 289.1 290.1 291.1 292.1 293.1 293.2 294.1 295.1 296.1 297.1 298.1
Windows Server 2008 R2 Active Directory Certificate Services Duboko Pogon Kako koristiti Certreq.exe utility za stvaranje i podnijeti zahtjev za certifikat koji uključuje SAN Napravite tekstualnu datoteku koristeći Notepad. kopirajte sljedeći sadržaj i zaljepite unutar tekstualnu datoteku i spremite kao request.inf. ; Primjerak iz ovog [Verzija] Potpis = "$ Windows NT $ [NewRequest] Tvrtka = "CN = myserver.microsoftguru.com.au"; mora biti FQDN domene kontroler EncipherOnly = FALSE; samo za Win2k3 & WinXP Izvozni = TRUE; TRUE = Privatni ključ je izvozni KeyLength = 2048; Zajednički ključ veličine: 2048, 4096, 8192, 16384 KeySpec = 1; Key Exchange KeyUsage = 0xA0; Digitalni potpis, Ključ Šifriranje MachineKeySet = True ProviderName = "Microsoft RSA SChannel Kriptografski pružatelj" ProviderType = 12 RequestType = CMC; ili PKCS10 ; Izostaviti cijeli dio ako je CA poduzeće CA [EnhancedKeyUsageExtension] OID = 1.3.6.1.5.5.7.3.1; Server Authentication OID = 1.3.6.1.5.5.7.3.2; autentifikaciju klijenta [Proširenja] ; Ako vaš klijent operativni sustav je Win2k8, Win Vista, Win7 ; SAN mogu biti uključeni u Extensions dijelu pomoću sljedeće tekstualni format. ; Napomena 2.5.29.17 je OID za SAN proširenje. _continue_ = "dns = Exchange1.microsoftguru.com.au &" _continue_ = "DN = CN = Exchange1, OU = Moji poslužitelji, DC = microsoftguru, DC = com, DC = au &" _continue_ = "url = http://myserver.microsoftguru.com.au &" _continue_ = "IPADDRESS = 172.31.10.134 &" _continue_ = " e = test@microsoftguru.com.au & " _continue_ = " UPN = test@microsoftguru.com.au & " _continue_ = "GUID = f7c3ac41-b8ce-4fb4-aa58-3d1dc0e36b39 &" ; Alternativno možete stvoriti SAN atribut koristeći skriptu dane u KB ; Koristiti format teksta ili šifriranom obliku San. 2.5.29.17 = MCaCEnd3dzAxLmZhYnJpa2FtLmNvbYIQd3d3LmZhYnJpa2FtLmNvbQ == [RequestAttributes] ; Više alternativna imena mora biti odvojen od strane ampersand (&). ; U primjeru Pokazao sam dvije različite vrste SAN. Koristite samo jednu vrstu SAN. Asterisk * yourdomainname.com.au se koristi za zamjenske potvrde. SAN = "dns = exchange1.microsoftguru.com.au & dns = www.microsoftguru.com.au&ipaddress=172.31.10.130" CertificateTemplate = Webserver ; Promijeniti naziv predloška ovisno o vašem okruženju. ; Ukloniti "," iz request.inf datoteku. file završava ovdje. Važna napomena: Neki third-party certificiranja (Na primjer ISP koji prodaju SSL certifikat) može zahtijevati dodatne informacije u temu parametra. Takve informacije uključuju e-mail adresu (e), Organizacijska jedinica (OU), Organizacija (O), lokalitete ili grad (L), država ili pokrajina (S), a zemlja ili regija (C). Možete dodati ovu informaciju Predmet ime (CN) u Request.inf datoteku. Na primjer: Tvrtka = ". E = test@microsoftguru.com.au, CN =  , OU = Moji poslužitelji, O = Microsoftguru, L = Perth, S = WA, C = AU" Izmijeniti Request.inf kao i po vašim potrebama. Za standardni certifikat zahtjev možete izostaviti SAN, [Proširenja] i [EnhancedKeyUsageExtension] odjeljak. Otvorite redak naredbe. U naredbeni redak upišite sljedeću naredbu, a zatim pritisnite tipku ENTER: certreq novi c: \ request.inf c: \ certnew.req U naredbeni redak upišite sljedeću naredbu, a zatim pritisnite tipku ENTER: certreq-podnijeti c: \ certnew.req c: \ certnew.cer Ako postoji više od jednog CA u okruženju,-config prekidač može se koristiti u naredbenog retka usmjeriti zahtjev na određenu CA. Ako ne koristite-config prekidač, od vas će biti zatraženo da odaberete CA na koje se zahtjev treba podnijeti. certreq-submit-config "DC.microsoftguru.com.au \ MYCA" c: \ certnew.req c: \ certnew.cer Koristite ID broj Zahtjev za preuzimanje certifikata. Da biste