Bizonyítványszolgáltatások

A Bizonyítványszolgáltatás testreszabható szolgáltatásokat biztosít a nyilvános kulcsos technológiát alkalmazó szoftverbiztonsági rendszerekben használt bizonyítványok kiállításához és kezeléséhez.

  • A hitelesítő szervezetek és nyilvános kulcsok infrastruktúrájának telepítése előtt tekintse meg a Feladatlisták című témakört.
  • A Bizonyítványszolgáltatások használatával kapcsolatos ötletek a Gyakorlati tanácsok című témakörben találhatók.
  • A konkrét feladatokkal kapcsolatban az Útmutató című témakörben tájékozódhat.
  • Az általános tudnivalókról a Fogalmak című témakörben tájékozódhat.
  • A problémák elhárításáról információt a Hibaelhárítás című témakör nyújt.


Feladatlisták

  • Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése intranethez
  • Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése az Internethez
  • Feladatlista: Hitelesítési hierarchia létrehozása kapcsolat nélküli legfelső szintű hitelesítő szervezettel
  • Feladatlista: Intelligens kártyák üzembe helyezése Windows rendszerbe történő bejelentkezéshez


Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése intranethez

Ez a feladatlista a vállalati hitelesítő szervezetek (CA) konfigurálására és telepítésére összpontosít. A hitelesítő szervezetek hasznosak a nyilvános kulcsok infrastruktúrájának (PKI) olyan architektúrája esetében, ahol az Active Directory rendelkezésre áll.

Az önálló hitelesítő szervezet konfigurálásáról információt a Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése az Internethez című témakörben talál.

Ha a hitelesítő hierarchiában kapcsolat nélküli legfelső szintű hitelesítő szervezetet ad meg, tekintse át a Feladatlista: Hitelesítési hierarchia létrehozása kapcsolat nélküli legfelső szintű hitelesítő szervezettel című témakört.

Lépés | Hivatkozás
Fogalmak áttekintése |
A nyilvános kulcsok infrastruktúrájával kapcsolatos fogalmak áttekintése | Nyilvános kulcsok infrastruktúrája
Bizonyítványokkal kapcsolatos fogalmak áttekintése | Bizonyítványokkal kapcsolatos fogalmak
Hitelesítő szervezetekkel kapcsolatos fogalmak áttekintése | Bizonyítványszolgáltatásokkal kapcsolatos fogalmak
A nyilvános kulcs irányelveinek Csoportházirendbeli használatával kapcsolatos fogalmak áttekintése | Nyilvános kulcs irányelveivel kapcsolatos fogalmak
Hitelesítő szervezetek beállítása |
Hitelesítési hierarchia megtervezése | Hitelesítő szervezetek hierarchiája
A Windows 2000 kiszolgáló beállítása az egyes hitelesítő szervezetekhez | A Windows 2000 Server rendszer beállítása
Az Active Directory és a DNS hálózatra telepítésének ellenőrzése | Active Directory – áttekintés
A legfelső szintű hitelesítő szervezet megújítási stratégiájának megtervezése | Hitelesítő szervezetek megújítása
Legfelső szintű hitelesítő szervezet telepítése | Legfelső szintű vállalati hitelesítő szervezet telepítése
(Választható) Netscape-kompatibilis visszavonást ellenőrző URL-cím kiterjesztések beírásának engedélyezése minden kiállított bizonyítványba |
Alsóbb szintű hitelesítő szervezetek (a tervezett hitelesítési hierarchia igényei szerinti) telepítése | Alsóbb szintű vállalati hitelesítő szervezet telepítése
Minden tartományhoz: |
Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása | Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása
Hitelesítő szervezet biztonsági engedélyeinek beállítása és vezérlésének delegálása | Hitelesítő szervezet biztonsági engedélyeinek beállítása és vezérlésének delegálása
Minden hitelesítő szervezethez: |
Kiállítandó bizonyítványok típusának meghatározása | A vállalati hitelesítő szervezet által kibocsátható bizonyítványtípusok létrehozása
Visszavont bizonyítványok közzétételének ütemezése | Visszavont bizonyítványok közzétételének ütemezése
(Választható) Netscape-kompatibilis visszavonást ellenőrző URL kiterjesztések beírásának engedélyezése minden kiállított bizonyítványba. | Információt a Bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele című témakörben talál.
Annak megerősítése, hogy a hitelesítő szervezet megfelelően fogja hitelesíteni a bizonyítványt igénylőket a hitelesítő szervezet weblapjairól | Biztonsági beállítások megadása a hitelesítő szervezet weblapjainak eléréséhez
Alkalmazások és a szolgáltatások beállítása a nyilvános kulcsok infrastruktúrájának használatára |
Intelligens kártyák beállítása bejelentkezéshez a Windows 2000 rendszerbe | Feladatlista: Intelligens kártyák üzembe helyezése Windows rendszerbe történő bejelentkezéshez
Webkiszolgáló beállítása bizonyítványok használatára a biztonságos hozzáféréshez | Bizonyítványok és az Internet Information Services (http://localhost/iishelp/iis/htm/core/iicerts.htm) (E hivatkozás használatához az IIS telepítve kell, hogy legyen.)
Az Internet-protokoll biztonságának (IPSec) beállítása | Az IP protokoll biztonsága (IPSec)
Titkosító fájlrendszer (EFS) helyreállító megbízottjainak beállítása | Titkosító fájlrendszer és adatok visszaállítása
Microsoft Exchange kiszolgáló beállítása bizonyítványok használatára biztonságos elektronikus levelezéshez | Olvassa el a Microsoft Exchange dokumentációját
Bizonyítványok kiállításának kezelése számítógépek számára |
(Választható) Gépekhez készült bizonyítványok automatikus beiktatásának meghatározása | Automatikus bizonyítványkérelem létrehozása Csoportházirend-objektumban lévő számítógépekhez
Folyamatban lévő felügyeleti feladatok |
Bizonyítványok visszavonása | Kiállított bizonyítvány visszavonása
Biztonsági másolat készítése minden hitelesítő szervezetről | Hitelesítő szervezet biztonsági mentése és visszaállítása
Minden hitelesítő szervezet megújítása | Hitelesítő szervezetek megújítása


Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése az Internethez

Ez a feladatlista önálló hitelesítő szervezetek (CA) konfigurálására és telepítésére összpontosít, amelyek hasznosak a nyilvános kulcsok infrastruktúrájának (PKI) olyan architektúráinál (mint például az Internet), ahol nem használják az Active Directoryt.

Az Active Directoryt használó hitelesítő szervezetek üzembe helyezéséhez tekintse át a Hitelesítő szervezetek és PKI üzembe helyezése intranethez című feladatlistát.

Ha hitelesítési hierarchiájában egy kapcsolat nélküli legfelső szintű hitelesítő szervezetet ad meg, tekintse át a Feladatlista: Hitelesítési hierarchia létrehozása kapcsolat nélküli legfelső szintű hitelesítő szervezettel című témakört.

Lépés | Hivatkozás
Fogalmak áttekintése |
A nyilvános kulcsok infrastruktúrájával kapcsolatos fogalmak áttekintése | Nyilvános kulcsok infrastruktúrája
Bizonyítványokkal kapcsolatos fogalmak áttekintése | Bizonyítványokkal kapcsolatos fogalmak
Hitelesítő szervezetekkel kapcsolatos fogalmak áttekintése | Fogalmak
Hitelesítő szervezetek beállítása |
Hitelesítési hierarchia megtervezése | Hitelesítő szervezetek hierarchiája
Windows 2000 Server beállítása az egyes hitelesítő szervezetekhez | A Windows 2000 Server rendszer beállítása
A legfelső szintű hitelesítő szervezet megújítási stratégiájának megtervezése | Hitelesítő szervezetek megújítása
Legfelső szintű hitelesítő szervezet telepítése | Önálló legfelső szintű hitelesítő szervezet telepítése
(Választható) Netscape-kompatibilis, visszavonás-ellenőrző URL kiterjesztések beírásának engedélyezése minden kiállított bizonyítványba. |
Alsóbb szintű hitelesítő szervezetek (a tervezett hitelesítési hierarchia igényei szerinti) telepítése | Önálló alsóbb szintű hitelesítő szervezet telepítése
Webes beiktatási szolgáltatások telepítése nem hitelesítő szervezeti kiszolgálókra, szükség szerint. (Bizonyítványkérelmek olyan kiszolgálókon keresztüli benyújtására használatos, amelyek nem hitelesítő szervezetek.) | Webes beiktatással kiegészített hitelesítő szervezet beállítása
Minden hitelesítési szervezetnél: |
Az egyes bejövő bizonyítványkérelmek várakoztatásának (a legtöbb esetre javasolt alapértelmezés) vagy automatikus jóváhagyásának megadása | Bizonyítványkérelem beérkezésekor elvégzendő alapértelmezett művelet beállítása
A visszavont bizonyítványok közzétételének ütemezése | A visszavont bizonyítványok közzétételének ütemezése
(Választható) Netscape-kompatíbilis visszavonás-ellenőrző URL kiterjesztések beírásának engedélyezése minden kiállított bizonyítványba. | Tekintse át a Bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele című témakört
Alkalmazások és a szolgáltatások beállítása a nyilvános kulcsok infrastruktúrájának használatára |
Webkiszolgáló beállítása a bizonyítványokon alapuló biztonságos hozzáféréshez | Bizonyítványok és az Internet Information Services (http://localhost/iishelp/iis/htm/core/iicerts.htm) (E hivatkozás használatához az IIS programnak telepítve kell lennie.)
Az IP protokoll biztonságának (IPSec) beállítása | Az IP protokoll biztonsága (IPSec)
A Microsoft Exchange kiszolgáló beállítása bizonyítványok használatára biztonságos elektronikus levelezéshez | Olvassa el a Microsoft Exchange dokumentációját
Folyamatban lévő felügyeleti feladatok |
Folyamatban lévő bizonyítványkérelmek áttekintése | A folyamatban lévő bizonyítványkérelmek áttekintése
Bizonyítványok visszavonása | Kiállított bizonyítvány visszavonása
Biztonsági másolat készítése minden hitelesítő szervezetről | Hitelesítő szervezet biztonsági mentése és visszaállítása
Minden hitelesítő szervezet megújítása | Hitelesítő szervezetek megújítása


Feladatlista: Hitelesítési hierarchia létrehozása kapcsolat nélküli legfelső szintű hitelesítő szervezettel

Ez a feladatlista azokban az esetekben érvényes, amikor a legfelső szintű hitelesítő szervezet (CA) nem csatlakozik a cég hálózatára. Biztonsági okokból létrehozhat ugyanis egy elkülönített, kapcsolat nélküli hitelesítő szervezetet a számítógépes kalózok és más illetéktelen személyek hálózaton keresztüli esetleges támadása elleni védelem érdekében.

A fő probléma a kapcsolaton kívüli legfelső szintű hitelesítő szervezettel kapcsolatban, hogy a bizonyítványellenőrzőknek képeseknek kell lenniük on-line bizonyítvány-visszavonás ellenőrzésre. Ez a feladatlista segít a nyilvános kulcsok infrastruktúrája (PKI) rendszergazdáinak a kapcsolat nélküli legfelső szintű hitelesítő szervezet által kiállított bizonyítványokra vonatkozó bizonyítvány-visszavonás ellenőrzésének beállításában.

A vállalati hitelesítő szervezetek konfigurálásával kapcsolatos további információt a Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése intranethez című témakörben talál.

Az önálló hitelesítő szervezetek beállítására vonatkozó további tájékoztatás a Feladatlista: Hitelesítő szervezetek és PKI üzembe helyezése az Internethez című témakörben található.

Lépés | Hivatkozás
Fogalmak áttekintése |
A nyilvános kulcsok infrastruktúrájával kapcsolatos fogalmak áttekintése. | Nyilvános kulcsok infrastruktúrája
Bizonyítványokkal kapcsolatos fogalmak áttekintése. | Bizonyítványokkal kapcsolatos fogalmak
Hitelesítő szervezetekkel kapcsolatos fogalmak áttekintése. | Bizonyítványszolgáltatásokkal kapcsolatos fogalmak
Kapcsolat nélküli legfelső szintű hitelesítő szervezet beállítása |
Hitelesítési hierarchia megtervezése | Hitelesítő szervezetek hierarchiája
A legfelső szintű hitelesítő szervezethez használni kívánt Windows 2000 kiszolgáló beállítása. A kiszolgálóra telepíteni kell az Internet Information Services (IIS) programot. Ezen kívül a kiszolgálónak egy Active Directory tartomány tagkiszolgálójának kell lennie. | A Windows 2000 Server rendszer beállítása
A legfelső szintű hitelesítő szervezet megújítási stratégiájának megtervezése | Hitelesítő szervezetek megújítása
Bejelentkezés a hálózatra tartományi rendszergazdaként és a legfelső szintű hitelesítő szervezet telepítése a kapcsolat nélküli (hálózatról leválasztott) kiszolgálóra. A legfelső szintű hitelesítő szervezetet úgy kell telepíteni, hogy közben a kiszolgáló a hálózatra van csatlakoztatva, így a kiszolgáló frissíteni tudja az Active Diretoryt, és a gyökérbizonyítvány automatikusan megbízható lesz bármely, a tartományban lévő számítógép vagy felhasználó számára. | Önálló legfelső szintű hitelesítő szervezet telepítése
Az új legfelső szintű hitelesítő szervezetben módosítsa a visszavont bizonyítványok listájára (CRL) vonatkozó elosztási pont URL-címét egy olyan tetszés szerinti címre, amely a cég hálózatán lévő valamennyi felhasználó számára hozzáférhető. Több URL-címet is megadhat. Erre azért van szükség, mert a kapcsolat nélküli legfelső hitelesítő szervezet alapértelmezett CRL terjesztési pontjai (CDP) nem hozzáférhetők a hálózaton a felhasználók számára, és ha ezek változatlanul maradnak, a bizonyítvány visszavonásának ellenőrzése nem fog megfelelően működni. | CRL terjesztési pontok meghatározása kiállított bizonyítványokban
A visszavont bizonyítványok közzétételének ütemezése. | A visszavont bizonyítványok közzétételének ütemezése
Minden alsóbb szintű hitelesítési szervezethez |
Windows 2000 kiszolgáló beállítása minden alsóbb szintű hitelesítő szervezethez | A Windows 2000 Server rendszer beállítása
Alsóbb szintű hitelesítő szervezetek telepítése a tervezett hitelesítési hierarchia szerint. Ezek lehetnek önálló hitelesítő szervezetek vagy (Active Directory használata esetén) vállalati hitelesítő szervezetek. Az egyes alsóbb szintű hitelesítő szervezetek telepítésekor válassza a hitelesítő szervezet bizonyítványkérelmének fájlba mentését, ami egy PKCS 10 kérés lesz. | Önálló alsóbb szintű, hitelesítő szervezet telepítése; Alsóbb szintű vállalati hitelesítő szervezet telepítése
A hitelesítő szervezet bizonyítványkérelem fájljának átmásolása az alsóbb szintű hitelesítő szervezettől valamilyen hordozható tárolóeszközre. A hitelesítő szervezet bizonyítványkérelmének áthelyezése a legfelső szintű hitelesítő szervezethez. |
A PKCS 10 számú kérés elküldése a legfelső szintű hitelesítő szervezet weblapjainak felhasználásával az alsóbb szintű hitelesítő szervezet bizonyítványának beszerzésére. | Bizonyítvány igénylése PKCS 10 fájl használatával
A legfelső szintű hitelesítő szervezet folyamatban lévő bizonyítványkérelmeinek elfogadása és a hitelesítő szervezet bizonyítványának kiállítása a Hitelesítő szervezet beépülő modul segítségével. | Folyamatban lévő bizonyítványkérelmek áttekintése
A jóváhagyott, folyamatban lévő bizonyítványkérelmek ellenőrzése a legfelső szintű hitelesítő szervezet weblapjainak használatával. Az új bizonyítvány, és ha rendelkezésre áll, a bizonyítványlánc letöltése a hordozható tárolóeszközön található fájlokba. | Folyamatban lévő bizonyítványkérelem ellenőrzése
Vigye vissza a hordozható tárolóeszközt az alsóbb szintű hitelesítő szervezethez. A Windows Intézőben keresse meg az előzőleg másolt bizonyítvány és bizonyítványlánc fájlokat, jobb oldali egérgombbal kattintson az egyes fájlokra és válassza a Bizonyítvány telepítése parancsot. A Bizonyítványimportáló varázsló segítségével automatikusan helyezze a bizonyítványokat a bizonyítvány típusa szerinti tárolókba. | Bizonyítvány importálása
Mielőtt az alsóbb szintű hitelesítő szervezetről bizonyítványt állítana ki, és minden alkalommal azt követően, hogy a kapcsolat nélküli legfelső szintű hitelesítő szervezet közzéteszi az új visszavont bizonyítványok listáját. |
Visszavont bizonyítványok listájának közzététele a legfelső szintű hitelesítő szervezeten. (Ezt csak akkor végezze el, ha annak CRL közzétételi ütemezése még nem adta ki azt.) | Visszavont bizonyítványok listájának közzététele kézzel
A Windows Intézőben, legfelső szintű hitelesítő szervezeten keresse meg az ön által közzétett visszavont bizonyítványok listáját. A visszavont bizonyítványok listájának alapértelmezett helye a következő: \rendszergyökér\system32\CertEnroll\hitelsítő_szervezet_neve.crl Jobb oldali egérgombbal kattintson a CRL-fájlra és küldje azt egy hordozható tárolóeszközzel rendelkező meghajtóra. |
A visszavont bizonyítványok listájának másolása minden olyan URL-címre, amelyet URL terjesztési pontként határozott meg a legfelső szintű hitelesítő szervezet irányelvének beállításakor. A rendszerei ezt követően el tudják végezni a bizonyítvány-visszavonás ellenőrzését a kapcsolat nélküli legfelső szintű hitelesítő szervezet által kiállított bizonyítványokon. |


Gyakorlati tanácsok

  • A hitelesítő szervezetek (CA) kialakítása előtt tervezze meg a nyilvános kulcsok infrastruktúráját (PKI).

    A nyilvános kulcsok infrastruktúrájának megtervezéséhez információt a Bizonyítványszolgáltatásokkal kapcsolatos fogalmak és az Forrásmunkák: nyilvános kulcsok infrastruktúrája című témakörökben talál.

  • A legfelső szintű hitelesítő szervezetnek (CA) kapcsolat nélkülinek kell lennie, továbbá aláírási kulcsát hardverrel kell védeni és elzárt helyen tartani a kulcs biztonságának növelése érdekében.

    További információt a Feladatlista: Hitelesítési hierarchia létrehozása kapcsolat nélküli legfelső szintű hitelesítő szervezettel című témakörben talál.

  • Amennyiben a Windows 2000 hitelesítő szervezethez egyéni irányelvmodult kíván használni, önálló irányelv használatával kell telepítenie a Bizonyítványszolgáltatásokat, majd az önálló irányelvet az egyéni irányelvére kell lecserélni. A hitelesítő szervezet vállalati irányelvének lecserélése egyéni irányelvre nem támogatott és előre nem látható következményekkel járhat.

  • Csak a hitelesítő szervezet (CA) biztonsági engedélyeit módosítsa a Hitelesítő szervezet beépülő modul segítségével. Az engedélyek más eljárással (például az Active Directory - helyek és szolgáltatások beépülő modul segítségével) történő beállítása problémákat okozhat a hitelesítő szervezet elérését megkísérlő és attól bizonyítványokat kérő felhasználók számára.

    További információt a Hitelesítő szervezet biztonsági engedélyeinek beállítása és vezérlésének delegálása című témakörben talál.

  • A szervezetek nem adhatnak ki bizonyítványokat felhasználók vagy számítógépek számára közvetlenül a legfelső szintű hitelesítő szervezettől (CA), hanem legalább háromszintű, legfelső, közbenső és kiállító szervezetekből álló hierarchiát kell létrehozni. Ezzel biztosítható a rugalmasság és a legfelső szintű hitelesítő szervezet elszigetelése a személyes kulcsának biztonságát veszélyeztető illetéktelen személyektől.

    További információt az alábbi témakörökben talál:

    • Hitelesítő szervezetek hierarchiája
    • Hitelesítési hierarchia létrehozása
  • Feltétlenül készítsen biztonsági másolatot a hitelesítő szervezet (CA) adatbázisáról, bizonyítványairól és kulcsairól, ezzel megelőzve azok esetleges elvesztését. A hitelesítő szervezetről rendszeresen (naponta, hetente, havonta) kell biztonsági másolatot készíteni, az adott időtartam alatt kibocsátott bizonyítványok számától függően. Minél több bizonyítványt állít ki, annál gyakrabban kell biztonsági másolatot készíteni a hitelesítő szervezetről.

    További információt a Hitelesítő szervezet biztonsági mentése és visszaállítása című témakörben talál.

  • Tekintse át a Windows operációs rendszer biztonsági engedélyeivel és hozzáférés-vezérlésével kapcsolatos fogalmakat, mivel a vállalati hitelesítő szervezetek a bizonyítványt kérő biztonsági engedélyei alapján állíthatnak ki bizonyítványokat.

    A Windows 2000 rendszer hozzáférés-vezérléséről és biztonsági engedélyeiről általános tájékoztatást a Hozzáférés-vezérlés című témakörben talál. A hitelesítő szervezet hozzáférés-vezérlésének beállításáról a Hitelesítő szervezet biztonsági engedélyeinek beállítása és vezérlésének delegálása című témakörben olvashat. A bizonyítványsablonok vállalati szintű hozzáférés-vezérlésének beállításáról információt a Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása című témakörben talál.