to učinili, upišite sljedeću naredbu, a zatim pritisnite tipku ENTER: certreq-retrieve RequestID c: \ certnew.cer Također možete koristiti-config prebaciti ovdje za preuzimanje certifikata zahtjev iz određenog CA. U naredbeni redak upišite sljedeću naredbu, a zatim pritisnite tipku ENTER: certreq prihvati c: \ certnew.cer Ova naredba uvozi potvrdu u odgovarajući dućan i onda povezuje certifikat s privatnim ključem koji se stvorio u prethodnom koraku. Kako konfigurirati CA prihvatiti SAN atribut iz certifikata zahtjev certutil-setreg politika \ EditFlags + EDITF_ATTRIBUTESUBJECTALTNAME2 net stop certsvc net start certsvc Za popravak potvrdu Ako koristite mrežu HSM, kompletan korake 8 do 10 za popravak povezanost između uvozne CA certifikat i privatni ključ koji je pohranjen u HSM. U stablu konzole, dvokliknite osobnih potvrda, i kliknite na uvezenu CA certifikat. Na izborniku Akcija, kliknite Otvori. Kliknite podaci karticu, kopirati serijski broj u međuspremnik, a zatim kliknite U redu. Otvorite prozor naredbenog retka, upišite certutil-repairstore moj "{Serialnumber}", a zatim pritisnite tipku ENTER. Kako bi se omogućilo sigurno certifikat upis u izdavatelj Korak1: Stvaranje request.inf datoteku koristeći Webserver predložak Korak2: Generirajte certifikat web server request.req datoteku koristeći certreq.exe alate certreq novi c: \ request.inf c: \ request.req Korak3: Podnesite request.req datoteku koristeći certreq.exe ili CA upravljačke konzole. Spremi certificate.cer Otvoreno CA MMC> Odaberite CA poslužitelja> Desni klik na CA Server> Kliknite All Zadatak> Podnijeti novi zahtjev Usmjerite mjesto c: \ request.req i podnijeti. vas će se zatražiti da spremite potvrdu. Step4: Uvoz certifikata u izdavatelj Početak Microsoftove konzole za upravljanje (MMC). Dodajte Potvrde ugriz-u da upravlja certifikate na lokalnom računalu. Proširi Potvrde (lokalno računalo), proširiti Osobno, a zatim proširite certifikate. Pravo Kliknite Uvezi certifikat ste spremili u prethodnim koracima. Step5: Otvorena IIS Management Console> Odaberite Default Web Site> Kliknite Vezovi iz Akcijskog Pan> Kliknite Dodaj> Odaberite HTTPS> Odaberite certifikat samo uvezen u prethodnom koraku. Kliknite OK. Step6: Run iisreset / ponovno pokretanje iz naredbenog retka STEP7: Test https://MYCA/certsrv Kako koristiti sigurne stranice upisa web podnijeti zahtjev za certifikat poduzeće CA Da biste poslali zahtjev certifikat koji sadrži SAN poduzeću CA, slijedite ove korake: - Otvorite Internet Explorer. U Internet Exploreru, povezati https://MYCA/certsrv . - Kliknite Zahtjev za certifikat.> Kliknite Advanced zahtjev certifikat. - Kliknite zatražiti potvrdu - Na popisu Certificate Template, kliknite Web-Server. Napomena CA mora biti konfiguriran za izdavanje certifikata Web poslužitelja. - Osigurati identificiranje informacija kao što zahtijeva. - U okviru Naziv upišite potpuno kvalificirani FQDN domene na server ime. - Pod Key Mogućnosti, postavite sljedeće mogućnosti: - Napravite novi set tipki - CSP: Microsoft RSA SChannel Kriptografski pružatelj - Korištenje ključa: Razmjena - Ključ Veličina: 1024 - 16384 - Automatski ključ kontejner ime - Spremite certifikat u lokalne računalne certifikata trgovine Pod naprednim opcijama, podešavanje formata zahtjev za CMC. U Atributi upišite željene SAN atribute. SAN pripisuje se u sljedećem obliku: san: dns = dns.name [& dns = dns.name] Više DNS imena su razdvojeni ampersand (&). Na primjer, ako naziv poslužitelja je myserver.microsoftguru.com.au i alias su autodiscover.microsoftguru.com.au i webamil.microsoftguru.com.au, ta imena moraju biti uključeni u SAN atributa. Rezultiralo atribut string pojavljuje se kako slijedi: san: dns = myserver.microsoftguru.com.au & dns = myweb.microsoftguru.com.au & dns = mysite.microsoftguru.com.au Kliknite Submit. Ako vidite potvrda izdavanja web-stranicu, kliknite Instalirajte ovo certifikat. Moj preferirani način zatražiti potvrdu je stvoriti. REQ datoteku prikazano u prethodnim koracima. otvoriti. REQ datoteku u notepad i kopirati sadržaj. kliknite podnijeti zahtjev za certifikat pomoću bazu 64-kodiranje Lijepljenje sadržaja u bazu 64-kodirati. Odaberite predložak za web-poslužitelje. kliknite submit. Sada dobivanje certifikata kliknite da. preuzeti certifikat s root CA CRL kliknite Preuzimanje certifikata lanac u p7b formatu preuzeti samo potvrdu kliknite preuzeti certifikat i spasiti. Kako konfigurirati privatni ključ Certificate Authority i izvoz privatni ključ Otvoreno CA MMC iz Administrativni alati> Desni klik na Certifikat Template> Kliknite Upravljanje Odaberite Webserver predložak> Desni klik na Webserver Template> Kliknite Dvostruki predlošku> Odaberite Win2k3 ili Win2k8 OS Version> Vrsta Naziv predloška kao Webserver s privatnim ključem u Glavnoj Tab Kliknite karticu obrade zahtjeva> Provjerite Dopustite privatni ključ koji se izvoze Kliknite Security Tab> Dopustite odgovarajuće osiguranje za osobu koja će se upisati i izvoz certifikata Kliknite U redu. Zatvorite CA MMC. Stvaranje Request.inf poslužitelja. Stvaranje Request.req datoteku Slanje Webserver zahtjev https://myca/certsrv . Preuzmite i instalirajte potvrdu. Za izvoz certifikat s privatnim ključem 1.Open Upravitelj certifikata klikom gumb Start> Okvir za pretraživanje> Vid certmgr.msc, a zatim pritisnite tipku ENTER. Idi na Certifikati-trenutni korisnik \ Osobna \ Certifikati> Odaberite potvrda želite izvoziti. Na izborniku Akcija, pokažite na Svi zadaci, a zatim kliknite Izvoz. U čarobnjaku za izvoz certifikata, kliknite Da, izvesti privatni ključ. Imajte na umu da je ova opcija će se pojaviti samo ako je privatni ključ označen kao izvozni u request.inf datoteku i imate pristup privatnim ključem. Pod Export File Format, učinite jedno ili sve od sljedećeg, a zatim kliknite Dalje. - Da su sve certifikate u certificiranja putu, odaberite Uključi sve certifikate u certificiranja put, ako je to moguće okvir. - Za brisanje privatni ključ, ako izvoz je uspješna, odaberite Izbriši privatni ključ, ako izvoz je uspješan potvrdni okvir. U lozinku, upišite lozinku za šifriranje privatni ključ se izvozi. U Potvrdi lozinku, upišite istu lozinku, a zatim kliknite Dalje. U File name upišite naziv datoteke i stazu za PKCS # 12 datoteke koje će pohraniti izvezenu certifikat i privatni ključ, kliknite Dalje, a zatim kliknite Završi. Kako uvesti osobni ključ Kliknite izbornik Start> Okvir za pretraživanje> Kliknite mmc.msc> Kliknite Certifikati> Dodaj Računalo račun> Kliknite OK. Kliknite na mapu, kliknite Akcijski izbornika, pokažite na Svi zadaci, a zatim kliknite Uvoz. Dođite do mjesta gdje se izvozi certifikate> Odaberite potvrda> Osigurati lozinku za uvoz certifikata. Kliknite na Next, a zatim slijedite upute. Igranje s AD CS uprave cmdlets u Windows PowerShell Sljedeći Windows PowerShell ® cmdlets da su za korištenje u administriranje Active Directory Services certifikat (AD CS) Certification Authority (CA) Uloga usluga u sustavu Windows Server ® "8" Beta. - Uvoz-Modul ServerManager - Uvoz modul Server Manager koji pruža Add-WindowsFeature cmdlet. - Add-WindowsFeature ADC-Cert-tijelo - Dodaje Certification Authority ulogu usluge binaries. - Dodaj WindowsFeature ADC-Upisati-web-Pol - Dodaje certifikata Enrllment privatnosti web usluga binaries. - Dodaj WindowsFeature ADC-Upisati-web-SVC - Dodaje certifikata upis web usluga binaries. - Dodaj WindowsFeature ADC-web-Upis - Dodaje Certification Authority web upis ulogu usluga