Útmutató

  • Hitelesítő szervezet beállítása
  • Hitelesítő szervezet felügyelete


Hitelesítő szervezet beállítása

  • Legfelső szintű vállalati hitelesítő szervezet telepítése
  • Alsóbb szintű vállalati hitelesítő szervezet telepítése
  • Önálló legfelső szintű hitelesítő szervezet telepítése
  • Önálló alsóbb szintű hitelesítő szervezet telepítése
  • Hitelesítő szervezet eltávolítása
  • Webes beiktatással kiegészített hitelesítő szervezet beállítása


Legfelső szintű vállalati hitelesítő szervezet telepítése

  1. Jelentkezzen be a rendszerre tartományi rendszergazdaként.
  2. Mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra.
  3. Kattintson duplán a Programok telepítése/törlése, majd a Windows-összetevők hozzáadása/eltávolítása ikonra.
  4. A Windows-összetevők varázslóban jelölje be a Bizonyítványszolgáltatások jelölőnégyzetet. A megjelenő párbeszédpanel tájékoztatja, hogy a számítógép nem nevezhető át és nem csatlakoztatható tartományhoz vagy távolítható el tartományból a Bizonyítványszolgáltatások telepítése után. Kattintson az Igen, majd a Tovább gombra.
  5. Jelölje be a Vállalati gyökér választógombot.
  6. (Választható) A következők megadásához jelölje be a Speciális beállítások jelölőnégyzetet.
    Speciális beállítások | Megjegyzés
    Titkosításszolgáltató (CSP) | A Microsoft Base Cryptographic Provider az alapértelmezett. A Bizonyítványszolgáltatások nem támogatja a külső titkosításszolgáltatókat, de a Bizonyítványszolgáltatások és a titkosításszolgáltató együttes használatára vonatkozó információt a titkosításszolgáltató gyártójának dokumentációjában talál.
    Ujjlenyomat-algoritmus | Az alapértelmezett érték az SHA-1.
    Létező kulcsok használata | Ha ezt a jelölőnégyzetet bejelöli, a meglévő nyilvános kulcs és személyes kulcs párt használhatja, újak létrehozása helyett. Ez akkor hasznos, ha egy előzőleg telepített hitelesítő szervezetet (CA) helyez át vagy állít vissza.
    Kulcshossz | A Microsoft Base Cryptographic Provider esetében az alapértelmezett kulcshossz 512 bit. Más titkosításszolgáltatók alapértelmezett kulcshossza ettől eltérő lehet. Minél nagyobb a kulcshossz, általában annál biztonságosabb a kulcs. Legfelső szintű hitelesítő szervezethez ajánlott legalább 2048 bites kulcshosszúságot használni. Ha meglévő kulcsokat használ, ez a lehetőség nem áll rendelkezésre.
    Ha készen van, kattintson a Tovább gombra.
  7. Írja be a hitelesítő szervezet nevét és más szükséges adatokat. A hitelesítő szervezet telepítésének befejezése után ezen adatok egyike sem módosítható.
  8. Az Érvényesség időtartama mezőben adja meg a legfelső szintű hitelesítő szervezet érvényességi időtartamát. Az érték beállításának szempontjait a lenti, Megjegyzések című rész tartalmazza. Kattintson a Tovább gombra.
  9. Határozza meg a bizonyítvány-adatbázis, a bizonyítvány-adatbázis napló és a megosztott mappa tárolási helyeit. Kattintson a Tovább gombra.
  10. Ha a World Wide Web közzétételi szolgáltatás fut, a rendszer kérni fogja a szolgáltatás leállítását a telepítés folytatása előtt. Kattintson az OK gombra.
  11. Ha felszólítást kap, írja be a Bizonyítványszolgáltatások telepítőfájljainak elérési útját.

Megjegyzések

  • A vállalati legfelső szintű hitelesítő szervezet kijelöléséhez az szükséges, hogy a gazdaszámítógép egy tartomány tagja legyen és használja az Active Directoryt. A vállalati hitelesítő szervezetet telepítő rendszergazdának engedéllyel kell rendelkeznie az Active Directory írásához.
  • Ha rendelkezik engedéllyel az Active Directory írásához, a megosztott mappa meghatározása nem kötelező és nem tipikus a vállalati hitelesítő szervezeteknél.
  • A hitelesítő szervezet választott érvényességi időtartama határozza meg, hogy mikor „jár le” a hitelesítő szervezet. A hitelesítő szervezetek megújításával kapcsolatos információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Egyes Windows-összetevőket használat előtt konfigurálni kell. Ha ezek közül egy vagy több összetevőt telepített, de nem konfigurálta őket, kattintson a Windows-összetevők hozzáadása/eltávolítása gombra, és megjelenik a konfigurálásra szoruló összetevők listája. A Windows-összetevők varázsló elindításához kattintson az Összetevők gombra.

Kapcsolódó témakörök


Alsóbb szintű vállalati hitelesítő szervezet telepítése

  1. Jelentkezzen be a rendszerre tartományi rendszergazdaként.
  2. Mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra.
  3. Kattintson duplán a Programok telepítése/törlése, majd a Windows-összetevők hozzáadása/eltávolítása ikonra.
  4. A Windows-összetevők varázslóban jelölje be a Bizonyítványszolgáltatások jelölőnégyzetet. Egy párbeszédpanel jelenik meg, mely tájékoztatja, hogy a számítógép nem nevezhető át és nem csatlakoztatható tartományhoz, illetve tartományból nem távolítható el a Bizonyítványszolgáltatások telepítése után. Kattintson az Igen, majd a Tovább gombra.
  5. Jelölje be a Vállalati közbenső szintű választógombot.
  6. (Választható) A következők megadásához jelölje be a Speciális beállítások jelölőnégyzetet.
    Speciális beállítások | Megjegyzés
    Titkosításszolgáltató (CSP) | A Microsoft Base Cryptographic Provider az alapértelmezett. A Bizonyítványszolgáltatások nem támogatja más gyártók titkosításszolgáltatóit, de a Bizonyítványszolgáltatások és az adott titkosításszolgáltató együttes használatára vonatkozó információt a titkosításszolgáltató forgalmazójának dokumentációjában talál.
    Ujjlenyomat-algoritmus | Az alapértelmezett érték az SHA-1.
    Létező kulcsok használata | Ha ezt a jelölőnégyzetet bejelöli, a meglévő nyilvános kulcs és személyes kulcs párt használhatja, újak létrehozása helyett. Ez akkor hasznos, ha egy előzőleg telepített hitelesítő szervezetet (CA) helyez át vagy állít vissza.
    Kulcshossz | A Microsoft Base Cryptographic Provider esetében az alapértelmezett kulcshossz 512 bit. Más titkosításszolgáltatók alapértelmezett kulcshossza változó lehet. Általánosan elmondható, hogy minél nagyobb a kulcshossz, annál biztonságosabb a kulcs. Alsóbb szintű hitelesítő szervezet esetében legalább 1024 bites kulcshosszúságot kell használni. Ha meglévő kulcsokat használ, ez a lehetőség nem áll rendelkezésre.
    Ha végzett, kattintson a Tovább gombra.
  7. Írja be a hitelesítő szervezet nevét és más szükséges azonosító adatokat. A hitelesítő szervezet telepítésének befejezése után ezen adatok nem módosíthatók. Kattintson a Tovább gombra.
  8. Határozza meg a bizonyítvány-adatbázis, a bizonyítvány-adatbázis naplója és a megosztott mappa tárolási helyeit. Kattintson a Tovább gombra.
  9. Igényelje az alsóbb szintű hitelesítő szervezet bizonyítványát. Az erre vonatkozó utasításokat a Megjegyzések című részben találja.
  10. Ha a World Wide Web közzétételi szolgáltatás fut, a rendszer a szolgáltatás leállítását kéri a telepítés folytatása előtt. Kattintson az OK gombra.
  11. Ha felszólítást kap, írja be a Bizonyítványszolgáltatások telepítőfájljainak elérési útját.

Megjegyzések

  • Alsóbb szintű hitelesítő szervezet bizonyítványának igényléséhez a szülő hitelesítő szervezethez kell benyújtania a bizonyítványkérelmet. Ennek végrehajtási eljárása attól függ, hogy a szülő hitelesítő szervezet on-line elérhető-e.
    • Ha a szülő hitelesítő szervezet on-line elérhető:
      1. Jelölje be a A kérelem közvetlen küldése a hálózaton lévő hitelesítő szervezetnek választógombot.
      2. A Számítógépnév mezőbe írja be annak a számítógépnek a nevét, amelyikre a szülő hitelesítő szervezetet telepítette.
      3. A szervezet szülője legördülő listában kattintson a szülő hitelesítő szervezetre.
    • Ha a szülő hitelesítő szervezet on-line nem elérhető:
      1. Jelölje be A kérelem mentése fájlba választógombot.
      2. A Kérelemfájl mezőbe írja be annak a fájlnak az elérési útját és nevét, amely a kérelmet fogja tárolni.
      3. Igényelje az alsóbb szintű hitelesítő szervezeti bizonyítványt a szülő hitelesítő szervezettől.

        Ennek végrehajtási eljárása egyedi lesz a szülő hitelesítő szervezetre. A szülő hitelesítő szervezetnek biztosítania kell legalább az alsóbb szintű hitelesítő szervezet újonnan kiállított bizonyítványát tartalmazó fájt és lehetőleg annak teljes bizonyítványláncát. A bizonyítványkérelem Windows 2000 hitelesítő szervezet számára fájl használatával történő benyújtásával kapcsolatos információt a Kapcsolódó témakörök című témakörben talál.

        Ha olyan alsóbb szintű hitelesítő szervezeti bizonyítványt kap, amelyik nem tartalmazza a teljes bizonyítványláncot, a telepítés alatt álló új alsóbb szintű hitelesítő szervezetnek fel kell építeni egy érvényes hitelesítőszervezet-láncot az elindításkor. Így a szülő hitelesítő szervezet, valamint a láncban lévő bármely más közbenső szintű hitelesítő szervezet bizonyítványát a számítógép Közbenső szintű hitelesítő szervezetek bizonyítványtárolójába (ha a szülő hitelesítő szervezet nem a legfelső szintű szervezet), a láncban lévő legfelső szintű hitelesítő szervezet bizonyítványát pedig a Megbízható legfelső szintű hitelesítő szervezetek tárolójába kell telepítenie. Ezeket a bizonyítványokat azelőtt kell a bizonyítványtárolókba telepíteni, mielőtt a hitelesítő szervezeti bizonyítványt az éppen beállított alsóbb szintű hitelesítő szervezetre telepíti.

      4. Nyissa meg a Hitelesítő szervezet szolgáltatást.
      5. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

        Helye:

        • Hitelesítő szervezet (számítógép)
        • Hitelesítő szervezet neve
      6. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a CA-bizonyítvány telepítése parancsra.
      7. Keresse meg a szülő hitelesítő szervezettől kapott bizonyítványfájlt, kattintson rá, majd kattintson a Megnyitás gombra.
  • Az alsóbb szintű vállalati hitelesítő szervezet kijelöléséhez az szükséges, hogy a gazdaszámítógép egy tartomány tagja legyen és használja az Active Directoryt. A vállalati hitelesítő szervezetet telepítő rendszergazdának engedéllyel kell rendelkeznie az Active Directory írásához.
  • Ha rendelkezik engedéllyel az Active Directory írásához, a megosztott mappa meghatározása nem kötelező, és nem tipikus a vállalati hitelesítő szervezeteknél.
  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Egyes Windows-összetevőket használat előtt konfigurálni kell. Ha ezek közül egy vagy több összetevőt telepített, de nem konfigurálta őket, kattintson a Windows-összetevők hozzáadása/eltávolítása gombra, és megjelenik a konfigurálásra szoruló összetevők listája. A Windows-összetevők varázsló elindításához kattintson az Összetevők gombra.

Kapcsolódó témakörök


Önálló legfelső szintű hitelesítő szervezet telepítése

  1. Jelentkezzen be a rendszerre rendszergazdaként, vagy ha rendelkezik Active Directoryval, akkor tartományi rendszergazdaként.
  2. Mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra.
  3. Kattintson duplán a Programok telepítése/törlése, majd a Windows-összetevők hozzáadása/eltávolítása ikonra.
  4. A Windows-összetevők varázslóban jelölje be a Bizonyítványszolgáltatások jelölőnégyzetet. A megjelenő párbeszédpanel tájékoztatja, hogy a számítógép nem nevezhető át és nem csatlakoztatható tartományhoz, illetve nem távolítható el tartományból a Bizonyítványszolgáltatások telepítése után. Kattintson az Igen, majd a Tovább gombra.
  5. Jelölje be a Különálló gyökér választógombot.
  6. (Választható) A következők megadásához jelölje be a Speciális beállítások jelölőnégyzetet.
    Speciális beállítások | Megjegyzés
    Titkosításszolgáltató (CSP) | A Microsoft Base Cryptographic Provider az alapértelmezett titkosításszolgáltató. A Bizonyítványszolgáltatások nem támogatja más gyártók titkosításszolgáltatóit, de a Bizonyítványszolgáltatások és az adott titkosításszolgáltató együttes használatára vonatkozó információt a titkosításszolgáltató forgalmazójának dokumentációjában talál.
    Ujjlenyomat-algoritmus | Az alapértelmezett érték az SHA-1.
    Létező kulcsok használata | Ha ezt a jelölőnégyzetet bejelöli, a meglévő nyilvános kulcs és személyes kulcs párt használhatja, újak létrehozása helyett. Ez akkor hasznos, ha egy előzőleg telepített hitelesítő szervezetet (CA) helyez át vagy állít vissza.
    Kulcshossz | A Microsoft Base Cryptographic Provider esetében az alapértelmezett kulcshossz 512 bit. Más titkosításszolgáltatók alapértelmezett kulcshossza ettől eltérő lehet. Minél nagyobb a kulcshossz, általában annál biztonságosabb a kulcs. Legfelső szintű hitelesítő szervezet esetében ajánlott legalább 2048 bites kulcshosszúságot használni. Ha meglévő kulcsokat használ, ez a lehetőség nem áll rendelkezésre.
    Ha készen van, kattintson a Tovább gombra.
  7. Írja be a hitelesítő szervezet nevét és más szükséges adatokat. A hitelesítő szervezet telepítésének befejezése után ezen adatok egyike sem módosítható.
  8. Az Érvényesség időtartama mezőben adja meg a legfelső szintű hitelesítő szervezet érvényességi időtartamát. Az érték beállításának szempontjait a lenti megjegyzés tartalmazza. Kattintson a Tovább gombra.
  9. Határozza meg a bizonyítvány-adatbázis, a bizonyítvány-adatbázis napló és a megosztott mappa tárolási helyeit. Kattintson a Tovább gombra.
  10. Ha a World Wide Web közzétételi szolgáltatás fut, a rendszer kérni fogja a szolgáltatás leállítását a telepítés folytatása előtt. Kattintson az OK gombra.
  11. Ha felszólítást kap, írja be a Bizonyítványszolgáltatások telepítőfájljainak útvonalát.

Megjegyzések

  • Ha rendelkezésre áll az Active Directory, és engedéllyel rendelkezik annak írására, a megosztott mappa meghatározása nem kötelező.
  • A hitelesítő szervezethez választott érvényességi időtartam határozza meg, hogy mikor „jár le” a hitelesítő szervezet. A hitelesítő szervezetek megújításával kapcsolatos információért kattintson a Kapcsolódó témakörök hivatkozásra.
  • Egyes Windows-összetevőket használat előtt konfigurálni kell. Ha ezek közül egy vagy több összetevőt telepített, de nem konfigurálta őket, kattintson a Windows-összetevők hozzáadása/eltávolítása gombra, és megjelenik a konfigurálásra szoruló összetevők listája. A Windows-összetevők varázsló elindításához kattintson az Összetevők gombra.

Kapcsolódó témakörök


Önálló alsóbb szintű hitelesítő szervezet telepítése

  1. Jelentkezzen be a rendszerre rendszergazdaként, vagy ha rendelkezik Active Directoryval, akkor tartományi rendszergazdaként.
  2. Mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra.
  3. Kattintson duplán a Programok telepítése/törlése, majd a Windows-összetevők hozzáadása/eltávolítása ikonra.
  4. A Windows-összetevők varázslóban jelölje be a Bizonyítványszolgáltatások jelölőnégyzetet. A megjelenő párbeszédpanel tájékoztatja, hogy a számítógép nem nevezhető át és nem csatlakoztatható tartományhoz, illetve nem távolítható el tartományból a Bizonyítványszolgáltatások telepítése után. Kattintson az Igen, majd a Tovább gombra.
  5. Jelölje be a Különálló közbülső szintű választógombot.
  6. (Választható) A következők megadásához jelölje be a Speciális beállítások jelölőnégyzetet.
    Speciális beállítások | Megjegyzés
    Titkosításszolgáltató (CSP) | A Microsoft Base Cryptographic Provider az alapértelmezett titkosításszolgáltató. A Bizonyítványszolgáltatások nem támogatja más gyártók titkosításszolgáltatóit, de a Bizonyítványszolgáltatások és az adott titkosításszolgáltató együttes használatára vonatkozó információt a titkosításszolgáltató forgalmazójának dokumentációjában talál.
    Ujjlenyomat-algoritmus | Az alapértelmezett érték az SHA-1.
    Létező kulcsok használata | Ha ezt a jelölőnégyzetet bejelöli, a meglévő nyilvános kulcs és személyes kulcs párt használhatja, újak létrehozása helyett. Ez akkor hasznos, ha egy előzőleg telepített hitelesítő szervezetet (CA) helyez át vagy állít vissza.
    Kulcshossz | A Microsoft Base Cryptographic Provider esetében az alapértelmezett kulcshossz 512 bit. Más titkosításszolgáltatók alapértelmezett kulcshossza változó lehet. Minél nagyobb a kulcshossz, általában annál biztonságosabb a kulcs. Alsóbb szintű hitelesítő szervezetesetében ajánlott legalább 1024 bites kulcshosszúságot használni. Ha meglévő kulcsokat használ, ez a lehetőség nem áll rendelkezésre.
    Ha készen van, kattintson a Tovább gombra.
  7. Írja be a hitelesítő szervezet nevét és egyéb szükséges adatokat. A hitelesítő szervezet telepítésének befejezése után ezen adatok egyike sem módosítható. Kattintson a Tovább gombra.
  8. Határozza meg a bizonyítvány-adatbázis, a bizonyítvány-adatbázis napló és a megosztott mappa tárolási helyeit. Kattintson a Tovább gombra.
  9. Igényelje az alsóbb szintű hitelesítő szervezet bizonyítványát. Az ezzel kapcsolatos tudnivalókat a Megjegyzések című részben találja.
  10. Ha a World Wide Web közzétételi szolgáltatás fut, a rendszer kérni fogja a szolgáltatás leállítását a telepítés folytatása előtt. Kattintson az OK gombra.
  11. Ha felszólítást kap, írja be a Bizonyítványszolgáltatások telepítőfájljainak elérési útját.

Megjegyzések

  • Alsóbb szintű hitelesítő szervezet bizonyítványának igényléséhez a szülő hitelesítő szervezethez kell benyújtania a bizonyítványkérelmet. Ennek végrehajtási eljárása attól függ, hogy a szülő hitelesítő szervezet on-line elérhető-e.
    • Ha a szülő hitelesítő szervezet on-line elérhető:
      1. Jelölje be a A kérelem közvetlen küldése a hálózaton lévő hitelesítő szervezetnek választógombot.
      2. A Számítógépnév mezőbe írja be annak a számítógépnek a nevét, amelyikre a szülő hitelesítő szervezetet telepítette.
      3. A szervezet szülője legördülő listában kattintson a szülő hitelesítő szervezetre.
    • Ha a szülő hitelesítő szervezet on-line nem elérhető:
      1. Jelölje be A kérelem mentése fájlba választógombot.
      2. A Kérelemfájl mezőbe írja be annak a fájlnak az elérési útját és nevét, amely a kérelmet fogja tárolni.
      3. Igényelje az alsóbb szintű hitelesítő szervezet bizonyítványát a szülő hitelesítő szervezettől.

        Ennek végrehajtási eljárása egyedi lesz a szülő hitelesítő szervezetre. A szülő hitelesítő szervezetnek biztosítania kell legalább az alsóbb szintű hitelesítő szervezet újonnan kiállított bizonyítványát tartalmazó fájt és lehetőleg annak teljes bizonyítványláncát. A bizonyítványkérelem Windows 2000 hitelesítő szervezet számára fájl használatával történő benyújtásával kapcsolatos információért kattintson a Kapcsolódó témakörök hivatkozásra.

        Ha olyan alsóbb szintű hitelesítő szervezeti bizonyítványt kap, amelyik nem tartalmazza a teljes bizonyítványláncot, a telepítés alatt álló új alsóbb szintű hitelesítő szervezetnek fel kell építeni egy érvényes hitelesítőszervezet-láncot az elindításkor. Így a szülő hitelesítő szervezet, valamint a láncban lévő bármely más közbenső szintű hitelesítő szervezet bizonyítványát a számítógép Közbenső szintű hitelesítő szervezetek bizonyítványtárolójába (ha a szülő hitelesítő szervezet nem a legfelső szintű szervezet), a láncban lévő legfelső szintű hitelesítő szervezet bizonyítványát pedig a Megbízható legfelső szintű hitelesítő szervezetek tárolójába kell telepítenie. Ezeket a bizonyítványokat azelőtt kell a bizonyítványtárolókba telepíteni, mielőtt a hitelesítő szervezeti bizonyítványt az éppen beállított alsóbb szintű hitelesítő szervezetre telepíti.