binaries. - Dodaj WindowsFeature ADC-uređaja-Upis - Dodaje Network Device upis Usluga binaries. - Dodaj WindowsFeature ADC-Online-Cert - Dodaje Online responder ulogu usluge binaries. - Get-Command-Modul AdcsDeployment - Prikazuje sve cmdleta koje su povezane s AD CS Deployment. Disaster recovery ili seliti postupak Active Directory Certificate Authority: Premještanje CA s jednog računala na drugo računalo uključuje sljedeće postupke: - Backup CA na prvom računalu - Vraćanje CA na drugom računalu Morate biti član domene administratori grupe sigurnosti za obavljanje sljedeću operaciju. Za premještanje CA s poslužitelja sa sustavom Windows Server 2003 na poslužitelju sa sustavom Windows Server 2008, možete završiti Windows nadogradnju, a zatim premjestiti CA ili premjestiti CA prvi, a zatim nadograditi Windows. - Za nadogradnju sustava Windows prvi: Nadogradnja prvi poslužitelj s Windows Server 2003 Windows Server 2008, back up CA na ovom poslužitelju, a zatim vratiti CA na drugom poslužitelju sa sustavom Windows Server 2008. - Za pomicanje CA prvi: Back up CA na računalu sa sustavom Windows Server 2003, vraćanje CA na drugom računalu sa sustavom Windows Server 2003, a zatim nadograditi drugi poslužitelj na Windows Server 2008. Za back up CA Otvorite Certification Authority ugriz-u. U Certification Authority ugriz-u, desnom tipkom kliknite CA ime, kliknite na Svi zadaci, a zatim natrag do CA početi Certification Authority čarobnjak Backup. Kliknite na Dalje i odaberite privatni ključ i certifikat CA i potvrda podataka i potvrda podataka dnevnik okvire. Navedite rezervnu lokaciju, a zatim kliknite Dalje. Unesite lozinku za CA privatni ključ backup datoteku i upišite ga drugi put za potvrdu zaporke. zatim Završi Kliknite Start, zatim Run, upišite regedit, a zatim kliknite U redu. Pronađite i desnom tipkom miša sljedeće potključ: HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ CertSvc \ konfiguracije Kliknite Export. Spremite datoteku registra u mapi CA backup koji ste koristili za backup Certification Authority čarobnjaku. Backup CA rezanje iz D: \ WinNT \ System32 \ Certlog mapu, morate vratiti backup na D: \ Winnt \ System32 \ Certlog mape. Nakon što vratite backup, možete premjestiti CA datoteke baze podataka na drugo mjesto. Osim toga od gore navedenih koraka natrag gore CAPolicy.inf. Ako je vaš izvor CA koristi prilagođeni CAPolicy.inf datoteku, trebali kopirati datoteku na istom mjestu kao izvor CA backup datoteka. CAPolicy.inf datoteka nalazi u direktoriju% systemroot%, što je obično C: \ Windows. Za kopiju CA baze podataka i privatni ključ pomoću Certutil.exe Prijavite se s lokalnim upravnim vjerodajnicama za CA računalo. Otvorite prozor naredbenog retka. Tip Certutil.exe-backupdb   i pritisnite ENTER. Tip Certutil.exe-backupkey   i pritisnite ENTER. Unesite lozinku na brz i pritisnite ENTER. Morate zadržati kopiju lozinku za pristup ključ tijekom CA instalacije na odredište poslužitelju. Tip net stop certsvc i pritisnite ENTER za zaustavljanje Active Directory Certificate Services uslugu. Usluga mora biti zaustavljen kako bi se spriječilo izdavanje dodatnih certifikata. Nakon backup završi, provjerite sljedeće datoteke u lokaciji koju ste naveli: - CAName. P12 sadrži CA certifikat i privatni ključ - Baza mapa sadrži datoteke certbkxp.dat, EDB # # # # #. Dnevnik, i CAName. EDB Kopirajte sve datoteke backup na mjesto koje je dostupno od odredišnog poslužitelja, na primjer, mrežni udio ili izmjenjivi medij. Kako ukloniti uslugu CA ulogu iz izvornog poslužitelja Važno je da uklonite uslugu CA ulogu iz izvornog poslužitelja nakon završetka sigurnosne procedure, a prije instalacije uslugu CA ulogu na odredište poslužitelju. Enterprise CA i samostalne CA koje su domene članovi dućan u Active Directory Services domenu (AD DS) podatke o konfiguraciji koja je povezana sa zajedničkim imenom CA. Uklanjanje uslugu CA ulogu također uklanja CA je konfiguracijske podatke iz AD DS. Jer izvor CA i odredište CA dijele isti zajednički naziv, uklanjanjem uslugu CA ulogu iz izvornog poslužitelja nakon instalacije uslugu CA ulogu na mjestu poslužitelja uklanja konfiguracijske podatke koji se zahtijevaju odredište CA i ometa njegov rad. CA baze podataka, privatni ključ, a potvrdu nisu uklonjeni iz izvornog poslužitelja uklanjanjem uslugu CA ulogu. Stoga, reinstalirati uslugu CA ulogu na izvornom poslužitelju vraća izvorni CA, ako ne uspije migracija i obavljanje rollback je potrebno. Visoko preporučeno Zadaci. Uprizorenja potvrdu vraćanja je najviše uvoz dio prije nego što dekomisije postojećeg certifikata poslužitelja. Stvaranje izolirani okoliš sličan svoje Active Directory Domain Services. Dodaj novi potvrde ovlasti i vraćanje baze podataka i privatni ključ. ispitni certifikati, predlošci, registra i privatni ključ da li je slična vašoj proizvodnje infrastrukture. Jednom ste sretni i obnova zadatke uspješno se možete dekomisije potvrda. ako izvor potvrda je virtualna nego ja bih vam preporučiti da se snimak prije nego što uklonite CA ulogu. - Za uklanjanje CA na računalu sa sustavom Windows Server 2003, koristiti Add / Remove Windows Components čarobnjaka. - Za uklanjanje CA na računalu sa sustavom Windows Server 2008, koristite Ukloni uloge čarobnjaka u Server Manager. Za vraćanje CA na novi server iz sigurnosne kopije Otvorite Server Manager i kliknite Active Directory Services certifikata. Kliknite Dalje dva puta. Na Select Role Services stranici, potvrdite okvir tijelo za izdavanje certifikata, a zatim kliknite Dalje. Na Type Navedite stranici za postavljanje, kliknite bilo samostalni ili Poduzetništvo, a zatim kliknite Dalje. Napomena Morate imati mrežnu vezu s kontrolerom domene kako bi se instalirati poduzeća CA. Na Određivanje CA Type stranici, kliknite odgovarajući CA tip, a zatim kliknite Dalje. Na Postavljena Private Key stranici, kliknite Koristi postojeći privatni ključ, kliknite Odaberite certifikat i koristiti svoje pridružene privatni ključ, a zatim kliknite Dalje. Na Odabir postojeće Svjedodžbe stranici, kliknite Uvoz, upišite putanju. P12 datoteke u backup mapu, upišite lozinku koju ste odabrali u prethodnom postupku za zaštitu backup datoteku, a zatim kliknite U redu. U javnog i privatnog par ključeva dijaloškom okviru, provjerite koje koriste postojeći ključevi je odabran. Kliknite Dalje dva puta. Na Database Konfiguracija certifikata stranici, navesti istu lokaciju za potvrdu podataka i certifikata baze prijaviti kao na prethodnoj CA računalo. Kliknite Dalje. Na Confirm Installation Options stranici, pregledati sve postavke konfiguracije> kliknite Instaliraj i pričekajte postava je proces završen. Pronađite registra datoteku koju ste spremili u backup postupka, a zatim dvokliknite ga uvesti postavke registra. Ako put koji je prikazan u registru izvoz iz starog CA razlikuje od novog puta, morate prilagoditi svoj registra izvoz u skladu s tim. Provjerite registra na sljedećem mjestu. HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ CertSvc Otvorite Services ugriz-u da zaustavi Active Directory Services certifikat (AD CS) usluga. Otvorite tijelo za certifikaciju ugriz-u, desnom tipkom kliknite CA ime, kliknite na Svi zadaci, a zatim kliknite Vrati CA otvoriti Certification Authority Restore Wizard. Kliknite Dalje, a zatim i privatni ključ i certifikat CA i potvrda baze podataka i potvrdu baze dnevnik okvire. Unesite rezervnu lokaciju mape, a zatim kliknite Dalje. Provjerite sigurnosne postavke. Izdano Zapisnik i