      4. Nyissa meg a Hitelesítő szervezet szolgáltatást.
      5. A konzolfán kattintson a hitelesítő szervezet nevére.

        Helye:

        • Hitelesítő szervezet (számítógép)
        • Hitelesítő szervezet neve
      6. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a CA-bizonyítvány telepítése parancsra.
      7. Keresse meg a szülő hitelesítő szervezettől kapott bizonyítványfájlt, kattintson rá, majd kattintson a Megnyitás gombra.
  • Ha rendelkezésre áll az Active Directory, és engedéllyel rendelkezik annak írására, a megosztott mappa meghatározása nem kötelező.
  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Egyes Windows-összetevőket használat előtt konfigurálni kell. Ha ezek közül egy vagy több összetevőt telepített, de nem konfigurálta őket, kattintson a Windows-összetevők hozzáadása/eltávolítása gombra, és megjelenik a konfigurálásra szoruló összetevők listája. A Windows-összetevők varázsló elindításához kattintson az Összetevők gombra.

Kapcsolódó témakörök


Hitelesítő szervezet eltávolítása

  1. Mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra.
  2. Kattintson duplán a Programok telepítése/törlése, majd a Windows-összetevők hozzáadása/eltávolítása ikonra.
  3. A Windows-összetevők varázslóban törölje a Bizonyítványszolgáltatások jelölőnégyzet jelölését, majd kattintson a Tovább gombra.
  4. Ha a World Wide Web közzétételi szolgáltatás fut, a rendszer kérni fogja a szolgáltatás leállítását a telepítés folytatása előtt. Kattintson az OK gombra.

Megjegyzések

  • A hitelesítő szervezet (CA) eltávolítása előtt ajánlott biztonsági másolatot készíteni a teljes kiszolgálóról.
  • A hitelesítő szervezet eltávolításakor a következő információk maradnak a kiszolgálón:
    • A hitelesítő szervezet adatbázisa
    • A hitelesítő szervezet nyilvános és személyes kulcsai
    • A hitelesítő szervezet bizonyítványai a személyes tárolóban
    • A hitelesítő szervezet bizonyítványai a megosztott mappában (ha a Bizonyítványszolgáltatások telepítése során megosztott mappát határozott meg)
    • A hitelesítőszervezet-lánc gyökérbizonyítványa a Megbízható legfelső szintű hitelesítő szervezetek tárolóban
    • A hitelesítőszervezet-lánc közbenső szintű bizonyítványai a Közbenső szintű hitelesítő szervezetek tárolóban
    • A hitelesítő szervezetre vonatkozó visszavont bizonyítványok listája (CRL)

    Ezek az információk alapértelmezés szerint megmaradnak a kiszolgálón arra az esetre, ha eltávolítja és azután újratelepíti a hitelesítő szervezetet. Az eltávolításra és az újratelepítésre akkor lehet szükség, ha egy önálló hitelesítő szervezetet vállalati hitelesítő szervezetre akar módosítani.

  • Egyes Windows-összetevőket használat előtt konfigurálni kell. Ha ezek közül egy vagy több összetevőt telepített, de nem konfigurálta őket, kattintson a Windows-összetevők hozzáadása/eltávolítása gombra, és megjelenik a konfigurálásra szoruló összetevők listája. A Windows-összetevők varázsló elindításához kattintson az Összetevők gombra.

Kapcsolódó témakörök


Webes beiktatással kiegészített hitelesítő szervezet beállítása

  1. Jelentkezzen be a rendszerre rendszergazdaként, vagy ha rendelkezik Active Directoryval, akkor tartományi rendszergazdaként.
  2. Mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra.
  3. Kattintson duplán a Programok telepítése/törlése, majd a Windows-összetevők hozzáadása/eltávolítása ikonra.
  4. A Windows-összetevők varázslóban jelölje be a Bizonyítványszolgáltatások jelölőnégyzetet. A megjelenő párbeszédpanel tájékoztatja, hogy a számítógép nem nevezhető át és nem csatlakoztatható tartományhoz, illetve nem távolítható el tartományból a Bizonyítványszolgáltatások telepítése után. Kattintson az Igen, majd a Részletek gombra.
  5. Törölje a Bizonyítványszolgáltatások CA jelölőnégyzet jelölését, ellenőrizze, hogy a Bizonyítványszolgáltatások webes beiktatással kiegészítve jelölőnégyzet be van-e jelölve, majd kattintson az OK gombra. Kattintson a Tovább gombra.
  6. A Számítógépnév mezőbe írja be annak a számítógépnek a nevét, amelyre azt a hitelesítő szervezetet (CA) telepítette, amelyhez ezeket a webes beiktatási lapokat használni fogja. A hitelesítő szervezet neve megjelenik a listában. Kattintson a Tovább gombra.
  7. Ha a World Wide Web közzétételi szolgáltatás fut, a rendszer kérni fogja a szolgáltatás leállítását a telepítés folytatása előtt. Kattintson az OK gombra.
  8. Ha felszólítást kap, írja be a Bizonyítványszolgáltatások telepítőfájljainak elérési útját.

Megjegyzések

  • A hitelesítő szervezet webes beiktatási lapjainak telepítése előtt a kiszolgálóra telepíteni kell az Internet Information Services (IIS) programot.
  • A hitelesítő szervezet webes beiktatási lapjainak telepítése alapértelmezés szerint megtörténik, ha a Bizonyítványszolgáltatásokat olyan kiszolgálóra telepíti, amelyre az IIS programot már telepítették. Ez az eljárás csak akkor szükséges, ha nem arra a kiszolgáló akarja a hitelesítő szervezet webes beiktatási lapokat telepíteni, amire a hitelesítő szervezetet telepítette.
  • Ha a Bizonyítványszolgáltatások telepítésekor módosította az alapértelmezett beállítást, és nem telepítette a hitelesítő szervezet kiszolgálójára a hitelesítő szervezet webes beiktatási lapjait, azok telepítéséhez a hitelesítő szervezet parancssorából futtassa a certutil -vroot parancsot.
  • Egyes Windows-összetevőket használat előtt konfigurálni kell. Ha ezek közül egy vagy több összetevőt telepített, de nem konfigurálta őket, kattintson a Windows-összetevők hozzáadása/eltávolítása gombra, és megjelenik a konfigurálásra szoruló összetevők listája. A Windows-összetevők varázsló elindításához kattintson az Összetevők gombra.

Kapcsolódó témakörök


Hitelesítő szervezet felügyelete

  • A hitelesítő szervezet szolgáltatás indítása és leállítása
  • A hitelesítő szervezet bizonyítványának megtekintése
  • Hitelesítő szervezet biztonsági mentése
  • Hitelesítő szervezet visszaállítása biztonsági másolatból
  • Biztonsági beállítások megadása a hitelesítő szervezet weblapjainak eléréséhez
  • Legfelső szintű hitelesítő szervezet megújítása
  • Alsóbb szintű hitelesítő szervezet megújítása
  • A Hitelesítő szervezet beépülő modul használata
  • A bizonyítványok visszavonásának kezelése
  • Bizonyítványkérelmek kezelése önálló hitelesítő szervezetben
  • Vállalati hitelesítő szervezet bizonyítványsablonjainak kezelése
  • Hitelesítő szervezet irányelv-beállításainak módosítása
  • Bizonyítványok hozzárendelése felhasználói fiókokhoz
  • Hitelesítő szervezet irányelv- és kilépési moduljainak módosítása


A hitelesítő szervezet szolgáltatás indítása és leállítása

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Mutasson a Művelet menü Feladatok pontjára, és a szolgáltatás elindításához kattintson a Szolgáltatás indítása, annak leállításához pedig a Szolgáltatás leállítása parancsra.

Megjegyzés

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • A Bizonyítványszolgáltatások elindításának és leállításának másik módja: nyissa meg a Számítógép-kezelés ablakot, kattintson duplán a Szolgáltatások és kiszolgálói alkalmazások, majd kattintson a Szolgáltatások elemre. A jobb oldali ablaktáblában kattintson a Bizonyítványszolgáltatások elemre. A Művelet menüben kattintson a Leállítás vagy az Indítás parancsra.

Kapcsolódó témakörök


Hitelesítő szervezet biztonsági engedélyeinek beállítása és vezérlésének delegálása

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezetre (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. Kattintson a Biztonság fülre és határozza meg a biztonsági engedélyeket.

    A hozzáférés-vezérlés biztonsági engedélyeivel kapcsolatos általános tudnivalókért kattintson a Kapcsolódó témakörök hivatkozásra.

Megjegyzés

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

Kapcsolódó témakörök


A hitelesítő szervezet bizonyítványának megtekintése

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. Az Általános lapon kattintson a Bizonyítvány megtekintése gombra.

Megjegyzés

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

Kapcsolódó témakörök


Hitelesítő szervezet biztonsági mentése

  1. Jelentkezzen be a rendszerre biztonságimásolat-felelősként vagy rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a Biztonsági másolat készítése a hitelesítő szervezetről parancsra.
  5. Kövesse a Hitelesítő szervezet biztonsági másolata varázsló utasításait.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

  • Ez az eljárás akkor hasznos, ha egy hitelesítő szervezetről akar biztonsági másolatot készíteni anélkül, hogy a teljes kiszolgálót mentené.

    A Windows 2000 Biztonsági mentés és a Windows 2000 Visszaállítás programot kell használni mind a hitelesítő szervezet, mind a kiszolgáló biztonsági mentéséhez és visszaállításához. A Windows 2000 kiszolgáló biztonsági mentésével kapcsolatos további tájékoztatást a Windows 2000 Biztonsági mentés című témakörben talál.

Kapcsolódó témakörök


Hitelesítő szervezet visszaállítása biztonsági másolatból

  1. Jelentkezzen be a rendszerre biztonságimásolat-felelősként vagy rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a Hitelesítő szervezet visszaállítása parancsra.
  5. Kövesse a Hitelesítő szervezet visszaállítása varázsló utasításait.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

  • Ez az eljárás akkor hasznos, ha egy hitelesítő szervezetet akar helyreállítani anélkül, hogy az egész kiszolgálót helyreállítaná, amelyre a hitelesítő szervezet telepítve van. A módszer segítségével később helyreállítható hitelesítő szervezet biztonsági mentéséről információt a Kapcsolódó témakörök című hivatkozásra kattintva kaphat.

    Általában a Windows 2000 Biztonsági másolatkészítőt és a Windows 2000 Visszaállítót kell használni mind a hitelesítő szervezet, mind a kiszolgáló biztonsági másolatának elkészítéséhez és visszaállításához. A Windows 2000 kiszolgáló biztonsági mentésével kapcsolatos további információt a Windows 2000 Biztonságimásolat-készítő című témakörben talál.

Kapcsolódó témakörök


Biztonsági beállítások megadása a hitelesítő szervezet weblapjainak eléréséhez

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Internetes szolgáltatások kezelője parancsra.
  3. A konzolfán kattintson a jobb oldali egérgombbal a CertSrv elemre, majd kattintson a Tulajdonságok parancsra.

    Helye:

    • Internet Information Services
    • számítógép neve
    • Alapértelmezett webhely
    • CertSrv
  4. A Könyvtárbiztonság lap Névtelen hozzáférés és hitelesítés csoportjában kattintson a Szerkesztés gombra.
  5. Törölje az összes jelölőnégyzet, kivéve a Beépített Windows hitelesítés jelölését.

Fontos

  • A vállalati hitelesítő szervezetnél (CA) szükséges, hogy a bizonyítványigénylőt a lap hitelesítse a bizonyítványba helyezendő helyes információ meghatározására. Ha egy vállalati hitelesítő szervezet weblapjaira nem rendelkezik hitelesítéssel, a lapok nem hoznak létre bizonyítványt, vagy ha létrehoznak, az használhatatlan lesz. Ezért a vállalati hitelesítő szervezeteken az alapértelmezett beállítás az integrált Windows hitelesítés. Az eljárás jellemzője, hogy a vállalati hitelesítő szervezetnél az alapértelmezett eljárás megerősíthető, vagy az IIS Könyvtárbiztonság beállításainak hibás módosítása javítható.

Megjegyzések

  • Önálló hitelesítő szervezet esetében ezt a műveletet nem kell végrehajtani.
  • Ha nem találja a CertSrv elemet a konzolfán, ellenőrizze, hogy a Bizonyítványszolgáltatások telepítve van-e.
  • Ha telepítette a Bizonyítványszolgáltatást és mégsem létezik CertSrv virtuális könyvtár, létrehozásához futtassa a parancssorból a certutil -vroot parancsot.

Kapcsolódó témakörök


Legfelső szintű hitelesítő szervezet megújítása

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a CA-bizonyítvány megújítása parancsra.
  5. Tegye a következők egyikét:
    • Jelölje be az Igen választógombot, ha a hitelesítő szervezet bizonyítványához új, nyilvános kulcsból és személyes kulcsból álló kulcspárt kíván létrehozni.
    • Jelölje be a Nem választógombot, ha a hitelesítő szervezet bizonyítványához a jelenlegi nyilvános kulcsból és személyes kulcsból álló kulcspárt kívánja újra felhasználni.

Megjegyzés

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

Kapcsolódó témakörök


Alsóbb szintű hitelesítő szervezet megújítása

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a CA-bizonyítvány megújítása parancsra.
  5. Tegye a következők egyikét:
    • Jelölje be az Igen választógombot, ha a hitelesítő szervezet bizonyítványához új, nyilvános kulcsból és személyes kulcsból álló kulcspárt kíván létrehozni.
    • Jelölje be a Nem választógombot, ha a hitelesítő szervezet bizonyítványához a jelenlegi nyilvános kulcsból és személyes kulcsból álló párt kívánja újra felhasználni.
  6. Szerezze be a hitelesítő szervezet bizonyítványát a szülő hitelesítő szervezettől. További információt a Megjegyzések című részben talál.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Az alsóbb szintű hitelesítő szervezet bizonyítványának beszerezéséhez a szülő hitelesítő szervezethez kell benyújtania a bizonyítványkérelmet. Ennek végrehajtási eljárása attól függ, hogy a szülő hitelesítő szervezet elérhető-e on-line.
    • Ha a szülő hitelesítő szervezet on-line elérhető, tegye a következőt:
      1. Jelölje be a A kérelem közvetlen küldése a hálózaton lévő hitelesítő szervezetnek válaztógombot.
      2. A Számítógépnév mezőbe írja be annak a számítógépnek a nevét, amelyre a szülő hitelesítő szervezetet telepítette.
      3. A szervezet szülője listában kattintson a szülő hitelesítő szervezetre.
    • Ha a szülő hitelesítő szervezet on-line nem elérhető:
      1. Jelölje be A kérelem mentése fájlba választógombot.
      2. A Kérelemfájl mezőbe írja be annak a fájlnak a nevét és útvonalát, amelyik a kérelmet fogja tárolni.
      3. Szerezze be ezt az alsóbb szintű hitelesítő szervezeti bizonyítványt a szülő hitelesítő szervezettől.

        Ennek végrehajtási eljárása egyedi lesz a szülő hitelesítő szervezetre. A szülő hitelesítő szervezetnek biztosítania kell legalább az alsóbb szintű hitelesítő szervezet újonnan kiállított bizonyítványát tartalmazó fájt és lehetőleg annak teljes bizonyítványláncát. A bizonyítványkérelem Windows 2000 hitelesítő szervezet számára fájl használatával történő küldésével kapcsolatos információt a Kapcsolódó témakörök című hivatkozás tartalmaz.

        Ha olyan alsóbb szintű hitelesítő szervezeti bizonyítványt kap, amelyik nem tartalmazza a teljes bizonyítványláncot, a telepítés alatt álló új alsóbb szintű hitelesítő szervezetnek fel kell építeni egy érvényes hitelesítő szervezet-láncot az indításkor. Így a szülő hitelesítő szervezet, valamint a láncban lévő bármely más közbenső szintű hitelesítő szervezet bizonyítványát a számítógép Közbenső szintű hitelesítő szervezetek bizonyítványtárolójába (ha a szülő hitelesítő szervezet nem a legfelső szintű szervezet), és a láncban lévő legfelső szintű hitelesítő szervezet bizonyítványát a Megbízható legfelső szintű hitelesítő szervezetek tárolójába kell telepítenie. Ezeket a bizonyítványokat azelőtt kell a bizonyítványtárolóba telepíteni, mielőtt a hitelesítő szervezeti bizonyítványt az éppen beállított alsóbb szintű hitelesítő szervezetre telepíti.

      4. Nyissa meg a Hitelesítő szervezet szolgáltatást.
      5. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

        Helye:

        • Hitelesítő szervezet (számítógép)
        • Hitelesítő szervezet neve
      6. Mutasson a Művelet menü Feladatok elemére, majd kattintson a CA-bizonyítvány telepítése parancsra.
      7. Keresse meg a szülő hitelesítő szervezettől kapott bizonyítványfájlt, kattintson erre a fájlra, majd kattintson a Megnyitás gombra.

Kapcsolódó témakörök


A Hitelesítő szervezet beépülő modul használata

  • A hitelesítő szervezet felügyelete ezen a számítógépen
  • A hitelesítő szervezet felügyelete másik számítógépen
  • Megjelenítési szűrők beállítása a Hitelesítő szervezet beépülő modulhoz
  • Az oszlopok megjelenítésének testreszabása a hitelesítő szervezet programban


A hitelesítő szervezet felügyelete ezen a számítógépen

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.

Megjegyzés

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

Kapcsolódó témakörök


A hitelesítő szervezet felügyelete másik számítógépen

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. Kattintson a Művelet menü Hitelesítő szervezet átirányítása parancsára.
  4. Jelölje be a Másik számítógép választógombot, és a mezőbe írja be a számítógép nevét.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Másik számítógépen lévő hitelesítő szervezet kezelésének más módja a következő:
    1. Jelentkezzen be a rendszerre rendszergazdaként.
    2. Kattintson a Start menü Futtatás parancsára, írja be az mmc parancsot, és kattintson az OK gombra.
    3. A Konzol menüben kattintson a Beépülő modul hozzáadása/eltávolítása parancsra. Kattintson a Hozzáadás gombra.
    4. A Beépülő modul listában kattintson duplán a Hitelesítő szervezet elemre.
    5. Jelölje be a Másik számítógép választógombot, és a mezőbe írja be a számítógép nevét.

Kapcsolódó témakörök


Megjelenítési szűrők beállítása a Hitelesítő szervezet beépülő modulhoz

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson duplán a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson bármelyik megjelenített (például a Visszavont bizonyítványok vagy a Kiadott bizonyítványok) mappára.
  5. A Nézet menüben kattintson a Szűrő parancsra.
  6. Minden kijelölési feltétel esetében tegye a következőket:
    • Kattintson a Hozzáadás gombra.
    • A Mező legördülő menüben kattintson a szűrni kívánt mezőre.
    • A Művelet legördülő menüben kattintson a mező szűrési értékét minősítő műveletre.
    • Az Érték mezőbe írja be a minősítési értéket.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • A megjelenítési szűrők alapvetően egyszerűsítik a hitelesítő szervezet adatbázisának lekérdezését. Szűrők használatával olyan elemekre korlátozhatja a Hitelesítő szervezet beépülő modul részleteket tartalmazó ablaktáblájában megjelenített elemeket, amelyek megfelelnek a meghatározott feltételeknek. Létrehozhat például egy olyan szűrőt, amely a Kiadott bizonyítványok mappában csak azokat a bizonyítványokat jeleníti meg, amelyek egy meghatározott dátum után lettek érvényesek.
  • Szűrő eltávolításához a Szűrő párbeszédpanelen kattintson az adott szűrőre, majd az Eltávolítás gombra.
  • Az összes meglévő szűrő eltávolításához a Szűrő párbeszédpanelen kattintson az Alaphelyzet gombra.

Kapcsolódó témakörök


Az oszlopok megjelenítésének testreszabása a Hitelesítő szervezet programban

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet programot.
  3. A konzolfán kattintson duplán a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson bármelyik megjelenített (például a Visszavont bizonyítványok vagy a Kiadott bizonyítványok) mappára.
  5. Kattintson a Nézet menü Oszlopok választása parancsára.
  6. Cél: Teendő:
    Új oszlop felvétele a részleteket tartalmazó ablaktáblába | A Rejtett oszlopok listában kattintson annak az oszlopnak a nevére, amelyet a részleteket tartalmazó ablaktáblába fel kíván venni. Kattintson a Hozzáadás gombra.
    Oszlop eltávolítsa a részleteket tartalmazó ablaktáblából | A Megjelenő oszlopok listában kattintson a részleteket tartalmazó ablaktáblából eltávolítandó oszlopra. Kattintson az Eltávolítás gombra.
    Oszlopok sorrendjének módosítása a részleteket tartalmazó ablaktáblában | A Megjelenő oszlopok listában kattintson a részleteket tartalmazó ablaktábla sorrendjében felfelé vagy lefelé mozgatandó oszlopra. Kattintson a Fel vagy a Le gombra.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Az eredmények rendezéséhez kattintson a részleteket tartalmazó ablaktáblában az oszlop fejlécére. Az eredmények csak a hitelesítő szervezet adatbázisában indexelt (a mezőket jelző) oszlopok alapján rendezhetők. Egy kis nyíl jelenik meg annak az oszlopnak a fejlécén, amelynek alapján a rendezést végzi.