neriješenih zahtjeva postavke bi trebao biti prikazan. Kliknite Završi, a zatim Da za ponovno pokretanje AD CS kada CA baza podataka je obnovljena. Za vraćanje CA bazu podataka pomoću Certutil.exe Prijavite se na odredišnom poslužitelju pomoću računa da je CA administrator. Otvorite prozor naredbenog retka. Tip certutil.exe-f-restoredb   i pritisnite ENTER. Za Vraćanje popisa certifikata predložaka Prijavite se s administratorskim ovlastima na odredište CA. Otvorite prozor naredbenog retka. Tip certutil-setcatemplates +   i pritisnite ENTER. Važno! Neki registra parametri trebaju biti premješten bez promjena iz računala izvora CA, a neki ne bi trebao biti premješten. Ako su oni doselili, oni bi trebali biti ažurirana u ciljnom sustavu nakon migracije, jer su neke vrijednosti povezane s CA sama, dok su ostali povezani s domenskog okruženja, fizičkog host, Windows verziju, ili drugih čimbenika koji mogu biti različiti u meta sustav. Provjerite registra položaj i Konfiguracijski parametri su: HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Services \ certsvc \ konfiguracije - DBDirectory - DBLogDirectory - DBSystemDirectory - DBTempDirectory - DBSessionCount HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Services \ certsvc \ Configuration \ CAname - CACertPublicationURLs - CRLPublicationURLs Davanje dozvole na AIA i CDP kontejnera Ako naziv odredišnog poslužitelja razlikuje od izvornog poslužitelja, poslužitelj odredište mora biti odobren dozvole na izvoru poslužitelja CDP i AIA kontejnera u AD DS objaviti CRLs i CA certifikate. Ispunite sljedeći postupak u slučaju promjene imena poslužitelja. Za dodjelu dozvole za AIA i CDP kontejnera Otvorite Active Directory stranice i usluge> U stablu konzole, kliknite gornji čvor. Na izborniku Pogled, kliknite Pokaži mi usluge čvor. U stablu konzole proširite usluge, proširiti Public Key Services, a zatim AIA. U oknu detalja, desnom tipkom miša kliknite naziv izvora CA, a zatim kliknite Svojstva. Kliknite karticu Sigurnost, a zatim kliknite Dodaj. Kliknite vrste objekata, kliknite Računala, a zatim kliknite U redu. Unesite naziv odredišne server, i kliknite OK. U Dopusti stupcu, kliknite na punu kontrolu, i kliknite Apply. Ako objekt izvor poslužitelja je prikazana u grupe ili korisnik imena, pritisnite naziv izvornog poslužitelja, a zatim kliknite Ukloni, a zatim kliknite U redu. U stablu konzole proširite CDP, a zatim kliknite naziv izvornog poslužitelja. U oknu detalja, desnom tipkom miša kliknite stavku cRLDistributionPoint na vrhu popisa, a zatim kliknite Svojstva. Kliknite karticu Sigurnost, a zatim kliknite Dodaj. Kliknite vrste objekata, kliknite Računala, a zatim kliknite U redu. Unesite naziv odredišne poslužitelja, a zatim kliknite OK. U Dopusti stupcu, kliknite na punu kontrolu, i kliknite Apply. Ako objekt izvor poslužitelja je prikazana u grupe ili korisnik imena, pritisnite naziv izvornog poslužitelja, a zatim kliknite Ukloni, a zatim kliknite U redu. Ponovite korake 13 do 18 za svaku stavku cRLDistributionPoint. Dodatne procedure za failover clustering CA Uloga mora biti instaliran na oba čvorova Zaustavite Active Directory Services iz services.msc certifikata Osigurati zajednički prostor za pohranu je online. Potvrda trgovine i trupci moraju biti postavljeni u zajedničkom pohranu. Da biste provjerili zajedničku pohranu je online Prijavite se na odredišnom poslužitelju. Početak Server Manager. U stablu konzole, dvokliknite prtljage, i kliknite Disk Management. Uvjerite se da zajednički prostor za pohranu je online i dodijeljen čvora ste prijavljeni na. Za konfiguriranje AD CS kao klaster resurs Slijedite Konfiguracija Microsoft Fail preko klastera URL stvoriti i konfigurirati klastera. Otvoreno Failover