Kapcsolódó témakörök


A bizonyítványok visszavonásának kezelése

  • Kiállított bizonyítvány visszavonása
  • A visszavont bizonyítványok közzétételének ütemezése
  • Visszavont bizonyítványok listája terjesztési pontjainak meghatározása kiállított bizonyítványokban
  • Visszavont bizonyítványok listájának közzététele kézzel
  • A visszavont bizonyítványok listájának megtekintése


Kiállított bizonyítvány visszavonása

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. Kattintson a konzolfa Kiadott bizonyítványok elemére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
    • Kiadott bizonyítványok
  4. A jobb oldali ablaktáblában kattintson a visszavonni kívánt bizonyítványra.
  5. Mutasson a Művelet menü Feladatok elemére, majd kattintson a Bizonyítvány visszavonása parancsra.
  6. Jelölje ki a bizonyítvány visszavonásának okát, és kattintson az Igen gombra.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • A program a bizonyítványt visszavontnak jelöli meg és áthelyezi a Visszavont bizonyítványok mappába. A visszavont bizonyítvány megjelenik a visszavont bizonyítványok listáján (CRL), annak következő közzétételekor.
  • Az „A bizonyítvány fel van függesztve” okkal visszavont bizonyítványok visszavonása megszüntethető, azok lejáratukig „A bizonyítvány fel van függesztve” állapotban hagyhatók, vagy visszavonási okuk módosítható. Ez az a visszavonási ok, amely lehetővé teszi egy visszavont bizonyítvány állapotának módosítását. Ez akkor hasznos, ha a bizonyítvány állapota kétséges, és ez némi rugalmasságot biztosít a hitelesítő szervezet rendszergazdája számára.

    • Az „A bizonyítvány fel van függesztve” okkal visszavont bizonyítvány visszavonásának megszüntetéséhez, írja be a parancssorba a következőket:

      certutil -revoke bizonyítványsorszám unrevoke

      A bizonyítványsorszám azonosításához a Visszavont bizonyítványok mappa részleteket tartalmazó ablaktáblájában kattintson duplán a visszavont bizonyítványra, majd kattintson a Részletek fülre.

    • Az előzőleg „A bizonyítvány fel van függesztve” okkal visszavont bizonyítvány visszavonási okának módosításához a hitelesítő szervezet parancssorába írja be a megfelelő parancsot.

      A jelenleg „A bizonyítvány fel van függesztve” állapotú
      bizonyítvány visszavonásának
      új oka
      Parancs
      Ismeretlen | certutil -revoke bizonyítványsorszám 0
      A kulcs nem biztonságos | certutil -revoke bizonyítványsorszám 1
      A kiállító nem biztonságos | certutil -revoke bizonyítványsorszám 2
      A tulajdonos adatai megváltoztak | certutil -revoke bizonyítványsorszám 3
      A bizonyítványt lecserélték | certutil -revoke bizonyítványsorszám 4
      A tevékenység megszűnt | certutil -revoke bizonyítványsorszám 5

Kapcsolódó témakörök


A visszavont bizonyítványok közzétételének ütemezése

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. Kattintson a konzolfa Visszavont bizonyítványok elemére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
    • Visszavont bizonyítványok
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. A Közzétételi időköz mezőbe írja be a növekményt, és kattintson a visszavont bizonyítványok listája (CRL) automatikus közzétételénél használandó időegységre.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • A visszavont bizonyítványok listájának közzétételi helye:

    Rendszergyökér\system32\CertSrv\CertEnroll\

    Ha a számítógép egy tartomány tagja és engedélye van az Active Directory írására, a CRL közzétételre kerül az Active Directoryban is.

  • A visszavont bizonyítványok listája közzétételi időköze nem egyezik meg a CRL érvényességi időtartamával. A visszavont bizonyítványok listájának alapértelmezett érvényességi időtartama 10%-kal (legfeljebb 12 órával) meghaladja annak közzétételi időközét a könyvtárreplikálás biztosítására. A bizonyítványok visszavonásával és a visszavont bizonyítványok listájának közzétételével kapcsolatos további tájékoztatásért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Visszavont bizonyítványok listája terjesztési pontjainak meghatározása kiállított bizonyítványokban

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezetre.

    Helye:

    • Hitelesítő szervezet (helye)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. Az Irányelvmodul lapon kattintson a Beállítás gombra.
  6. Az X.509 bővítmények lap Visszavonási listák csoportjában adja meg a terjesztési pontokat.
    Cél: Teendő:
    Új, a visszavont bizonyítványokat tartalmazó listához (CRL) tartozó terjesztési pont felvétele. | Kattintson a Hozzáadás gombra, és írja be az új CRL terjesztési pont nevét.
    CRL terjesztési pont eltávolítása a listából. | Kattintson a CRL terjesztési pontra, majd az Eltávolítás gombra.
    Annak jelzése, hogy egy URL-címet nem kíván CRL terjesztési pontként használni. | Törölje az URL-cím jelölőnégyzetének jelölését.
    Annak jelzése, hogy egy URL-címett kíván CRL terjesztési pontként használni. | Jelölje be az URL-cím jelölőnégyzetét.
  7. Állítsa le és indítsa újra a Bizonyítványszolgáltatások szolgáltatást.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

  • A visszavont bizonyítványok listájához tartozó URL-címek HTTP-, FTP-, LDAP- vagy FILE-címek lehetnek. A CRL terjesztési pont címének megadásakor a következő változókat használhatja:

    Változó | Érték
    %1 | A hitelesítő szervezet kiszolgálójához tartozó DNS-név
    %2 | A hitelesítő szervezet kiszolgálójához tartozó NetBIOS-név
    %3 | A hitelesítő szervezet neve
    %4 | A hitelesítő szervezet megújítási bővítménye
    %5 | A tartományi gyökér helye az Active Directoryban
    %6 | A beállítások tárolójának helye az Active Directoryban
    %7 | A hitelesítő szervezet „letisztított” (kettős kereszt (#) karakterrel végződő, 32 karakterre rövidített) neve
  • A Bizonyítványszolgáltatások leállítására és újraindítására vonatkozó információért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


Visszavont bizonyítványok listájának közzététele kézzel

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet programot.
  3. Kattintson a konzolfa Visszavont bizonyítványok elemére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
    • Visszavont bizonyítványok
  4. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a Közzététel parancsra.
  5. Az előzőleg közzétett visszavont bizonyítványok listája (CRL) felülírásához kattintson az Igen gombra.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Egy előzőleg kiadott visszavont bizonyítványok listája gyorsítótárban lévő másolatával rendelkező ügyfelek továbbra is azt fogják használni érvényességi időtartamának lejártáig, annak ellenére, hogy egy új listát tettek közzé. A visszavont bizonyítványok listájának kézi közzététele nem befolyásolja a még érvényes listák gyorsítótárban lévő másolatát, csupán elérhetővé teszi az új listát azon rendszerek számára, amelyek nem rendelkeznek a visszavont bizonyítványok érvényes listájával.

    A visszavont bizonyítványok listájának a hitelesítő szervezet (CA) által közzétett legfrissebb verziójának beszerzéséről (abban az esetben is, ha az ügyfél rendelkezik az érvényes lista másolatával) a Kapcsolódó témakörök című hivatkozás alatt olvashat.

  • A visszavont bizonyítványok listájának közzétételi helye azon a kiszolgálón, amelyre a hitelesítő szervezetet telepítették, a következő:

    Rendszergyökér\system32\CertSrv\CertEnroll\

    Ha az Active Directory rendelkezésre áll, a visszavont bizonyítványok listájának közzététele abban is megtörténik.

Kapcsolódó témakörök


A visszavont bizonyítványok listájának megtekintése

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet programot.
  3. Kattintson a konzolfa Visszavont bizonyítványok elemére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
    • Visszavont bizonyítványok
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. Kattintson a Jelenlegi CRL megtekintése gombra.
  6. Kattintson a Visszavont bizonyítványok listája fülre.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

Kapcsolódó témakörök


Bizonyítványkérelmek kezelése önálló hitelesítő szervezetben

  • A folyamatban lévő bizonyítványkérelmek áttekintése
  • Bizonyítványkérelem beérkezésekor elvégzendő alapértelmezett művelet beállítása


A folyamatban lévő bizonyítványkérelmek áttekintése

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. Kattintson a konzolfa Várakozó kérelmek elemére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
    • Várakozó kérelmek
  4. A jobb oldali ablaktáblában vizsgálja meg a bizonyítványkérelmek tulajdonságait: az igénylő nevét és elektronikus levélcímét, továbbá minden más, a bizonyítvány kiállítása szempontjából kritikus információt tartalmazó mezőt.
  5. Cél: Teendő:
    Bizonyítványkérelem visszautasítása | Kattintson a bizonyítványkérelemre, mutasson a Művelet menü Feladatok pontjára, kattintson a Megtagadás parancsra, majd az Igen gombra.
    Bizonyítvány kiállítása | Kattintson a bizonyítványkérelemre, mutasson a Művelet menü Feladatok pontjára, majd kattintson a Kiállítás parancsra.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Ez az eljárás csak azokra az önálló hitelesítő szervezetekre (CA) vonatkozik, amelyeket úgy állítottak be, hogy minden beérkező bizonyítványkérelmet folyamatban lévőnek jelöljenek.

Kapcsolódó témakörök


Bizonyítványkérelem beérkezésekor elvégzendő alapértelmezett művelet beállítása

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. Az Irányelvmodul lapon kattintson a Beállítás gombra.
  6. Cél: Teendő:
    A hitelesítő szervezet rendszergazdája vizsgáljon felül minden bizonyítványkérelmet a bizonyítvány kiállítása előtt. | Jelölje be A bizonyítványkérelem folyamatban lévő állapotba állítása választógombot.
    A hitelesítő szervezet állítson ki bizonyítványt minden bizonyítványkérelem fogadásakor. | Jelölje be A bizonyítvány kiállítása minden esetben választógombot.
  7. Állítsa le és indítsa újra a Bizonyítványszolgáltatások programot.

Figyelem!

  • A legtöbb esetben biztonsági okokból kifejezetten ajánlott az önálló hitelesítő szervezethez beérkező valamennyi bizonyítványkérelmet „folyamatban lévőnek” jelölni. A vállalati hitelesítő szervezetektől eltérően, az önálló hitelesítő szervezetek nem használnak Active Directoryt – akkor sem, ha rendelkezésre áll – annak ellenőrzéséhez, hogy a személy vagy a számítógép jogosult-e arra, hogy a hitelesítő szervezet automatikusan állítson ki bizonyítványt a számára. Önálló hitelesítő szervezetek esetében a hitelesítő szervezet rendszergazdája felelős a bizonyítványigénylő azonosságának ellenőrzéséért.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Ez az eljárás csak önálló hitelesítő szervezetekre vonatkozik. A vállalati hitelesítő szervezet bizonyítványkérelmének fogadásakor elvégzendő alapértelmezett művelet nem módosítható.
  • Ha a A bizonyítványkérelem folyamatban lévő állapotba állítása helyett a A bizonyítvány kiállítása minden esetben választógombot jelöli be, az csak az alapértelmezett művelet módosítása után lesz érvényes a hitelesítő szervezethez küldött bizonyítványkérelmekre. Ha a hitelesítő szervezetnek vannak folyamatban lévő kérelmei, ezek addig maradnak függőben, amíg a hitelesítő szervezet rendszergazdája ki nem állítja a bizonyítványokat vagy vissza nem utasítja a kérelmeket.
  • A folyamatban lévő bizonyítványkérelmek áttekintéséhez kattintson a Kapcsolódó témakörök hivatkozásra.
  • A Bizonyítványszolgáltatások leállításáról és újraindításáról információt a Kapcsolódó témakörök hivatkozásra kattintva kaphat.

Kapcsolódó témakörök


Vállalati hitelesítő szervezet bizonyítványsablonjainak kezelése

  • Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása
  • A vállalati hitelesítő szervezet által kiállítható bizonyítványtípusok létrehozása


Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg az Active Directory - helyek és szolgáltatások ablakot.
  3. Kattintson a konzolfa Active Directory - helyek és szolgáltatások elemére.
  4. A Nézet menüben kattintson a Szolgáltatások megjelenítése parancsra.
  5. Kattintson a konzolfa Bizonyítványsablonok elemére.

    Helye:

    • Active Directory - helyek és szolgáltatások
    • Szolgáltatások
    • Public Key Services
    • Bizonyítványsablonok
  6. Minden olyan bizonyítványsablon esetében, amelyhez biztonsági engedélyeket kíván beállítani, tegye a következőket:
    1. A jobb oldali ablaktáblában kattintson a bizonyítványsablonra, majd a Művelet menüben kattintson a Tulajdonságok parancsra.
    2. Kattintson a Biztonság fülre, és állítsa be megfelelően a biztonsági engedélyeket.

Megjegyzések

  • Az Active Directory - helyek és szolgáltatások ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - helyek és szolgáltatások parancsra.
  • A módosítások csak az adott tartomány bizonyítványsablonjaira vonatkoznak.
  • Bár vannak Certification Authorities és Enrollment Services nevű csomópontok a Public Key Services elem alatt is, nem szabad módosítani az ezekben a tárolókban lévő tulajdonosok alapértelmezett biztonsági engedélyeit. A hitelesítő szervezetek (CA) valamennyi biztonsági engedélyét a Hitelesítő szervezet beépülő modul segítségével kell beállítani. Tanulmányozza a Kapcsolódó témakörök hivatkozás témaköreit.
  • A hozzáférés-vezérlés biztonsági engedélyeivel kapcsolatos általános tudnivalókért kattintson a Kapcsolódó témakörök hivatkozásra.

Kapcsolódó témakörök


A vállalati hitelesítő szervezet által kiállítható bizonyítványtípusok létrehozása

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezetet szolgáltatást.
  3. Kattintson a konzolfa Irányelv-beállítások elemére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
    • Irányelv-beállítások
  4. Cél: Teendő:
    További bizonyítványtípusok kiállítása a hitelesítő szervezetről. | Mutasson a Művelet menü Új pontjára, majd kattintson a Kibocsátandó bizonyítvány parancsra. Kattintson a használni kívánt új bizonyítványsablonra, majd az OK gombra.
    A hitelesítő szervezettől származó adott bizonyítványtípus kiállításának leállítása. | A jobb oldali ablaktáblában kattintson arra a bizonyítványsablonra, amelyet szeretné, hogy a hitelesítő szervezet már ne állítson ki. Kattintson a Művelet menü Törlés parancsára.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Ez az eljárás csak a vállalati hitelesítő szervezetekre vonatkozik. Az önálló hitelesítő szervezetek nem használnak bizonyítványsablonokat.

Kapcsolódó témakörök


Hitelesítő szervezet irányelv-beállításainak módosítása

  • Bizonyítványok közzététele az Active Directoryban
  • Bizonyítványok közzététele a fájlrendszerben
  • Hitelesítő szervezeti hozzáférési pontjainak meghatározása a kiadott bizonyítványokban


Bizonyítványok közzététele az Active Directoryban

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. A Kilépési modul lapon kattintson a Konfigurálás gombra.
  6. A Bizonyítvány közzététele lapon jelölje be A bizonyítványok közzétételének engedélyezése Active Directoryban jelölőnégyzetet, majd kattintson az OK gombra.
  7. Állítsa le és indítsa újra a Bizonyítványszolgáltatásokat.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Bizonyítványok tartományban történő közzétételéhez a kiszolgálónak, amelyre a hitelesítő szervezetet telepítették, az Active Directory Bizonyítvány-közzétevők csoportja tagjának kell lennie. Ha a kiszolgáló tagja egy tartománynak, akkor automatikusan tagja a tartomány Bizonyítvány-közzétevők csoportjának is.
  • A bizonyítványok közzététele az Active Directoryban a hitelesítő szervezet alapértelmezett beállítása, ha az Active Directory rendelkezésre áll.
  • A Bizonyítványszolgáltatások leállításáról és újraindításáról információt a Kapcsolódó témakörök című hivatkozásra kattintva kaphat.

Kapcsolódó témakörök


Bizonyítványok közzététele a fájlrendszerben

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet programot.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. A Kilépési modul lapon kattintson a Konfigurálás gombra.
  6. A Bizonyítvány közzététele lapon jelölje be a A bizonyítványok közzétételének engedélyezése a fájlrendszerben jelölőnégyzetet, majd kattintson az OK gombra.
  7. Állítsa le és indítsa újra a Hitelesítő szervezet szolgáltatást.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • A bizonyítványok közzététele a fájlrendszerben a hitelesítő szervezet alapértelmezetten kikapcsolt beállítása, ha rendelkezésre áll az Active Directory. A közzététel akkor lesz alapértelmezés szerint engedélyezett, ha nincs Active Directory.
  • A Bizonyítványszolgáltatások leállításához és újraindításához információt a Kapcsolódó témakörök című témakörre kattintva kaphat.
  • Bizonyítvány igényléséhez és fájlrendszerben történő közzétételéhez a kérelemnek a certfile:fáljnév formátumú attribútumot kell tartalmaznia. A bizonyítvány kiállítása után a rendszer azt bemásolja a fájlnév állományba.
    • A fájl a hitelesítő szervezeten lévő CertEnroll megosztásba íródik.
    • A fájlnévhez írt útvonalat a rendszer eltávolítja.
    • Ezzel a módszerrel nem lehet fájlokat felülírni.
    • Érvénytelen vagy meglévő fájlnév megadásakor nem íródik fájl, és az eseménynaplóba bekerül a hiba.

Kapcsolódó témakörök


A hitelesítő szervezet hozzáférési pontjainak meghatározása a kiadott bizonyítványokban

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet programot.
  3. A konzolfán kattintson a hitelesítő szervezet (CA)nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. Az Irányelvmodul lapon kattintson a Konfigurálás gombra.
  6. Az X.509 bővítmények lapon, a Kiállítói információ hozzáférés csoportban adja meg a helyet, ahonnan a felhasználók igényelhetik a hitelesítő szervezet bizonyítványát.
    Cél: Teendő:
    URL-cím hozzáadása, amely a hitelesítő szervezet által kiállított összes bizonyítvány részeként közzé lesz téve. | Kattintson a Hozzáadás gombra, majd írjon be egy URL-címet, ahonnan a felhasználók igényelhetik a hitelesítő szervezet bizonyítványát.
    Kiadói információra vonatkozó URL-cím eltávolítása a kiállított bizonyítványok listájából. | Kattintson az URL-címre, majd az Eltávolítás gombra.
    Annak jelzése, hogy nem akar URL-címet használni kiadói információk hozzáférési pontjaként a bizonyítványokban, anélkül, hogy eltávolítaná azt a listából. | Törölje az URL-cím jelölőnégyzetének jelölését.
    Annak jelzése, hogy az URL-cím már használható kiadói információ-hozzáférési pontként. | Jelölje be az URL-cím jelölőnégyzetét.
  7. Állítsa le, majd indítsa újra a Bizonyítványszolgáltatások szolgáltatást.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.

  • A kiadói információ-hozzáférési URL-címek HTTP-, FTP-, LDAP- vagy FILE-címek lehetnek. A kiadói információ-hozzáférési pont címének megadásakor a következő változókat használhatja:

    Változó | Érték
    %1 | A hitelesítő szervezet kiszolgálójához tartozó DNS-név
    %2 | A hitelesítő szervezet kiszolgálójához tartozó NetBIOS-név
    %3 | A hitelesítő szervezet neve
    %4 | A hitelesítő szervezet megújítási bővítménye
    %5 | A tartományi gyökér helye az Active Directoryban
    %6 | A beállítások tárolójának helye az Active Directoryban
    %7 | A hitelesítő szervezet „letisztított”, kettős kereszt (#) karakterrel végződő, 32 karakterre rövidített neve
  • A Bizonyítványszolgáltatások szolgáltatás leállításáról és újraindításáról információt a Kapcsolódó témakörök című hivatkozásra kattintva kaphat.

Kapcsolódó témakörök


Bizonyítványok hozzárendelése felhasználói fiókokhoz

  • Bizonyítvány hozzárendelése felhasználói fiókhoz az Internet Information Services (IIS) programban
  • Bizonyítvány hozzárendelése felhasználó fiókhoz az Active Directoryban


Bizonyítvány hozzárendelése felhasználói fiókhoz az Internet Information Services (IIS) programban

  1. Jelentkezzen be az IIS-kiszolgálóra rendszergazdaként.
  2. Olvassa el az IIS 5.0 dokumentációjában az Ügyfélbizonyítványok hozzárendelése felhasználói fiókokhoz című témakört. (http://localhost/iishelp/iis/htm/core/iimapsc.htm)

Megjegyzés

  • Az IIS 5.0 dokumentációjának főmenüje a http://localhost/iishelp címen található. A dokumentáció eléréséhez telepíteni kell az IIS programot.

Kapcsolódó témakörök


Bizonyítvány hozzárendelése felhasználói fiókhoz az Active Directoryban

  1. Jelentkezzen be a rendszerbe rendszergazdaként.
  2. Nyissa meg az Active Directory - felhasználók és számítógépek ablakot.
  3. Kattintson az Active Directory - felhasználók és számítógépek elemre. A Nézet menüben kattintson a Speciális lehetőségek parancsra, ezzel egy jelet téve mellé (ha még nincs megjelölve).
  4. A konzolfán kattintson duplán a tartománynévre.
  5. Tegye a következők egyikét:
    • Kattintson a Felhasználók elemre.
    • Kattintson arra a tárolóra, amely tartalmazza a felhasználói fiókot.