Cluster Manager od Administrativni alati> Desni klik na novonastale čvoru klastera> kliknite Konfiguriraj uslugu ili aplikacija. Ako Prije nego što počnete Pojavit će se stranica, kliknite Dalje. Na popisu servisa i aplikacija, odaberite Generic usluga, a zatim kliknite Dalje. Na popisu usluga, odaberite Active Directory Services certifikata, a zatim kliknite Dalje. Navedite naziv usluge, a zatim kliknite Dalje. Odaberite disk za pohranu podataka koji se još uvijek je priključena na čvoru, a zatim kliknite Dalje. Za konfiguriranje zajedničku grozd registra, kliknite Dodaj, putovanja SYSTEM \ CurrentControlSet \ Services \ CertSvc, a zatim kliknite U redu. Kliknite Sljedeća dva puta. Kliknite Završi da biste dovršili failover konfiguraciju za AD CS. U stablu konzole, dvokliknite Usluge i aplikacije, a zatim novostvoreni klaster uslugu. U oknu s detaljima, kliknite Generic usluga. Na izborniku Akcija, kliknite Svojstva. Promijenite naziv resursa za Certification Authority, i kliknite OK. Ako koristite modul hardverski sigurnosti (HSM) za CA, provedite sljedeći postupak. Da biste stvorili ovisnost između CA i mreže HSM uslugu Otvorite Upravljanje Failover ugriz-u klaster. U stablu konzole, kliknite uslugama i aplikacijama. U oknu detalja, odaberite prethodno stvorili ime grupirani uslugu. Na izborniku Akcija, kliknite Dodaj resurs, a zatim Generic usluga. U popisu dostupnih usluga prikazanih od strane New Resource čarobnjaka, kliknite naziv usluge koja je instalirana na spajanje na mrežu HSM. Kliknite Sljedeća dva puta, a zatim kliknite Završi. Pod uslugama i aplikacijama u stablu konzole, kliknite na ime u klasterima usluga. U oknu detalja, odaberite novostvoreni Generic usluga. Na izborniku Akcija, kliknite Svojstva. Na kartici Općenito, promijeniti naziv usluge po želji i kliknite OK. Provjerite da je usluga online. U oknu detalja, odaberite uslugu prethodno nazivom tijela za izdavanje certifikata. Na izborniku Akcija, kliknite Svojstva. Na Ovisnosti kartici, kliknite Umetni, odaberite mrežnu HSM uslugu s popisa, a zatim kliknite U redu. Za dodjelu dozvole na javnim ključnih kontejnera: Ako ste migraciju na failover cluster, dovršiti sljedeće postupke za odobrenje svih klastera čvorova dozvole da na sljedećem AD DS kontejnere: - AIA kontejner - Upis kontejner - KRA kontejner Za dodjelu dozvole na javnim ključnih kontejnera u AD DS Otvorite Active Directory stranica i servisa. U stablu konzole, kliknite gornji čvor. Na izborniku Pogled, pritisnite Pokaži usluge čvor. U stablu konzole proširite usluge, onda Public Key Services, a zatim AIA. U oknu detalja, desnom tipkom miša kliknite naziv izvora CA, a zatim kliknite Svojstva. Kliknite karticu Sigurnost, a zatim kliknite Dodaj. Kliknite vrste objekata, kliknite Računala, a zatim kliknite U redu. Upišite imena računala svih klastera čvorova računa, i kliknite OK. U Dopusti stupcu, odaberite Cijeli okvir za upravljanje potvrdni pored svake čvoru klastera, i kliknite OK. U stablu konzole, kliknite učlanjenja Services. U oknu detalja, desnom tipkom miša kliknite naziv izvora CA, a zatim kliknite Svojstva. Kliknite karticu Sigurnost, a zatim kliknite Dodaj. Kliknite vrste objekata, kliknite Računala, a zatim kliknite U redu. Upišite imena računalnih računa svih klastera čvorova, a zatim kliknite U redu. U Dopusti stupcu, odaberite Cijeli okvir za upravljanje pored svake čvoru klastera, i kliknite OK. U stablu konzole, kliknite KRA. U oknu detalja, desnom tipkom miša kliknite naziv izvora CA, a zatim kliknite Svojstva. Kliknite karticu Sigurnost, a zatim kliknite Dodaj. Kliknite vrste objekata, kliknite Računala, a zatim kliknite U redu. Upišite imena svih klastera čvorova, i kliknite OK. U Dopusti stupcu, odaberite Cijeli