      Helye:

      • Active Directory - felhasználók és számítógépek
      • tartomány
      • felhasználói tároló
  6. A jobb oldali ablaktáblában kattintson arra a felhasználói fiókra, amelyhez a bizonyítványt hozzá kívánja rendelni.
  7. A Művelet menüben kattintson a Névpárosítás parancsra. A Biztonsági azonosító megfeleltetés ablakban, a X.509 bizonyítványok lapon kattintson a Hozzáadás gombra.
  8. Írja be a felhasználói fiókhoz rendelendő bizonyítványt tartalmazó .cer fájl nevét és elérési útját, majd kattintson a Megnyitás gombra.
  9. Tegye a következők egyikét:
    Cél: Teendő:
    Bizonyítvány hozzárendelése egy fiókhoz (egy az egyhez hozzárendelés) | Ellenőrizze, hogy a Kiállító elfogadása alternatív azonosításhoz és a Tulajdonos elfogadása alternatív azonosításhoz jelölőnégyzetek bejelölt állapotát.
    Bármely bizonyítvány hozzárendelése, melynek tulajdonosa megegyezik a felhasználói fiókéval, függetlenül a bizonyítvány kiállítójától (több az egyhez hozzárendelés) | Törölje a Kiállító elfogadása alternatív azonosításhoz jelölőnégyzet kijelölését és ellenőrizze, hogy a Tulajdonos elfogadása alternatív azonosításhoz jelölőnégyzet bejelölt állapotban legyen.
    Bármely bizonyítvány hozzárendelése, melynek kiállítója megegyezik a felhasználói fiókéval, függetlenül a bizonyítvány tulajdonosától (több az egyhez hozzárendelés) | Törölje a Tulajdonos elfogadása alternatív azonosításhoz jelölőnégyzet kijelölését és ellenőrizze, hogy a Kiállító elfogadása alternatív azonosításhoz jelölőnégyzet bejelölt állapotban legyen.

Megjegyzések

  • Az Active Directory - felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory - felhasználók és számítógépek parancsra.
  • A felhasználói fiókhoz hozzárendelni kívánt bizonyítványnak DER vagy Base64 kódolású bináris formátumúnak kell lennie. Meglévő bizonyítvány .cer fájlba exportálásáról információt a Kapcsolódó témakörök hivatkozásra kattintva kaphat.
  • Ha a Névpárosítás parancs nem jelenik meg a Művelet menüben, akkor nem jelölte be a Nézet menüben a Speciális lehetőségek elemet.

Kapcsolódó témakörök


Hitelesítő szervezet irányelv- és kilépési moduljainak módosítása

  • Másik irányelvmodul kiválasztása
  • Másik kilépési modul kiválasztása


Másik irányelvmodul kiválasztása

Másik kilépési modul kiválasztása

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet szolgáltatást.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. A Irányelvmodul lapon kattintson a Kijelölés gombra.
  6. Kattintson az új irányelvmodulra, majd az OK gombra.
  7. Ha az irányelvmodul saját beállító felülettel rendelkezik, elvégezheti a beállítást a Konfigurálás gombra kattintva.
  8. Állítsa le és indítsa újra a Bizonyítványszolgáltatásokat.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • Egy új irányelvmodul regisztrálásához, hogy az a irányelvmodulok listájában elérhető legyen, tanulmányozza a Microsoft Platform Software Development Kit csomagot.
  • A Bizonyítványszolgáltatások leállításáról és újraindításáról információt a Kapcsolódó témakörök című hivatkozásra kattintva kaphat.

Kapcsolódó témakörök


Másik kilépési modul kiválasztása

  1. Jelentkezzen be a rendszerre rendszergazdaként.
  2. Nyissa meg a Hitelesítő szervezet programot.
  3. A konzolfán kattintson a hitelesítő szervezet (CA) nevére.

    Helye:

    • Hitelesítő szervezet (számítógép)
    • Hitelesítő szervezet neve
  4. Kattintson a Művelet menü Tulajdonságok parancsára.
  5. A Kilépési modul lapon kattintson a Kijelölés gombra.
  6. Kattintson az új kilépési modulra, majd az OK gombra.
  7. Ha a kilépési modul saját beállító felülettel rendelkezik, elvégezheti a beállítást a Konfigurálás gombra kattintva.
  8. Állítsa le és indítsa újra a Bizonyítványszolgáltatásokat.

Megjegyzések

  • A Hitelesítő szervezet szolgáltatás megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson a Hitelesítő szervezet parancsra.
  • A kilépési modulok listájában elérhető új kilépési modul regisztrálásához tanulmányozza a Microsoft Platform Software Development Kit csomagot.
  • A Bizonyítványszolgáltatások leállításáról és újraindításáról információt a Kapcsolódó témakörök című hivatkozás alatt talál.

Kapcsolódó témakörök


Fogalmak

A Bizonyítványszolgáltatások és a Hitelesítő szervezet beépülő modulok biztosítják a szervezetek számára egy kiszolgálón lévő hitelesítő szervezet (CA) beállítását és kezelését nyilvános kulcsok infrastruktúrájában (PKI) történő használatra.

  • Bizonyítványszolgáltatások áttekintése
  • Bizonyítványszolgáltatások ismertetése
  • Bizonyítványszolgáltatások használata
  • Forrásmunkák: A nyilvános kulcsok infrastruktúrája


Bizonyítványszolgáltatások áttekintése

A Bizonyítványszolgáltatások testreszabható szolgáltatásokat biztosít a nyilvános kulcsos technológiát alkalmazó szoftverbiztonsági rendszerekben használt bizonyítványok kiállításához és kezeléséhez. A nyilvános kulcsú titkosítással és a nyilvános kulcsok infrastruktúrája (PKI) alkalmazásának előnyeivel kapcsolatos tudnivalók a Nyilvános kulcsok infrastruktúrája című témakörben találhatók.

A Windows 2000 Bizonyítványszolgáltatások segítségével létrehozható olyan hitelesítő szervezet (CA), amely fogadja a bizonyítványkérelmeket, ellenőrzi a kérelemben lévő információt és az igénylő azonosítóját, kiállítja a bizonyítványokat, visszavonja azokat és közzéteszi a visszavont bizonyítványok listáját (CRL).

A hitelesítő szervezetekkel kapcsolatos további információt a Hitelesítő szervezetek című témakörben talál.

A Bizonyítványszolgáltatások segítségével az alábbiakat is elvégezheti:

  • Bizonyítványok igénylése a felhasználók számára a hitelesítő szervezettől a web vagy a Bizonyítványok beépülő modul segítségével, a hitelesítő szervezet irányelvétől függően.
  • Bizonyítványsablonok használata a bizonyítványigénylő választási lehetőségeinek egyszerűsítésére a hitelesítő szervezet által használt irányelvtől függően.
  • Az Active Directory előnyeinek kihasználása a megbízható legfelső szintű bizonyítványok, a kiállított bizonyítványok és a visszavont bizonyítványok listájának közzétételéhez.
  • Windows-tartományba történő bejelentkezés intelligens kártya segítségével.

Irányelvmodulok

A Bizonyítványszolgáltatások irányelvmodulja olyan utasítás- vagy szabálykészlet, amelyet a hitelesítő szervezet használ a bizonyítványkérelmek feldolgozásához, a bizonyítványok kiállításához, visszavonásához és a visszavont bizonyítványok listájának közzétételéhez.

A Bizonyítványszolgáltatások telepítésekor két eltérő hitelesítő szervezeti irányelv használata közül választhat, amelyek különböző jellemzőkkel és viselkedési jegyekkel ruházzák fel a hitelesítő szervezetet. A hitelesítő szervezet kívánt viselkedésétől és annak a nyilvános kulcsok infrastruktúrájában betöltött szerepétől függően válassza ki a használni kívánt irányelvet. A Bizonyítványszolgáltatások két, a Windows 2000 rendszerhez mellékelt irányelve a vállalati irányelv és az önálló irányelv.

Ebben a dokumentációban a vállalati irányelvet használó hitelesítő szervezetet vállalati hitelesítő szervezetnek nevezzük. Az önálló irányelvet használó hitelesítő szervezet neve pedig önálló hitelesítő szervezet. A Bizonyítványszolgáltatások telepítésekor kell kijelölnie a hitelesítő szervezet által használt irányelvet.

Továbbá lehetőség van rá, hogy beállítson egy önálló hitelesítő szervezetet, majd az önálló irányelvet lecserélje egyéni irányelvmoduljával. Az irányelvmodulokkal kapcsolatos további információt az Az irányelv- és kilépési modulok című témakörben talál. A Bizonyítványszolgáltatások egyéni irányelvmoduljainak létrehozásával kapcsolatos információért tanulmányozza a Microsoft Platform Software Development Kit csomagot.

A bizonyítványkérelmek feldolgozása

A felhasználók a vállalati vagy az önálló hitelesítő szervezettől az Internet Explorer 3.0 program vagy annak későbbi verziója, illetve egy böngésző (például a Netscape Navigator 3.0, vagy annak későbbi verziója) segítségével igényelhetnek bizonyítványokat. Ezenkívül a vállalati hitelesítő szervezettől a Bizonyítványok beépülő modul segítségével is igényelhetik a bizonyítványt. (Alapprogram szinten a bizonyítványkérelmek küldése a hitelesítő szervezet felé a távoli eljáráshíváson (RPC) vagy a DCOM-on keresztül történik.)

Amikor a felhasználó bizonyítványkérelmet kezdeményez, a számítógépén lévő titkosításszolgáltató (CSP) létrehoz a felhasználó számára egy nyilvános kulcsból és egy személyes kulcsból álló kulcspárt. A felhasználó nyilvános kulcsa - a szükséges azonosítási információval együtt - a hitelesítő szervezethez kerül. Ha a felhasználó azonosítási információja megfelel a hitelesítő szervezet igénylés engedélyezési feltételeinek, a hitelesítő szervezet létrehozza a bizonyítványt, amit az ügyfélalkalmazás lekér és helyileg tárol. A bizonyítványokról további információ a Bizonyítványok ismertetése című témakörben található.

A hitelesítő szervezetek biztonsági szempontjai

A hitelesítő szervezetek értékes erőforrások, így ezek számára a legnagyobb fokú védelmet kell biztosítani. Az alábbi védelmi eljárások a legfontosabbak:

  • Fizikai védelem. Mivel a hitelesítő szervezetek egy vállalaton belül rendkívül megbízható entitásokat képviselnek, védeni kell őket a külső beavatkozás ellen a hitelesítő szervezet által készített bizonyítvány értékétől függően. A hitelesítő szervezeti kiszolgáló fizikai elkülönítése egy, csak a biztonsági rendszergazdák által hozzáférhető létesítményben jelentősen csökkentheti az ilyen támadások lehetőségét.
  • Visszaállítás. Hardverhiba esetén a hitelesítő szervezet elveszhet. Ez számos felügyeleti és üzemeltetési problémát idézhet elő és megakadályozhatja a meglévő bizonyítványok visszavonását. A Bizonyítványszolgáltatások támogatja a hitelesítő szervezet biztonsági mentését annak érdekében, hogy az később visszaállítható legyen. Ez a hitelesítő szervezet kezelésének egy fontos része.
  • Kulcskezelés. A hitelesítő szervezet kulcsai a legértékesebb eszközök, mivel a nyilvános kulcs jelenti a hitelesítési művelet biztonságának alapját. Más titkosítási hardvermodulok illetéktelen hozzáféréstől mentes kulcstárolást biztosíthatnak, és a titkosítási műveletek elszigetelését a kiszolgálón futó más szoftverektől. Ez csökkenti a hitelesítő szervezet kulcsának feltörési valószínűségét. A Bizonyítványszolgáltatások támogatja a más forrásokból származó titkosításszolgáltatókat (CSP), de a Windows 2000 rendszerhez mellékelt dokumentáció csak a hozzá tartozó szoftveres titkosításszolgáltatókra vonatkozik. Ha más forrásból származó titkosításszolgáltatót használ, a termék forgalmazójával kell egyeztetnie, hogy a titkosításszolgáltató együttműködik-e a Bizonyítványszolgáltatásokkal. Szüksége van ezenkívül a forgalmazó által mellékelt kiegészítő dokumentációra annak tisztázásához, hogy hogyan kell a Bizonyítványszolgáltatások komponenst a titkosításszolgáltatóval működtetni.

A Bizonyítványszolgáltatások testreszabása

A Bizonyítványszolgáltatások programozható felületeket tartalmaznak annak érdekében, hogy a fejlesztők támogatást tudjanak nyújtani a kiegészítő átvitelek, irányelvek, bizonyítvány-tulajdonságok és -formátumok számára. A Bizonyítványszolgáltatások testreszabásáról információt a Microsoft Platform Software Development Kit csomagban talál.

A Bizonyítványszolgáltatásokkal kapcsolatos további információt a Bizonyítványszolgáltatások ismertetése című témakörben talál.


Bizonyítványszolgáltatások ismertetése

  • A bizonyítványkérelmek feldolgozása
  • Bizonyítványok visszavonása
  • Bizonyítványsablonok
  • Az irányelv- és kilépési modulok
  • Hitelesítő szervezetek hierarchiája
  • Hitelesítő szervezet adatbázisa
  • A webes beiktatással kiegészített hitelesítő szervezet szolgáltatások
  • Együttműködés a Bizonyítványszolgáltatásokban
  • Hitelesítő szervezetek


A bizonyítványkérelmek feldolgozása

A Windows 2000 hitelesítő szervezete (CA) a következő műveleteket hajtja végre egy bizonyítványkérelem feldolgozása során:

  1. Kérés fogadása. A bizonyítványkérelmet az ügyfélalkalmazás küldi (például a Bizonyítványok beépülő modul Bizonyítványigénylő varázslója), amely ezt PKCS 10 formátumú kérelemmé alakítja és elküldi a hitelesítő szervezetnek.
  2. Kérés jóváhagyása. A hitelesítő szervezet kiszolgáló motorja meghívja a hitelesítő szervezet irányelvmodulját, amely lekérdezi a kérés tulajdonságait, és eldönti, hogy a kérés hitelesített-e vagy sem, és beállítja a bizonyítvány egyéb tulajdonságait.
  3. Bizonyítvány kialakítása. Ha az kérést jóváhagyták, a hitelesítő szervezet kiszolgálójának motorja átveszi a kérést és az irányelvmodul által kért bármely tulajdonságot, majd ezekből felépít egy teljes bizonyítványt.
  4. Bizonyítvány közzététele. A hitelesítő szervezet kiszolgálójának motorja a bizonyítvány-adatbázisában tárolja az elkészült bizonyítványt, és értesíti a közvetítő alkalmazást a kérés állapotáról. Ha azt a kilépési modul kérte, a kiszolgáló motor értesítést küld a bizonyítvány kiállítás eseményéről. Ez lehetővé teszi, hogy a kilépési modul további műveleteket hajtson végre, például közzétegye a bizonyítványt az Active Directoryban. Közben az ügyfélalkalmazás megkapja a bizonyítvány-adatbázisból a közzétett bizonyítványt és saját helyi bizonyítványtárolójába menti azt.


Bizonyítvány visszavonása

A bizonyítvány visszavonása érvényteleníti a bizonyítványt, mint megbízható biztonsági azonosító adatot érvényességi időtartamának lejárta előtt. Számos oka lehet annak, amiért egy bizonyítvány, mint biztonsági azonosító adat, a lejárat előtt megbízhatatlanná válik Ezen okok közé sorolhatók például az alábbiak:

  • A bizonyítvány tárgyát képező személyes kulcs kétes biztonsága vagy feltételezett kétes biztonsága.
  • A bizonyítvány jogtalan megszerzésének felderítése.
  • A bizonyítvány tárgyában, mint megbízható egységben bekövetkezett változás.

A nyilvános kulcsok infrastruktúrája (PKI) az azonosító adatok olyan elosztott ellenőrzésétől függ, ahol nincs szükség az azonosító adatokat tanúsító központi megbízható egységgel történő közvetlen kommunikációra. Emiatt a bizonyítványok visszavonásával kapcsolatos információt szét kell osztani a bizonyítványok érvényességének ellenőrzését megkísérlő személyek, számítógépek és alkalmazások között. A visszavonási információ iránti igény és annak időszerűsége változó, az alkalmazástól függ és attól, hogy az hogyan valósítja meg a bizonyítvány visszavonásának ellenőrzését.

Többféle forgatókönyv támogatásához a Bizonyítványszolgáltatások tartalmazza az ipari szabványú Visszavont bizonyítványok listáját (CRL) a visszavont bizonyítványokkal kapcsolatos információk elosztására. A Windows 2000 hitelesítő szervezetei (CA) támogatják a bizonyítvány visszavonását és a visszavont bizonyítványok listájának közzétételét az Active Directoryban. Az ügyfelek a visszavont bizonyítványok listáját a hitelesítő szervezettől hívhatják le, és a helyi gyorsítótárban elhelyezve használhatják azt az adott hitelesítő szervezet által kiállított bizonyítványok ellenőrzésére. Ugyanezzel a módszerrel kezelhetők a kereskedelmi hitelesítő szervezetek vagy más bizonyítvány szolgáltató termékek által kiadott visszavont bizonyítványok listája, feltéve, hogy a közzétett CLR-ek az ügyfél számára a hálózaton keresztül hozzáférhetők.

A Bizonyítványszolgáltatások bizonyítvány-visszavonásával kapcsolatban további információt a Bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele című témakörben talál. A bizonyítványok visszavonásával kapcsolatos eljárások a Bizonyítványok visszavonásának kezelése című témakörben találhatók.


Bizonyítványsablonok

A bizonyítványsablon a bizonyítványokat a kívánt felhasználás alapján körvonalazza. Amikor egy bizonyítványt kérnek a Windows 2000 vállalati hitelesítő szervezetétől (CA), a bizonyítványkérő, hozzáférési jogosultságaitól függően, a bizonyítványsablonokon alapuló számos bizonyítványtípus közül választhat, mint például Felhasználó és Kód aláírása. A bizonyítványsablon megkíméli a felhasználókat attól, hogy alacsony szintű technikai jellegű döntéseket kelljen hozniuk az általuk igényelt bizonyítványtípussal kapcsolatban. Ehelyett a felhasználók ezt a rendszergazdára bízhatják és használhatják azt a sablonnevet, amelyik a bizonyítvány szerepét jelzi.

A Windows 2000 Bizonyítványszolgáltatások a következő bizonyítványsablonokat tartalmazzák.

    Bizonyítványsablon neve | Bizonyítvány célja | Személyek vagy számítógépek számára kiállítva
Rendszergazda | Kód aláírása, megbízható bizonyítványok listájának (CTL) aláírása, titkosító fájlrendszer (EFS), elektronikus levélbiztonság, ügyfél hitelesítése | Személyek
Hitelesített munkamenet | Ügyfél hitelesítése | Személyek
Alapvető EFS | Titkosító fájlrendszer | Személyek
Számítógép | Ügyfél hitelesítése, kiszolgáló hitelesítése | Számítógépek
Kód aláírása | Kód aláírása | Személyek
Tartományvezérlő | Ügyfél hitelesítése, kiszolgáló hitelesítése | Számítógépek
EFS-helyreállító ügynök | Fájl helyreállítása | Személyek
Beiktató ügynök | Bizonyítványigénylő ügynök | Személyek
Beiktató ügynök (kapcsolat nélküli kérés) | Bizonyítványigénylő ügynök | Személyek
IPSec (kapcsolat nélküli kérés) | Internet-protokoll biztonsága | Számítógépek
IPSec | Internet-protokoll biztonsága | Számítógépek
Útválasztó (kapcsolat nélküli kérés) | Ügyfél hitelesítése | Számítógépek/útválasztók
Intelligenskártyás bejelentkezés | Ügyfél hitelesítése | Személyek
Intelligenskártyás felhasználó | Ügyfél hitelesítése, elektronikus levélbiztonság | Személyek
Alsóbb szintű hitelesítő szervezet | Összes | Számítógépek
Megbízható bizonyítványok listájának aláírása | Megbízható bizonyítványok listájának aláírásának hitelesítése | Személyek
Felhasználó | Titkosító fájlrendszer, elektronikus levélbiztonság, ügyfél hitelesítése | Személyek
Csak felhasználói aláírás | Elektronikus levélbiztonság, ügyfél hitelesítése | Személyek
Webkiszolgáló | Kiszolgáló hitelesítése | Számítógépek

Minden vállalati hitelesítő szervezet, irányelv-beállításainak részeként kiállíthat bizonyos bizonyítványtípusokat a hitelesítő szervezet rendszergazdája által kiválasztott bizonyítványsablonok alapján. Amikor egy új vállalati hitelesítő szervezetet telepít, alapértelmezettként csak a következő bizonyítványsablonok állíthatók ki: Rendszergazda, Tartományvezérlő, Számítógép, Alapvető EFS, EFS-helyreállító ügynök, Felhasználó, Webkiszolgáló. A hitelesítő szervezet által kiállítható bizonyítványsablonok hozzáadásáról és eltávolításáról információt a A vállalati hitelesítő szervezet által kibocsátható bizonyítványtípusok létrehozása című témakörben talál.

A bizonyítványsablonok a következő jellemzőkkel rendelkeznek:

  • Biztonsági engedélyek beállítása

    Megmutatja, ki kaphat ilyen típusú bizonyítványt. A döntést a hitelesítő szervezet hozza meg, amihez az szükséges, hogy a bizonyítványkérő meggyőzően igazolja magát a hitelesítő szervezetnél. A biztonsági engedélyek bizonyítványsablonokon történő beállításáról információt a Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása című témakörben talál.

  • Megjelenítendő név

    Ez a név jelenik meg a felhasználói felületen, amikor az ügyfél vagy a rendszergazda kiválaszt egy bizonyítványsablont.

  • Kulcsok kibővített felhasználási területei

    Azonosítja a bizonyítvány célját, mint például az elektronikus levelek védelme, a CTL aláírása stb. Ezt az objektumazonosítók (OIDS) képviselik.

  • Kulcshasználat

    Meghatározza egy alapvatő titkosítási szintű bizonyítvány nyilvános kulcsának használatát. Általában ez jelzi, hogy a kulcsot aláírásra, kulcscserére, titkosításra vagy más célra lehet-e használni. A kulcshasználat tárolása bitmezőként történik.

  • Alapvető megkötések

    Megmutatja, hogy az eredményként kapott bizonyítványt használhatja-e egy hitelesítő szervezet olyan alacsony szintű bizonyítványok aláírásához, ami lehetővé teszi hitelesítő szervezeti hierarchiák felépítését. Az érték meghatározza a bizonyítványok alatti hierarchia maximális mélységét is.

  • Alapértelmezett CSP-lista

    A titkosításszolgáltatók (CSP) nevét tartalmazza, ami akkor használható, ha a beiktatás a szokásos Windows felhasználói felületen kívül történik. Néhány bizonyítványtípusnál a titkosításszolgáltatókra meghatározott korlátozások érvényesek és ez a lista ellenőrzi, hogy a rendszer által beiktatott bizonyítványok megfelelnek-e ezeknek a korlátozásoknak. Az EFS-hez például a Microsoft RSA CSP szükséges.

  • Elektronikus levélcím hozzáadása

    Azt mutatja meg, hogy a személy elektronikus levélben szereplő nevét tartalmazza-e a bizonyítvány, ha létezik ilyen név.

  • Számítógépes bizonyítványsablon

    Megmutatja, hogy a bizonyítványsablon egy számítógéphez vagy egy felhasználóhoz tartozik-e.

A bizonyítványsablonok kezelésének eljárásai a Vállalati hitelesítő szervezet bizonyítványsablonjainak kezelése című témakörben találhatók.


Az irányelv- és kilépési modulok

A Bizonyítvány szolgáltatások modul egyik hatékony felügyeleti képessége, hogy szabályozható és testreszabható a hitelesítő szervezet (CA) viselkedése az irányelv- és kilépési modulok használatával.

Az irányelvmodulok azt határozzák meg, hogy egy bizonyítvány kérelmet automatikusan kell-e jóváhagyni, megtagadni vagy folyamatban lévőként jelölni. A kilépési modulok lehetőséget biztosítanak a kiállítás utáni utófeldolgozás elvégzésére, például egy kiállított bizonyítvány közzétételére az Active Directoryban.

A Bizonyítvány szolgáltatásokhoz egy kilépési modul (Certxds.dll) és egy irányelvmodul (Certpdef.dll) tartozik. Az irányelvmodul két külön irányelvet tartalmaz, a vállalati és az önálló irányelvet. A vállalati és az önálló házirendet alkalmazó hitelesítő szervezetek működési jellemzőinek összehasonlításával kapcsolatos információt a Vállalati hitelesítő szervezetek és az Önálló hitelesítő szervezetek című témakörökben talál.

Hitelesítő szervezeti rendszergazdaként saját vagy egy harmadik fél irányelv- és kilépési moduljával cserélheti le ezeket az alapértelmezett modulokat. Ezen kívül ha a Certificate Server 1.0 verzióról a Windows 2000 Bizonyítvány szolgáltatásokra frissített, lehetősége lesz a Certificate Server 1.0 verzióhoz használt irányelvmodul további használatára. A hitelesítő szervezet tulajdonságainak megtekintésekor ez örökölt irányelvmodulként lesz feltüntetve.

A Windows 2000 rendszerhez mellékelt irányelvmodul a következő feladatokat látja el:

  • Egy kiállítás alatt álló bizonyítványhoz hozzáadja a visszavont bizonyítványok listájának terjesztési pontjait (CDP). A visszavont bizonyítványok listájának (CRL) terjesztési pontja az X.509v3 bizonyítvány egy tetszőleges kiterjesztése, ami a visszavont bizonyítványok listájának egy könyvtárbejegyzése vagy más terjesztési forrása. Egy bizonyítvány ellenőrzője, például egy biztonságos webhely, felhasználhatja a bizonyítványban található CRL terjesztési pontok címét a kiállító hitelesítő szervezet érvényes CRL-másolatának kikereséséhez annak biztosítására, hogy a benyújtott bizonyítványt a hitelesítő szervezet még nem vonta vissza.
  • Egy kiállítás alatt álló bizonyítványhoz hozzáadja a kiállítói információ hozzáférési pontjait. A kiállítói információ hozzáférési pont választható kiterjesztés az X.509v3 bizonyítványban. Ez könyvtárbejegyzésként vagy más terjesztési forrásként szolgál a hitelesítő szervezet bizonyítványa számára.
  • Meghatározza egy hitelesítő szervezet alapértelmezett műveletét bizonyítvány kérelem fogadásakor. Bizonyítvány kérelem fogadásakor a hitelesítő szervezet vagy automatikusan kiállít egy bizonyítványt, vagy folyamatban lévőként tartja azt, amíg egy rendszergazda felülvizsgálja a kérést.

    A Windows 2000 rendszerben a vállalati hitelesítő szervezet mindig vagy azonnal kiállítja a bizonyítványt, vagy azonnal megtagadja a kérést. Ez az irányelv-beállítás a vállalati hitelesítő szervezetek esetében nem módosítható. Mivel a vállalati hitelesítő szervezetek az Active Directoryt használják az kérő azonosságának meghatározásához és annak eldöntéséhez, hogy rendelkezik-e biztonsági engedélyekkel az ezekben meghatározott bizonyítvány típus kéréséhez, a hitelesítő szervezet automatikusan dönti el, hogy az kérő jogosult-e az igényelt bizonyítvány fogadására.

    A Windows 2000 rendszerben egy önálló hitelesítő szervezet automatikusan kiállíthat bizonyítványt a kérés fogadásakor vagy folyamatban lévőként tarthatja a kérést. Az esetek többségében egy önálló hitelesítő szervezet rendszergazdája az összes beérkező bizonyítvány kérelmet folyamatban lévő állapotba helyezi. Egyéb esetekben, mivel az önálló hitelesítő szervezet nem ellenőrzi az igénylők azonosságát az Active Diretoryn keresztül, nincs mód a bizonyítványt kérők azonosságának és érvényességének ellenőrzésére.

Ne feledje, hogy ez a lista nem tartalmazza a irányelvmodul összes funkcióját.

A Windows 2000 rendszerhezhez mellékelt kilépési modul a következő feladatokat látja el:

  • Lehetővé teszi bizonyítvány közzétételét az Active Directoryban. Ha a bizonyítvány kérelem a bizonyítvány közzétételi helyeként az Active Directoryt határozza meg, a kilépési modul ugyanezt teszi.
  • Lehetővé teszi bizonyítvány közzétételét a fájlrendszerben. Ha a bizonyítvány kérelem a bizonyítvány közzétételi helyeként a fájlrendszert határozza meg, a kilépési modul ugyanezt teszi.
  • Közzéteszi a visszavont bizonyítványok listáját a megadott URL-címeken. A kilépési modul határozza meg, hogy a hitelesítő szervezet hol teszi közzé a visszavont bizonyítványok listáját.

Ne feledje, hogy ez a lista nem tartalmazza a kilépési modul összes funkcióját.

Az alapértelmezett irányelv- és kilépési modulok beállításához olvassa el Az irányelv- és kilépési modulok konfigurálása című témakört.

Bizonyítvány szolgáltatások irányelv- és kilépési moduljainak testreszabása.

A Bizonyítvány szolgáltatások programozható felületeket kínálnak a fejlesztők számára a testreszabott irányelvmodulok létrehozásához. További információt a Microsoft Platform Software Development Kit csomagban talál.

Ha a testreszabott irányelvmodult a Microsoft Platform Software Development utasításai szerint hozta létre, annak módosításáról információt az Másik irányelvmodul kiválasztása című témakörben talál.

Ha a testreszabott kilépési modult a Microsoft Platform Software Development Kit utasításai szerint hozta létre, a kilépési modul módosításáról a Másik kilépési modul kiválasztása című témakörben olvashat.


Hitelesítő szervezetek hierarchiája

A Windows 2000 nyilvános kulcsok infrastruktúrája (PKI) hierarchikus hitelesítő szervezet (CA) modellt feltételez. A hitelesítési hierarchia biztosítja a növekvő számú kereskedelmi és más hitelesítő szervezeti termékek méretezhetőségét, könnyű kezelését és következetességét.

Legegyszerűbb esetben a hitelesítési hierarchia egyetlen hitelesítő szervezetből áll. Egy hierarchia azonban általában több, világosan meghatározott, szülő-gyermek kapcsolatú hitelesítő szervezetet tartalmaz. Ebben a modellben a gyermek alsóbb szintű hitelesítő szervezeteket olyan, a szülő hitelesítő szervezet által kiállított bizonyítványok igazolják, amelyek egy hitelesítő szervezet nyilvános kulcsát csatolják az azonossághoz. A hierarchia tetején lévő hitelesítő szervezetet legfelső szintű szervezetnek vagy legfelső szintű hitelesítő szervezetnek nevezzük. A legfelső szintű hitelesítő szervezetek gyermek hitelesítő szervezetei az alsóbb szintű hitelesítő szervezetek (CA).

Ha a Windows 2000 rendszerben megbízhatónak minősít egy legfelső szintű hitelesítő szervezetet (bizonyítványát a Megbízható legfelső szintű hitelesítő szervezetek bizonyítványtárolóban elhelyezve), a hierarchiában lévő minden alsóbb szintű hitelesítő szervezet megbízhatóságát is elismeri, kivéve, ha az alsóbb szintű hitelesítő szervezet bizonyítványát már visszavonta a kiállító hitelesítő szervezet, vagy a bizonyítvány már lejárt. Így a legfelső szintű hitelesítő szervezet egy cég megbízhatóságának igen fontos pontja, és annak biztonságosnak kell lennie, illetve azt ennek megfelelően karban kell tartani.

A bizonyítványok ellenőrzéséhez ezért csak kevés legfelső szintű hitelesítő szervezet megbízása szükséges. Ugyanakkor ez rugalmasságot biztosít a bizonyítványt kiállító alsóbb szintű hitelesítő szervezetek számát illetően. Több alsóbb szintű hitelesítő szervezet támogatásának számos gyakorlati oka van, pélául:

  • Használat. Bizonyítvány számos célból kiállítható, például a biztonságos elektronikus levelezés és a hálózati hitelesítés biztosítása érdekében. Az egyes céloktól függően a kibocsátási irányelv különböző lehet, és az elkülönítés alapot nyújt az irányelvek felügyeletéhez.
  • Szervezeti részlegek. A bizonyítványok kiállításának irányelvei eltérőek lehetnek, az entitásnak a szervezetben betöltött szerepétől függően. Ezen irányelvek elkülönítéséhez és felügyeletéhez létrehozhat alsóbb szintű hitelesítő szervezeteket.
  • Földrajzi részlegek. Organizations may have entities at multiple physical sites. A szervezetek entitásai földrajzilag távol helyezkedhetnek el. A különböző helyek közötti hálózati összekapcsolhatóság érdekében több olyan alsóbb szintű hitelesítő szervezetre van szükség, amely megfelel a használhatósági követelményeknek.

A hitelesítő szervezeti hierarchia a következő felügyeleti előnyökkel is jár:

  • A hitelesítő szervezet biztonsági környezetének rugalmas beállítása a biztonság és a használhatóság közötti egyensúly kiépítésére (például a kulcserősség, a fizikai védelem és a hálózati támadások elleni védelem beállítása). Alkalmazhat például speciális titkosító hardvert a legfelső szintű hitelesítő szervezeten, és azt működtetheti fizikailag biztonságos területen vagy kapcsolat nélkül. Ezek esetleg elfogadhatatlanok az alsóbb szintű hitelesítő szervezetek számára, a költség vagy használhatósági megfontolások miatt.
  • A veszélynek gyakran kitett hitelesítő szervezeti kulcsok és bizonyítványok kiállításának gyakori frissítése anélkül, hogy módosítani kellene az elfogadott meghatalmazotti kapcsolatokat.
  • A hitelesítő szervezeti hierarchia egy adott részének „kikapcsolhatósága” az elfogadott meghatalmazotti kapcsolatok befolyásolása nélkül. Könnyen leállíthatja és visszavonhatja például egy adott földrajzi helyhez társított hitelesítő szervezeti bizonyítvány kiállítását anélkül, hogy a szervezet más részére ezzel hatást gyakorolna.

További információt a Hitelesítési hierarchia létrehozása című témakörben talál.


Hitelesítő szervezet adatbázisa

A hitelesítő szervezet (CA) telepítésekor a rendszer létrehoz a kiszolgálón egy hitelesítő szervezeti adatbázist. Ennek az adatbázisnak a kiszolgáló lemezmeghajtójának NTFS fájlrendszerű partícióján kell lennie. Az adatbázis helyét a hitelesítő szervezet telepítésekor határozza meg. Az adatbázis alapértelmezett helye a következő:

\Rendszergyökér\system32\certlog

Az adatbázisfájl neve a hitelesítő szervezet nevén alapul, .edb kiterjesztéssel.

A hitelesítő szervezet MMC kezelőpultja biztosítja a betekintést a hitelesítő szervezeten lévő hitelesítő szervezeti adatbázisba és az adatbázis felügyelhetőségét.

A hitelesítő szervezeti adatbázis a következőket tárolja:

  • A hitelesítő szervezet által kiállított minden bizonyítványt.
  • A hitelesítő szervezet által visszavont minden bizonyítványt.
  • A hitelesítő szervezet által fogadott minden bizonyítványkérelmet.
  • A hitelesítő szervezet által visszautasított minden bizonyítványkérelmet.
  • A hitelesítő szervezet által folyamatban lévőnek tekintett minden bizonyítványkérelmet.

A Bizonyítványszolgáltatások beállítása alatt meghatározhatja a bizonyítvány-adatbázis naplójának helyét is. A bizonyítvány-adatbázis naplója őrzi meg a bizonyítvány-adatbázist érintő valamennyi tranzakció jegyzőkönyvét. A bizonyítvány-adatbázis naplója a hitelesítő szervezet biztonsági másolatból történő helyreállításakor használatos. Ha a hitelesítő szervezetet egy hónapnál régebbi biztonsági másolatból állítja vissza, az utolsó biztonsági másolatkészítés óta létrehozott bizonyítvány-adatbázis naplók lejátszhatók az adatbázishoz viszonyítva, hogy annak helyreállítása a legutolsó állapotnak megfelelően történjen. Amikor biztonsági másolatot készít egy hitelesítő szervezetről, a meglévő bizonyítvány-adatbázis napló mérete csonkulni fog, mivel ezekre már nem lesz szükség a bizonyítvány-adatbázis legutolsó állapotának helyreállításához.

A hitelesítő szervezet biztonsági mentésére és visszaállítására vonatkozó további információ a Hitelesítő szervezet biztonsági mentése és visszaállítása című témakörben található.


A webes beiktatással kiegészített hitelesítő szervezet szolgáltatások

A Windows 2000 Bizonyítványszolgáltatások a hitelesítő szervezettel (CA) kapcsolatos weblapkészlettel rendelkezik. Ezek a weblapok egyszerű felhasználói felületet biztosítanak egy adott hitelesítő szervezet számos gyakori felhasználói feladatának végrehajtásához. A telepítésük a Bizonyítványszolgáltatásokkal együtt automatikusan történik.

Ezek a webes beiktatási lapok lehetővé teszik a csatlakozást a hitelesítő szervezethez webböngésző segítségével és olyan általános feladatok végrehajtását, mint például a bizonyítványok kérése egy hitelesítő szervezettől, a hitelesítő szervezet bizonyítványának kérése, a bizonyítványkérelem benyújtása a PKCS 10 fájl használatával, a hitelesítő szervezet visszavont bizonyítványok listájának lekérése és az intelligenskártya-bizonyítvány beiktatása. Egy önálló hitelesítő szervezet számára a weblapok jelentik a bizonyítványigénylő és a -hitelesítő szervezettel való kommunikáció elsődleges módját, mivel a Bizonyítványok beépülő modul nem használható fel bizonyítványok igénylésére egy önálló hitelesítő szervezettől. A vállalati hitelesítő szervezetek elfogadhatnak bizonyítványkérelmeket a Bizonyítványok beépülő modulon vagy a webes beiktatási lapokon keresztül is.

Egy nem hitelesítő tevékenységet végző Windows 2000 kiszolgálóra is telepítheti a webes beiktatási lapokat, amely így a tényleges hitelesítő szervezet webes forgalmának eltérítésére fog szolgálni. A weblapok nem hitelesítő szervezetként működő kiszolgálóra történő telepítésével kapcsolatos további információt a Webes beiktatással kiegészített hitelesítő szervezet beállítása című témakörben talál.

A webes beiktatási lapok használatával kapcsolatos további információ A Windows 2000 Bizonyítványszolgáltatások weblapjainak használata című témakörben található.


Együttműködés a Bizonyítványszolgáltatásokban

Az ipari szabványú X.509v3 bizonyítvány formátumok és nyitott illesztők használatával a Windows 2000 Bizonyítványszolgáltatások sok olyan terméket és technológiát kínál, amely támogatja a nyilvános kulcsú titkosítást és a nyilvános kulcsok infrastruktúráját (PKI).

Internet-szabványok

A nyilvános kulcsok infrastruktúrájának Internet-szabványai e sorok írásakor még fejlesztés alatt állnak. A Bizonyítványszolgáltatásokat azonban úgy alakították ki, hogy kövessék az Internet Engineering Task Force (IETF) által kidolgozott, meglévő PKI együttműködési szabványokat. A PKIX az együttműködésre képes PKI alapjainak meghatározásával megbízott IETF munkacsoport. A PKIX-re vonatkozó további információt a PKIX weblapon (http://www.ietf.org/html.charters/pkix-charter.html) talál. A weblap hivatkozást tartalmaz az „Internet Public Key Infrastructure X.509 Certificate and CRL Profile, Part 1” (Az Internet nyilvános kulcsok infrastruktúrájának X.509 bizonyítványa és a visszavonásilista-profil) című, 2459. számú RFC-dokumentumra, amely a nyilvános kulcsok infrastruktúrája alapvető felépítésének specifikációját tartalmazza. (A webcímek megváltozhatnak, így előfordulhat, hogy nem lehet az itt említett webhelyekhez csatlakozni.)

A nyilvános kulcsú titkosításra vonatkozó szabványok

Létezik egy, az RSA Laboratories által kifejlesztett és karbantartott de facto titkosítási üzenet szabványkészlet, amit nyilvános kulcsú titkosítási szabványoknak (PKICS) nevezünk. (A további tájékoztatásért látogassa meg az RSA Laboratories (http://www.rsa.com/rsalabs/html/standards.html) weblapját.)

A nyilvános kulcsú titkosítási szabványok alapvető, de jól érthető keretet biztosítanak az együttműködéshez. A nyilvános kulcsok infrastruktúrája számára legfontosabb és a Bizonyítványszolgáltatások által használt szabványok a PKCS 7. számú, a Titkosított üzenetek szintaxisának szabványa és a PKCS 10. számú, a Bizonyítványkérelmek szintaxisának szabványa.

Webkiszolgálók

A vállalati intraneten vagy az Interneten a webkiszolgálók (például a Microsoft Internet Information Services szolgáltatást (IIS) használók) a biztonságos kommunikáció érdekében ügyfélhitelesítést végezhetnek a Bizonyítványszolgáltatások által létrehozott bizonyítványokkal. A Bizonyítványszolgáltatások létrehozhatnak az IIS és más webkiszolgálók által használt kiszolgálóbizonyítványokat is a kiszolgáló hitelesítése céljából, így biztosítva az ügyfeleket arról, hogy a kívánt entitással kommunikálnak.

Az IIS szolgáltatás és a bizonyítványok kapcsolatára vonatkozó információt a Bizonyítványok és az Internet Information Services című hivatkozás alatt talál (http://localhost/iishelp/iis/htm/core/iicerts.htm).

Webböngészők

A Bizonyítványszolgáltatások segítségével bizonyítványok állíthatók ki az ügyfélhitelesítést támogató webböngészők (például a Microsoft Internet Explorer 3.0 vagy későbbi verziója) számára.

LDAP-könyvtárak

A Bizonyítványszolgáltatások programozhatósága lehetővé teszi bizonyítványok kiállítását bármely LDAP-kompatibilis (Lightweight Directory Access Protocol) könyvtár számára. Az LDAP az X.500 DAP szabvány egy részhalmaza a könyvtárszolgáltatások számára. Az LDAP-kompatibilitás lehetővé teszi, hogy a Bizonyítványszolgáltatások az irányelv eszközeivel és más, az LDAP könyvtárszolgáltatást támogató külső alkalmazásokkal működjön.

Microsoft Windows 2000

A Windows 2000 rendszer lehetővé teszi bizonyítványok hozzárendelését Windows 2000 felhasználókhoz és csoportokhoz. Ez a hozzárendelés automatikus, ha a bizonyítványt egy vállalati hitelesítő szervezet (CA) állította ki. Ezután a szabványos Windows 2000 felügyeleti eszközök, például a biztonságiengedély-készletek segítségével kielégíthető az Internet és intranet biztonsági igényei, kihasználva a Windows 2000 tartományi felhasználók és a nekik kiállított bizonyítványok közötti kapcsolat előnyeit.

A bizonyítványok hozzárendeléséről a Windows 2000 rendszerben további információt a Bizonyítványok hozzárendelése felhasználói fiókokhoz című témakörben talál.