okvir za upravljanje pored svake čvoru klastera, i kliknite OK. Za provjeru DNS ime za klasteriranoj CA u AD DS Prijavite se na aktivnom čvoru klastera kao član grupe Enterprise admina. Otvorite ADSI Edit. Na izborniku Akcija, kliknite Povezivanje. kliknite Configuration, a zatim kliknite U redu. U stablu konzole proširite konfiguracije \ Usluge \ Public Key Usluge \ Services učlanjenja. Dvaput kliknite na CN i provjerite provjerite dNSHostName spominje isti kao Failover Cluster Management u upravitelju Failover Cluster ugriz-u, a zatim kliknite U redu. ako ne dodati odgovarajuće FQDN DNS u klasteru kao što je prikazano na slici. Kliknite OK za spremanje promjena. Otvoreno dnsmgmt.msc iz izbornika Start> run. Provjerite Host () DNS zapis je dodala s istim imenom i IP adresa klasteru. Konfiguriranje CRL distribucijske točke za failover clustera Kada CA radi na failover cluster, poslužitelj je kratko ime mora biti zamijenjen sa grozda kratkom ime u CRL distribucijske točke i ovlasti informacijskog pristupa lokacijama. Za objavljivanje CRL u AD DS, CRL distribucija točka kontejner moraju biti dodan ručno. Sljedeći postupci moraju biti izvedena na aktivnom čvoru klastera. Da biste promijenili konfigurirani CRL distribucijske točke Otvoreno registar uređivanje i pronađite ključ registra \ HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Services \ \ CertSvc Configuration. Kliknite na naziv CA. U desnom oknu dvokliknite CRLPublicationURLs. U drugom redu, zamijenite% 2 s imenom usluge navedene u koraku 6. postupka "Za konfiguriranje AD CS kao klaster resurs." Usluge Naziv se također pojavljuje u upravljanju Failover Cluster ugriz-u pod uslugama i aplikacijama. Ponovo CA uslugu. Otvorite naredbeni redak upišite certutil-CRL, i pritisnite ENTER. Za izradu CRL distribucijske točke kontejner u AD DS U naredbeni redak upišite cd% windir% \ System32 \ CertSrv \ CertEnroll, a zatim pritisnite ENTER. CRL datoteka stvorio certutil-CRL naredbe bi trebao biti smješten u ovaj direktorij. Za objavljivanje CRL u AD DS, vrsta certutil-f-dspublish "CRLFile.crl" i pritisnite ENTER. Za postavljanje revizije na CA. Otvoreno CA MMC> Odaberite certifikat Server> kliknite desnom tipkom> Kliknite nekretnine Provjerite željene Događanja za reviziju> Kliknite OK. ponovo CA Services. Za implementaciju CRL Enterprise root koristeći GPO. Stvoriti novu grupu politiku ili korištenje i postojeće GPO. Kliknite na Uredi. Proširi na Computer Configuration \ Windows Settings \ Security Settings \ Public Key politike. Pravo Kliknite na Pouzdane korijenske potvrde> Kliknite Import> Pronađite root certifikat i uvesti certifikat. Kliknite Zatvori. Da biste zatražili Automatski zahtjev za izdavanje potvrda. Stvaranje nove grupe politiku ili korištenje i postojeće GPO. Kliknite na Uredi. Proširi na Computer Configuration \ Windows Settings \ Security Settings \ Public Key politike. Pravo Kliknite automatski zahtjev Certifikat> Kliknite New> Kliknite Automatski certifikat Zahtjev> Konfiguracija certifikata predložak i zahtjev. Slijedite screenshot. Imajte na umu da Auto Upisati mora biti dopušteno u sigurnosnom kartici potvrde predložak u CA. Dodatne reference Kako produžiti ovlasti root certifikat i podzakonskih CA Konfiguracija Microsoft Fail preko Klastera System Center Virtual Machine Manager 2012 Beta prvi pogled Sustavi Zahtjev: - Windows Server 2008 R2 x64 član domene - Windows Remote Management (WinRM) 2,0 - Windows PowerShell 2,0 - Microsoft. NET Framework 3.5 Service Pack 1 (SP1) - Windows AIK za Windows 7 - SQL Server 2008 ili SQL Server 2008 R2 - WDS i WSUS uloge instalirani Instalacija System Center Virtual Machine Manager 2012: System Center Virtual Machine Manager 2012 Beta - Procjena (VHD)