Microsoft Exchange Server

A Microsoft Exchange 5.5 SP1 Key Management Server (KMS) és az Exchange 5.5 SP3 KMS a Windows 2000 Bizonyítványszolgáltatások segítségével bizonyítványokat állíthat ki, amikor a Windows 2000 hitelesítő szervezetre telepíti az Exchange irányelvmodult. (Ez felváltja az önálló irányelvet.) Az Exchange 5.5 KMS irányelvmodulja a Bizonyítványszolgáltatások konzolon „Örökölt” irányelvmodulként lesz feltüntetve. A KMS és a Bizonyítványszolgáltatások e verziójának együttes használatával kapcsolatos részletes információért olvassa el a Microsoft Exchange dokumentációját.

További együttműködési tájékoztatás

Más termékek Windows 2000 Bizonyítványszolgáltatásokkal való együttműködésére vonatkozó részletes információt az alábbi témakörökben talál.

  • Windows 2000 Resource Kits
  • Microsoft Technikai Tanácsadó Szolgálat


Hitelesítő szervezetek

A hitelesítő szervezet (CA) olyan személyek, számítógépek vagy szervezetek számára bizonyítványok kiállításával megbízott egység, amely igazolja más egységek tulajdonát képező bizonyítványok azonosságát és azok egyéb jellemzőit. A hitelesítő szervezet - irányelvének megfelelően - elfogadja a bizonyítványkérelmet, ellenőrzi az igénylő információit, majd saját személyes kulcsa segítségével digitális aláírással látja el a bizonyítványt. Ezután a hitelesítő szervezet kiállítja a bizonyítványt a tulajdonos számára, amely ezután biztonsági azonosító adatként szolgál a nyilvános kulcsok infrastruktúráján (PKI) belül. A hitelesítő szervezet feladata továbbá a bizonyítványok visszavonása és a visszavont bizonyítványok listájának (CRL) közzététele is.

A hitelesítő szervezet lehet egy távoli külső szervezet (mint például a VeriSign), de olyan hitelesítő szervezet is, amelyet a vállalaton belül hoznak létre a Windows 2000 Bizonyítványszolgáltatások telepítésével. Az egyes hitelesítő szervezeteknek különböző követelményei lehetnek a bizonyítványigénylőkkel szemben azonosságuk igazolását illetően, mint például egy Windows 2000 tartomány fiók, alkalmazotti jelvény, jogosítvány, hitelesített igény vagy fizikai cím. Az azonosítási ellenőrzések gyakran garantálják a helybeli hitelesítő szervezetet, így a szervezetek érvényesíthetik alkalmazottaikat vagy tagjaikat.

A Windows 2000 rendszerben a vállalati hitelesítő szervezetek az azonosság igazolására a felhasználó Windows 2000 felhasználói fiókjának azonosító adatait használják fel. Más szóval, ha bejelentkezett egy Windows 2000 tartományba és bizonyítványt igényel egy vállalati hitelesítő szervezettől, a hitelesítő szervezet tudni fogja, hogy valóban ön az, akinek az Active Directory mondja önt.

A hitelesítő szervezetek rendelkeznek saját azonosságuk megerősítésére szolgáló bizonyítvánnyal is, amelyet egy másik megbízható hitelesítő szervezet, illetve – legfelső szintű hitelesítő szervezet esetén – saját maga állított ki. Fontos megjegyezni, hogy bárki létrehozhat hitelesítő szervezetet. A valódi kérdés az, hogy ön, mint felhasználó vagy rendszergazda, megbízhat-e ebben a hitelesítő szervezetben, és tágabb értelemben a hitelesítő szervezet irányelveiben és eljárásaiban azon entitások azonosságának megerősítésére, akiknek a bizonyítványokat kiállította.

A bizonyítványokról bővebben a Bizonyítványok – áttekintés című témakörben olvashat.

Legfelső és alsóbb szintű hitelesítő szervezetek

A legfelső szintű szervezet (amelyet legfelső szintű hitelesítő szervezet névvel is jelölnek) egy adott szervezet nyilvános kulcsok infrastruktúrájában a legmegbízhatóbb hitelesítő szervezettípusnak tekintendő. Általában a legfelső szintű hitelesítő szervezet fizikai biztonsága és bizonyítványkiállítási irányelve sokkal szigorúbb, mint az alsóbb szintű hitelesítő szervezeteké; ha a legfelső szintű hitelesítő szervezet veszélyeztetett vagy illetéktelen entitásnak bizonyítványt állít ki, a szervezet bizonyítványra alapozott biztonsága azonnal sebezhetővé válik. Bár a legfelső szintű hitelesítő szervezetek felhasználhatók végfelhasználói bizonyítványok kiállítására (például biztonságos elektronikus levelezési feladatokhoz), a legtöbb szervezetben ezeket csak alsóbb szintű hitelesítő szervezet számára kiállítandó bizonyítványok kiállítására használják.

Az alsóbb szintű hitelesítő szervezet egy olyan hitelesítő szervezet, amelyet a vállalat szervezetén belüli más hitelesítő szervezet hitelesített. Az alsóbb szintű hitelesítő szervezetek általában olyan speciális felhasználásokra állítanak ki bizonyítványokat, mint a biztonságos elektronikus levelezés, a web alapú vagy az intelligenskártyás hitelesítés. Az alsóbb szintű hitelesítő szervezetek kiállíthatnak bizonyítványokat más, a hierarchiában alattuk lévő hitelesítő szervezetek számára is. A legfelső szintű hitelesítő szervezet és az általa hitelesített alsóbb szintű hitelesítő szervezetek, valamint a többi, alsóbb szintű hitelesítő szervezet által hitelesített alsóbb szintű hitelesítő szervezetek együttesen alkotják a hitelesítési hierachiát.

A hitelesítési hierarchiával kapcsolatos további tudnivalók a Hitelesítő szervezetek hierarchiája című témakörben találhatók.

Vállalati és önálló hitelesítő szervezetek

A Bizonyítványszolgáltatások jelen verziója támogatja az önálló és vállalati hitelesítő szervezetek telepítését. A vállalati és az önálló hitelesítő szervezetek működési jellemzőivel kapcsolatos információt a Vállalati hitelesítő szervezetek és az Önálló hitelesítő szervezetek című témakörben talál.


Vállalati hitelesítő szervezetek

A vállalati hitelesítő szervezetet (CA) létrehozhatja úgy is, hogy telepíti a Bizonyítványszolgáltatások programot. A vállalati hitelesítő szervezetek bizonyítványokat állíthatnak ki a következők megvalósításához: digitális aláírások, biztonságos elektronikus levelezés a S/MIME (Secure Multipurpose Internet Mail Extensions) segítségével, biztonságos Webkiszolgáló hitelesítése a Secure Socket Layer (SSL) vagy a Transport Layer Security (TLS) használatával, és bejelentkezés Windows 2000 tartományba intelligens kártya segítségével.

A vállalati hitelesítő szervezet jellemzői:

  • A vállalati hitelesítő szervezetnek szüksége van az Active Directoryra.
  • A telepítés során a legfelső szintű vállalati hitelesítő szervezet automatikusan bekerül a Megbízható legfelső szintű hitelesítő szervezetek bizonyítványtárolóba, amely a tartomány felhasználói és számítógépei számára van fenntartva. A legfelső szintű vállalati hitelesítő szervezetet csak a tartományi rendszergazdák és az Active Directoryba írási engedéllyel rendelkező rendszergazdák telepíthetik.
  • A vállalati hitelesítő szervezethez küldött valamennyi bizonyítványkérelem a kért bizonyítványtípus irányelvének és biztonsági engedélyeinek beállításai alapján lesz teljesítve vagy elutasítva A vállalati hitelesítő szervezetek sohasem helyezik a bizonyítványkérelmeket várakozás állapotba; azonnal kiállítják a bizonyítványt vagy visszautasítják a kérelmet.
  • Bizonyítványok kiállíthatók Windows 2000 tartományba intelligens kártyával történő bejelentkezéshez is.
  • A vállalati kilépési modul felhasználói bizonyítványokat és a visszavont bizonyítványok listáját (CRL) teszi közzé az Active Directoryban. A bizonyítványok Active Directoryban történő közzétételéhez a kiszolgálónak, amelyre a hitelesítő szervezetet telepítették, a Bizonyítvány-közzétevők csoport tagjának kell lennie. Ez automatikus abban a tartományban, amelyben a kiszolgáló található, azonban a hitelesítő szervezetet megfelelő biztonsági engedélyekkel kell felhatalmazni a bizonyítványok közzétételére más tartományokban. A kilépési modullal kapcsolatos további információt Az irányelv- és kilépési modulok című témakörben talál.

A vállalati hitelesítő szervezet olyan bizonyítványtípusokat használ, amelyek a bizonyítványsablonon alapulnak. A bizonyítványsablonok használata a következő funkciókat teszi lehetővé:

  • A vállalati hitelesítő szervezetek ellenőrzik a felhasználók azonosító adatait a bizonyítványbeiktatás során. Minden bizonyítványsablon az Active Directoryban beállított biztonsági engedéllyel rendelkezik, ami meghatározza, hogy a bizonyítványigénylő jogosult-e az igényelt bizonyítványtípusra.
  • A bizonyítványtulajdonos nevének előállítása automatikusan történik.
  • Az irányelvmodul a bizonyítványkiterjesztések előre meghatározott listáját adja hozzá a kiállított bizonyítványhoz a bizonyítványsablonból. Ez csökkenti a bizonyítványigénylő által megadandó, a bizonyítvánnyal és a kívánt felhasználással kapcsolatos információ mennyiségét.

További információért olvassa el a Önálló hitelesítő szervezetek című témakört. A bizonyítványsablonokról bővebb tájékoztatást a Bizonyítványsablonok című témakörben talál. A hitelesítő szervezetekkel kapcsolatos általános tudnivalókat a Hitelesítő szervezetek című témakörben találja.


Önálló hitelesítő szervezetek

A Bizonyítványszolgáltatásokat telepítheti önálló hitelesítő szervezet (CA) létrehozására. Az önálló hitelesítő szervezetek bizonyítványokat állíthatnak ki a következő célokból: digitális aláírások, biztonságos elektronikus levelezés a S/MIME (Secure Multipurpose Internet Mail Extensions) használatával és biztonságos Web-kiszolgáló hitelesítése a Secure Sockets Layer (SSL) vagy a Transport Layer Security (TLS) szabványok segítségével.

Az önálló hitelesítő szervezetre a következők jellemzőek:

  • A vállalati hitelesítő szervezettől eltérően az önálló hitelesítő szervezetnek nincs szüksége az Active Directory használatára. Az önálló hitelesítő szervezetek elsődleges célja az extranetek és az Internet melletti használat. Ezen kívül, ha egy hitelesítő szervezethez egy egyéni irányelvmodult kíván használni, először telepítenie kell egy önálló hitelesítő szervezetet, majd ki kell cserélnie az önálló irányelvmodult az egyénire.
  • Amikor bizonyítványt igényelnek egy önálló hitelesítő szervezettől, az igénylésben a bizonyítványigénylőnek megkell adnia magáról az összes azonosítási információt és az igényelt bizonyítvány típusát. (Ezt nem kell megtenni a vállalati hitelesítő szervezethez benyújtott kérelem esetében, mivel a vállalati felhasználóra vonatkozó információk már az Active Directoryban vannak és a kívánt bizonyítványtípust egy bizonyítványsablon írja le.
  • Az önálló hitelesítő szervezethez küldött összes bizonyítványkérelem alapértelmezés szerint folyamatban lévő állapotban marad mindaddig, amíg az önálló hitelesítő szervezet rendszergazdája felül nem vizsgálja az igénylő azonosságát és jóvá nem hagyja az igénylést. Ezt biztonsági okokból kell elvégezni, mert a bizonyítványigénylő hitelesítő adatait az önálló hitelesítő szervezet nem ellenőrzi.
  • Bizonyítványsablonok felhasználásra ebben az esetben nem kerül sor.
  • Nem állítható ki bizonyítvány a Windows 2000 tartományba intelligens kártya segítségével történő bejelentkezéshez, azonban más típusú bizonyítványok kiállíthatók és tárolhatók intelligens kártyán.
  • A rendszergazda köteles terjeszteni az önálló hitelesítő szervezet bizonyítványát a tartományi felhasználó megbízható legfelső szintű tárolójában, vagy ezt a feladatot magának a felhasználónak kell elvégeznie.
Amikor egy önálló hitelesítő szervezet Active Directoryt használ, a következő további jellemzőkkel rendelkezik:
  • Ha a Tartománygazdák csoport egy tagja vagy egy, az Active Directory írására jogosult rendszergazda önálló legfelső szintű hitelesítő szervezetet telepít, az automatikusan felvételre kerül a tartományban lévő összes felhasználó és számítógép Megbízható legfelső szintű hitelesítő szervezetek bizonyítványtárolójába. Ezért, ha egy önálló legfelső szintű hitelesítő szervezetet telepít egy Active Directory tartományban, ne módosítsa a hitelesítő szervezet bizonyítványigénylések vételekor végzett alapértelmezett műveletét (ami az igényléseket folyamatban lévőnek jelöli). Ellenkező esetben olyan megbízható legfelső szintű hitelesítő szervezete lesz, amely automatikusan kiállítja a bizonyítványokat a bizonyítványigénylő azonosságának felülvizsgálata nélkül.

  • Ha egy vállalati fa szülőtartománya Tartománygazda csoportjának egy tagja, vagy egy Active Directory írására jogosult rendszergazda telepít önálló hitelesítő szervezetet, az önálló hitelesítő szervezet közzéteszi a bizonyítványokat és a visszavont bizonyítványok listáját (CRL) az Active Directoryban.

További információt a Vállalati hitelesítő szervezetek című témakörben talál. A hitelesítő szervezetekkel kapcsolatos általános tájékoztatás a Hitelesítő szervezetek című témakörben található.


Bizonyítványszolgáltatások használata

  • Hitelesítő szervezet telepítése és beállítása
  • Az irányelv- és kilépési modulok konfigurálása
  • Hitelesítési hierarchia létrehozása
  • Hitelesítő szervezet biztonsági mentése és visszaállítása
  • Bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele
  • Bizonyítványok hozzárendelése felhasználói fiókokhoz
  • Hitelesítő szervezet megújítása
  • Bizonyítványszolgáltatások parancssori funkciói


Hitelesítő szervezet telepítése és beállítása

Hitelesítő szervezet telepítésének megtervezése

A Bizonyítványszolgáltatások telepítése előtt meg kell terveznie a hitelesítő szervezetek (CA) és a nyilvános kulcsok infrastruktúrájának alkalmazását a szervezeténél.

A nyilvános kulcsok infrastruktúrájának telepítésével kapcsolatos információt a Feladatlisták, a Forrásmunkák: nyilvános kulcsok infrastruktúrája, a Windows 2000 Resource Kits és a Microsoft Technikai Tanácsadó Szolgálat című témakörökben talál.

A Bizonyítványszolgáltatások telepítési módjai hitelesítő szervezet létrehozására

Ha a Bizonyítványszolgáltatásokat a Windows 2000 Server rendszerre telepíti, számos esetben lehet szükség hitelesítő szervezet beállítására. (A legjellemzőbb a lista elején szerepel.)

  • A Windows 2000 Server rendszer alapvető telepítése után:

    A Bizonyítványszolgáltatások telepítéséhez egy olyan kiszolgálóra, amelyre már telepítették a Windows 2000 Server rendszert, a Vezérlőpulton kattintson duplán a Programok telepítése/törlése ikonra. Miután telepítésre kijelölte a Bizonyítványszolgáltatások programot, a Bizonyítványszolgáltatások telepítése varázsló vezeti végig a telepítés folyamatán.

    Egy hitelesítő szervezet (CA) Windows 2000 rendszerrel működő kiszolgálóra történő telepítéséről információt a Hitelesítő szervezet beállítása című témakörben talál.

  • A Windows 2000 Server rendszer alapvető telepítésének részeként:

    Bár a Bizonyítványszolgáltatások a Windows 2000 szolgáltatása, és azt a Windows 2000 Server rendszer tartalmazza, alapértelmezés szerint mégsem kerül telepítésre a Windows 2000 Server kezdeti telepítési folyamata során. (Nem feltétlenül szükséges, hogy minden fájlkiszolgáló hitelesítő szervezet legyen.)

    Ahhoz, hogy a Bizonyítványszolgáltatások programot a Windows 2000 Server kezdeti alaptelepítése során telepítse, ki kell azt jelölnie a telepítés alatt megjelenő választható összetevők listájából. A Bizonyítványszolgáltatások ténylegesen nem lesz telepítve mindaddig, amíg a Windows 2000 telepítésének befejezése után be nem jelentkezik a kiszolgálóra. Ezután egy üzenet kap, amely a hitelesítő szervezet telepítésének befejezésére szólítja fel.

  • Frissítés a Certificate Server 1.0 verziójáról:

    Ezzel kapcsolatos információt A Certificate Server 1.0 frissítése című témakörben talál.

  • A Windows 2000 Server rendszer felügyelet nélküli telepítésének részeként:

    A Bizonyítványszolgáltatások telepíthető a Windows 2000 kiszolgáló felügyelet nélküli telepítésének részeként is. A Windows 2000 rendszer felügyelet nélküli telepítésével kapcsolatos információt a Felügyelet nélküli telepítés megtervezése című témakörben talál.

Telepítési beállítások és információ

A Bizonyítványszolgáltatások telepítésekor a következő információkat kell megadnia:

Hitelesítő szervezet típusának kijelölése

A Bizonyítványszolgáltatások telepítése alatt a következő hitelesítő szervezet (CA) típusok közül választhat:

Hitelesítő szervezet (CA) típusa | Leírás
Vállalati legfelső szintű hitelesítő szervezet | A vállalati legfelső szintű hitelesítő szervezet a hitelesítési hierarchiában legfelül helyezkedik el. A vállalati legfelső szintű hitelesítő szervezetnek szüksége van az Active Directoryra. Saját maga írja alá hitelesítő szervezeti bizonyítványát, és közzéteszi azt a tartomány minden Windows 2000 kiszolgálójának és munkaállomásának Megbízható legfelső szintű hitelesítő szervezetek tárolójában. További információt a Vállalati hitelesítő szervezetek című témakörben talál.
Vállalati alsóbb szintű hitelesítő szervezet | A vállalati alsóbb szintű hitelesítő szervezet bizonyítványát egy másik hitelesítő szervezettől igényelheti. A vállalati alsóbb szintű hitelesítő szervezetnek szüksége van az Active Directoryra. Akkor érdemes használni a vállalati alsóbb szintű hitelesítő szervezeteket, ha ki akarja használni az Active Directory, a bizonyítványsablonok és a Windows 2000 számítógépekre történő intelligens kártyás bejelentkezés előnyeit.
Önálló legfelső szintű hitelesítő szervezet | Az önálló legfelső szintű hitelesítő szervezet a hitelesítési hierarchiában legfelül helyezkedik el. Az önálló legfelső szintű hitelesítő szervezet lehet tartomány tagja, de az is lehet, hogy nem tagja tartománynak, ezért nincs szüksége Active Directoryra. Ha azonban az Active Diretory rendelkezésre áll, használni fogja. Mivel az önálló legfelső szintű hitelesítő szervezetnek nincs szüksége Active Directoryra, a hálózatról könnyen leválasztható és elhelyezhető egy biztonságos területen, ami akkor hasznos, ha úgy dönt, hogy biztonságos kapcsolat nélküli legfelső szintű hitelesítő szervezetet hoz létre. További információt az Önálló hitelesítő szervezetek című témakörben talál.
Önálló alsóbb szintű hitelesítő szervezet | Az önálló alsóbb szintű hitelesítő szervezet bizonyítványát egy másik hitelesítő szervezettől igényelheti. Az önálló alsóbb szintű hitelesítő szervezet lehet tartomány tagja, de az is lehet, hogy nem tagja tartománynak, ezért nincs szüksége Active Directoryra. Azonban használni fogja az Active Diretoryt, ha létezik. Hitelesítő szervezeti bizonyítványát egy másik hitelesítő szervezettől kell igényelnie.
Speciális beállítások: Titkosításszolgáltatók, kulcshossz, ujjlenyomat-algoritmus

Amikor a telepítendő hitelesítő szervezet típusának kiválasztásakor engedélyezi a speciális beállításokat, kijelölheti a titkosításszolgáltató (CSP) használatát. A titkosításszolgáltató létrehozza a nyilvános kulcsból és személyes kulcsból álló kulcspárt és a hitelesítő szervezet nevében elvégzi a titkosítási műveletet.

A speciális beállítások között beállíthatja a nyilvános kulcsú titkosítás kulcshosszát is, amit a hitelesítő szervezet használ a bizonyítványok aláírásához. Általában minél hosszabb a kulcs, annál biztonságosabb. Ne feledje, hogy a hosszabb kulcs létrehozásához több idő szükséges a telepítés során.

A speciális beállításokban megválaszthatja a hitelesítő szervezet által használt üzenet ujjlenyomat-algoritmusát, és előírhatja a meglévő titkosítási kulcsok használatát, újak létrehozása helyett.

Hitelesítő szervezet azonosítási információja

Az alábbiak segítséget nyújtanak a Bizonyítványszolgáltatások telepítése során a hitelesítő szervezet azonosítási adatainak kitöltéséhez:

Mező | Leírás
Hitelesítő szervezet neve A hitelesítő szervezetnek adni kívánt név. Adjon meg egy karakterláncot, amely szinte bármilyen karakterből állhat. Ez a név a hitelesítő szervezet megkülönböztető közös neve is lesz az Active Directoryban.

Ha a hitelesítő szervezet nevében különleges karakterek találhatók, azok a műveletek, amelyek nem tudják kezelni ezt a nevet, a hitelesítő szervezet letisztított nevét fogják használni. A hitelesítő szervezet letisztított neve az a név, amelyben a speciális karaktereket olyan formátumban kódolják, ami lehetővé teszi fájlnévként, CryptoAPI (CAPI) kulcstároló névként és Active Directory objektumnévként történő használatát. Speciális karakterek azok a karakterek, amelyek egyes ilyen nevekben nem használhatók; a lista tartalmazza az összes nem ASCII karaktert és sok ASCII írásjelet.

Továbbá az Active Directory objektumneveit az LDAP-szabvány szerinti 64 karakterre korlátozza. E korlátozás betartására az Active Directory objektumnevek összeállítása a letisztított név csonkolásával és a csonkolt rész kiszámolt ujjlenyomatának hozzáfűzésével történik.

A közzétett hitelesítő szervezetek letisztított nevének megtekintéséhez futtassa a parancssorból a certutil.exe programot, paraméterek nélkül. Az összes, hitelesítő szervezettel kapcsolatos Active Diretory név megtekintéséhez futtassa a certutil.exe -v -ds parancsot. Az első oszlop a rövidített hitelesítő szervezeti neveket mutatja a hozzáfűzött ujjlenyomattal (a tényleges Active Directory objektumok tárolónevét, eredeti formába visszaállított speciális karakterekkel). A második oszlop csak akkor jelenik meg, ha a rövidített, letisztított név nem egyezik a rövidített hitelesítő szervezeti névvel és ez a tényleges Active Directory objektum tárolóneve.

Szervezet | A szervezetének a megfelelő állami, országos vagy városi hatóságnál bejegyzett törvényes neve.
Szervezeti egység | A szervezeten belüli részlegek (például Internet Biztonsági Egység vagy Személyzeti osztály) megkülönböztetésére szolgál. Ha vállalkozásának neve eltér az irányító szervezet nevétől, annak nevét is használhatja.
Helység | Az a város, ahol a szervezet székhelye található.
Állam vagy megye | A szervezet fizikai helye.
Ország | Két karakterből ország/körzeti kód az X.500 Névhasználati sémaszabvány szerint. Az Egyesült Államok ország/körzeti kódja például az US, Kanadáé pedig a CA.
Adatbázis és konfiguráció tárolója

A Bizonyítványszolgáltatások helyi tárolót használ adatbázisa, beállítási adatai, biztonsági másolati adatai és naplózási adatai számára. Az adatbázis és a napló helyét a hitelesítő szervezet beállítása során határozhatja meg. A hitelesítő szervezet által kiállított bizonyítványok tárolása alapértelmezés szerint a következő helyen történik:

\Rendszergyökér\system32\certlog

A hitelesítő szervezet beállításakor lehetőség van megosztott mappa megadására is. A megosztott mappa olyan hely, ahol a számítógép felhasználók megtalálhatják a hitelesítő szervezetekkel kapcsolatos tájékoztatásokat. Ez a beállítás csak akkor hasznos, ha önálló hitelesítő szervezetet telepít és nem rendelkezik Active Directoryval.

Ha a Bizonyítványszolgáltatások gazdaszámítógépe egy tartomány tagja, a hitelesítő szervezettel kapcsolatos információt a rendszer automatikusan közzéteszi az Active Directoryban. Az Active Directory azonban nem működik a Bizonyítványszolgáltatások adatbázisaként. Ez a funkció a helyi számítógépnél marad.

(Választható) Hitelesítő szervezet kiállítói irányelvére vonatkozó közlemény létrehozása

Egy hitelesítő szervezet telepítésekor létrehozhat egy, az irányelvre vonatkozó közleményt a hitelesítő szervezet bizonyítványához, amely a telepítéskor vagy a hitelesítő szervezet bizonyítványának frissítésekor jön létre szöveges formában, vagy egy webhelyre mutató hivatkozásként. A hitelesítő szervezet irányelvére vonatkozó közlemény a hitelesítő szervezetről, annak kiállítási irányelvéről, felelősségének korlátairól és egyéb fontos jellemzőiről ad jogszerű tájékoztatást. A végfelhasználó ezt a hitelesítő szervezet irányelvére vonatkozó közleményt akkor látja, amikor megtekinti a hitelesítő szervezet bizonyítványát és a Kibocsátó levele gombra kattint.

Az alábbiakban az irányelv-közlemény egy hitelesítő szervezeti bizonyítványhoz csatolásának lépéseit láthatja:

  1. A irányelvközlemény-fájlt a Windows 2000 kiszolgálóra kell telepíteni a Bizonyítványszolgáltatások beállítása előtt. Ezt a fájlt (CAPolicy.inf) a rendszergyökér könyvtárban kell elhelyezni. A CAPolicy.inf fájlban lévő URL-címeknek az irányelvmodul beállító képernyőjén is megjelenő behelyettesíthető paraméterszintaxist kell alkalmazniuk. Ha nem használ behelyettesíthető paraméterszintaxist, a megújított hitelesítő szervezeti legfelső szintű bizonyítványokban lévő CDP és AIA bővítmények ugyanarra helyre mutathatnak, amelyet az előző hitelesítő szervezeti legfelső szintű bizonyítvány határozott meg. A helyettesíthető paraméterszintaxist a Visszavont bizonyítványok listája terjesztési pontjainak meghatározása kiállított bizonyítványokban című témakörben tekintheti meg.

  2. A CAPolicy.inf első két sorában a következőnek kell lennie:

    [Version]
    Signature="$Windows NT$"

  3. A fáj következő két sora a hitelesítő szervezet irányelveinek neveit sorolja fel. Több irányelv a Policies= parancs után sorolható fel, vesszővel elválasztva. Az itt használt Érvényes_irányelv név egy példa, a hitelesítő szervezet rendszergazdája a CAPolicy.inf fájl létrehozásakor bármilyen nevet választhat:

    [CAPolicy]
    Policies=Érvényes_irányelv

  4. Minden irányelvhez biztosítania kell egy felhasználó által meghatározott objektumazonosítót, és vagy az irányelv közleményeként megjeleníteni kívánt szöveget, vagy a közleményre mutató URL-címet. (Az URL-cím HTTP-, FTP-, fájl- vagy LDAP-cím is lehet.) Folytatva a példát, ha szöveget kíván elhelyezni a közleményben, a CAPolicy.inf fájl következő három sora ez lesz:

    [Érvényes_irányelv]
    OID=1.1.1.1.1.1.1.1.1
    Notice="Érvényes irányelv-közleméy szövege"

    Amennyiben a hitelesítő szervezet közleményét egy URL-címen tárolja, a következő három sor így módosul:

    [Érvényes_irányelv]
    OID=1.1.1.1.1.1.1.1.1
    URL="http://Cég_webhelye/CAPolicy/default.asp"

    (Ne feledje, hogy a példában használt "OID=" bejegyzés tetszőleges és csak szemléltetési célokat szolgál.)

    További megjegyzések:

    • Több URL-cím használata támogatott
    • Több megjegyzés használata támogatott
    • Megjegyzések és URL-címek vegyes használata szintén támogatott
    • A szóközöket tartalmazó URL-címeket és szövegeket idézőjelbe kell foglalni

    Példa az több megjegyzés és URL-cím megadására az irányelv részben:

    [Érvényes_irányelv]
    OID=1.1.1.1.1.1.1.1.1
    URL = "http://http.hely.com/valahol/default.asp"
    URL = "ftp://ftp.hely.com/valahol máshol/default.asp"
    Notice = "Érvényes irányelv közleményének szövege."
    URL = "ldap://ldap.hely.com/egyéb más helyen/default.asp"

  5. A CAPolicy.inf fájlban megadhatja a CRL terjesztési pontokat (CDP). Ne feledje, hogy a CAPolicy.inf fájlban lévő bármely CRL terjesztési pont a hitelesítő szervezet irányelvmoduljában meghatározott terjesztési pontokhoz képest elsőbbséget élvez a bizonyítvány ellenőrzőknél. Az alábbiakban példát láthat a CRL terjesztési pont CAPolicy.inf használatával történő meghatározásának szintaxisára:

    [CRLDistributionPoint]
    URL="http://Cég_webhelye/Public/myCA.crl"

    További megjegyzések a CRL részre vonatkozóan:

    • Több URL-cím használata támogatott.
    • HTTP, fájl, FTP és LDAP URL-címek támogatottak.
    • This section can be used during CA setup or CA certificate renewal.Ez a rész a hitelesítő szervezet telepítése vagy bizonyítványának megújítása során használható.
    • Ez a rész csak akkor használandó, ha a legfelső szintű hitelesítő szervezet telepítését vagy a legfelső szintű hitelesítő szervezet bizonyítványának frissítését végzi. Az alsóbb szintű hitelesítő szervezet CRL terjesztési pontjának bővítményeit az alsóbb szintű hitelesítő szervezet bizonyítványát kiállító hitelesítő szervezet határozza meg.
    • A szóközöket tartalmazó URLcímeket idézőjelek közé kell foglalni.

    • Ha nem ad meg URL-címet (más szóval, ha a [CRLDistributionPoint] szakasz üres), az alapértelmezett CRL terjesztési pont bővítménye le lesz tiltva.

  6. A kiadói információ hozzáférési pontjait a CAPolicy.inf fájlban adhatja meg. A szintaxis a következő:

    [AuthorityInformationAccess]
    URL="http://Cég_webhelye/Public/myCA.crl"

    További megjegyzések a kiadói információ hozzáférési szakaszra vonatkozóan:

    • Több URL-cím használata támogatott.
    • HTTP, fájl, FTP és LDAP URL-címek támogatottak.
    • Ez a szakasz a hitelesítő szervezet telepítése vagy bizonyítványának megújítása során használható.
    • Ez a szakasz csak akkor használandó, ha a legfelső szintű hitelesítő szervezet telepítését vagy a legfelső szintű hitelesítő szervezeti bizonyítvány megújítását végzi. Az alsóbb szintű hitelesítő szervezet kiadói információ hozzáférési bővítményeit az alsóbb szintű hitelesítő szervezet bizonyítványát kiállító hitelesítő szervezet határozza meg.

    • Ha nem ad meg URL-címet (más szóval, ha az [AuthorityInformationAccess] szakasz üres), az alapértelmezett kiadói információ hozzáférési kiterjesztés le lesz tiltva.

  7. A CAPolicy.inf fájl egy másik választható szakasza az [EnhancedKeyUsage], melynek segítségével a EnhancedKeyUsage kiterjesztésű OID-k határozhatók meg.

    • Több OID használata támogatott.
    • Ez a szakasz a hitelesítő szervezet telepítése vagy bizonyítványának megújítása során használható.
    • Ez a szakasz csak akkor használandó, ha a legfelső szintű hitelesítő szervezet telepítését vagy a legfelső szintű hitelesítő szervezeti bizonyítvány megújítását végzi. Egy alsóbb szintű hitelesítő szervezet EnhancedKeyUsage bővítményét az a hitelesítő szervezet határozza meg, amelyik az alsóbb szintű hitelesítő szervezet bizonyítványát kiállította.

    E szakasz egy példája a következő:

    [EnhancedKeyUsage]
    OID=1.2.3.4.5
    OID=1.2.3.4.6

  8. A CAPolicy.inf egy másik választható szakasza a [certsrv_server], amely egy megújítandó hitelesítő szervezet megújítási kulcshosszának, megújítási érvényességi időtartamának és megújítási érvényességi időtartamegységeinek meghatározására szolgál.

    Egy példa erre:

    [certsrv_server]
    RenewalKeyLength=2048
    RenewalValidityPeriod=8
    RenewalValidityPeriodUnits=Years

    • A RenewalKeyLength csak a megújítandó kulcs méretét állítja be. Ezt csak akkor kell használni, ha a hitelesítő szervezet új kulcsokat hoz létre.
    • A RenewalValidityPeriod és a RenewalValidityPeriodUnits határozzák meg az új legfelső szintű hitelesítő szervezet bizonyítványának élettartamát a régi hitelesítő szervezeti bizonyítvány megújításakor.
    • A [certsrv_server] csak egy legfelső szintű hitelesítő szervezeti bizonyítvány megújításakor használatos.
A Certificate Server 1.0 frissítése

Ha egy Certificate Server 1.0 verziót futtató Windows NT 4.0 kiszolgálót frissít Windows 2000 Server rendszerre, a Certificate Server 1.0 verzió frissítése a Bizonyítványszolgáltatások új verziójára automatikusan megtörténik. Ha egy frissítés alatt álló hitelesítő szervezet a Certificate Server 1.0 alapértelmezett irányelvmoduljától eltérő irányelvmodult használ, a régi irányelvmodul marad továbbra is használatban. A Bizonyítványszolgáltatások erre „Örökölt” irányelvmodulként fog hivatkozni. Ha a frissítés alatt álló hitelesítő szervezet a Certificate Server 1.0 alapértelmezett irányelvmodulját használja, a frissített hitelesítő szervezet a Bizonyítványszolgáltatások önálló irányelvét fogja használni.

A Certificate Server 1.0 adatbázisa nem lesz automatikusan frissítve a Windows 2000 kiszolgálóra történő frissítéskor. A frissített hitelesítő szervezet adatbázisa és a visszavont bizonyítványok listája (CRL) üres lesz. A régi adatbázis adatainak az új adatbázisba történő importálásához a következő lépéseket kell végrehajtania:

  1. A Bizonyítványszolgáltatások leállítása
  2. A certutil -ConvertMDB parancs futtatása a parancssorból
  3. A Bizonyítványszolgáltatások elindítása
  4. Új CRL közzététele

Ha nem frissíti a Certificate Server 1.0 hitelesítő szervezetet, hanem egy külön Windows 2000 hitelesítő szervezetet telepít, amely lecseréli a régit, a Az irányelv- és kilépési modulok konfigurálása című részben találhat tájékoztatást a Certificate Server 1.0 verziójához kifejlesztett irányelvmodul telepítéséhez Windows 2000 hitelesítő szervezetre. Ez azt feltételezi, hogy a régi irányelvmodult kívánja használni a Bizonyítványszolgáltatásokhoz mellékelt alapértelmezett irányelvmodul helyett.


Az irányelv- és kilépési modulok konfigurálása

A hitelesítő szervezet (CA) rendszergazdája számos beállítást végezhet a Bizonyítványszolgáltatásokhoz mellékelt alapértelmezett irányelv- és kilépési modulokon a Hitelesítő szervezet beépülő modul segítségével.

Az irányelvmodul módosítható beállításai:

    Visszavont bizonyítványok listájának terjesztési pontjai. Hozzáadhatja vagy eltávolíthatja a visszavont bizonyítványok listájának terjesztési pontjaihoz tartozó címeket, amelyek tulajdonképpen a hitelesítő szervezet által minden bizonyítványba beírt URL-címek. Ezek a címek tájékoztatják a bizonyítvány ellenőrzőjét arról, hogy honnan kérhető le a hitelesítő szervezet visszavont bizonyítványok listájának (CRL) legfrissebb változata. Ezek az URL-címek lehetnek HTTP-, FTP-, LDAP- vagy FILE címek. A CRL terjesztési pont (CDP) címének megadásánál változókat is használhat. Az URL-címben használható változókkal kapcsolatos további információért tekintse meg az eljárásban lévő, változókat tartalmazó táblázatot.

    A CRL terjesztési pontok módosítási eljárásáról információt a Visszavont bizonyítványok listája terjesztési pontjainak meghatározása kiállított bizonyítványokban című témakörben talál.

    Kiállítói információ hozzáférési pontjai. Hozzáadhatja és eltávolíthatja a kiadói információ hozzáférési címeit, amelyek valójában a hitelesítő szervezet által kiállított bizonyítványban szereplő URL-címek. Ezek a címek tájékoztatják a bizonyítvány ellenőrzőjét arról, hogy honnan kérhető le a hitelesítő szervezet bizonyítványa. Ezek a címek HTTP-, FTP-, LDAP- vagy FILE-címek lehetnek. A CRL terjesztési pont URL-címeihez hasonlóan a kiállítói információ hozzáférési pont címének megadásakor is használhat változókat. Az URL-címben használható változókkal kapcsolatos további információért tekintse meg az eljárásban lévő, változókat tartalmazó táblázatot.

    A kiállítói információ hozzáférési pontok módosítási eljárásáról bővebben a A hitelesítő szervezet hozzáférési pontjainak meghatározása a kiállított bizonyítványokban című témakörben olvashat.

    (Csak önálló hitelesítő szervezetek esetén) A hitelesítő szervezet alapértelmezett művelete bizonyítványkérelem fogadásakor. Meghatározhatja, hogy az önálló hitelesítő szervezet a beérkező bizonyítványkérelmeket folyamatban lévőként várakoztassa, vagy automatikusan kiállítsa a bizonyítványt. Biztonsági okok miatt alegtöbb esetben javasolt az önálló hitelesítő szervezethez beérkező valamennyi bizonyítványkérelmet folyamatban lévőnek jelölni.

    Az önálló hitelesítő szervezet bizonyítványkérelem esetén végrehajtott alapértelmezett műveletének módosításáról információt a Bizonyítványkérelem beérkezésekor elvégzendő alapértelmezett művelet beállítása című témakörben talál.

A kilépési modul módosítható beállításai:

    A bizonyítványok közzétételének engedélyezése Active Directoryban. Engedélyezheti a bizonyítványok közzétételét az Active Directoryban a kiállítást követően. Ezeket azokhoz az Active Directoryban lévő objektumokhoz társítja, amelyekre vonatkozóan kiállította a bizonyítványokat.

    A bizonyítványok Active Directoryban történő közzétételének engedélyezéséről és tiltásáról információt a Bizonyítványok közzététele az Active Directoryban című témakörben talál.

    A bizonyítványok közzétételének engedélyezése a fájlrendszerben. Engedélyezheti a bizonyítványok közzétételét a fájlrendszerben. A tényleges közzététel akkor történik meg, ha a bizonyítványkérelem meghatározza a bizonyítvány közzétételének helyét a fájlrendszeren.

    A bizonyítványok fájlrendszeren történő közzétételének engedélyezéséről és tiltásáról információt a Bizonyítványok közzététele a fájlrendszerben című témakörben talál.

Az irányelv- és kilépési modulokkal kapcsolatos további információ Az irányelv- és kilépési modulok című témakörben található.

Ha a Bizonyítványszolgáltatásokhoz mellékelt irányelvmodult egyéni, illetve a Certificate Server 1.0 vagy a Windows NT 4.0 számára kifejlesztett irányelvmodullal kívánja lecserélni, először a rgsrv32 sajátmodul.dll paranccsal regisztrálja az irányelvmodulhoz tartozó .dll fájlt, majd kövesse a Másik irányelvmodul kiválasztása című témakör utasításait.


Hitelesítési hierarchia létrehozása

A hitelesítési hierarchia létrehozásának első lépése a legfelső szintű hitelesítő szervezet (CA) telepítése.

A Windows 2000 hitelesítő szervezetének használata legfelső szintű szervezetként

A Bizonyítványszolgáltatások legfelső szintű szervezetének telepítési folyamata létrehoz egy olyan legfelső szintű hitelesítő szervezeti bizonyítványt, amely tartalmazza a hitelesítő szervezet nyilvános kulcsát és a legfelső szintű szervezet személyes kulcsával létrehozott digitális aláírást. Amennyiben a legfelső szintű szervezetet a Windows 2000 Bizonyítványszolgáltatások segítségével telepítették egy olyan kiszolgálóra, amelynek hozzáférése van az Active Directoryhoz, a legfelső szintű szervezet bizonyítványa automatikusan bekerül az összes tartomány felhasználó Megbízható legfelső szintű hitelesítő szervezetek bizonyítványtárolójába, ezzel biztosítva a legfelső szintű hitelesítő szervezet egész tartományra kiterjedő megbízhatóságát.

A szervezeten kívüli hitelesítő szervezet felhasználása legfelső szintű szervezetként

Ha szervezete egy külső hitelesítő szervezetet használ legfelső hitelesítő szervezetként (például Verisign), be kell szereznie a gyökérbizonyítványt és szét kell azt osztania azon felhasználók és számítógépek között, amelyek számára igazolni kell a külső legfelső szintű szervezet megbízhatóságát. A harmadik fél legfelső szintű bizonyítványának a Windows 2000 felhasználók közötti szétosztásának egyik módja a megbízható bizonyítványok listájának (CTL) használata a Csoportházirenden keresztül. A harmadik fél legfelső szintű bizonyítványainak a Csoportházirend segítségével történő szétosztásával kapcsolatos további információ a Vállalati megbízási házirend című témakörben található.

Nem Microsoft hitelesítő szervezet felhasználása legfelső szintű szervezetként

Ha szervezete saját nem Microsoft hitelesítő szervezetet (CA) használ legfelső szintű szervezetként, be kell szereznie a gyökérbizonyítványt és szét kell azt osztania azon felhasználók és számítógépek között, amelyek számára igazolni kell a nem Microsoft legfelső szintű szervezet megbízhatóságát. A nem Microsoft gyökérbizonyítványok Windows 2000 felhasználók közötti szétosztásának egyik módja a megbízható legfelső szintű hitelesítő szervezetekkel kapcsolatos irányelvek beállítása a Csoportházirend segítségével. A nem Microsoft gyökérbizonyítványok Csoportházirend segítségével történő elosztásával kapcsolatos további információ az Irányelvek megbízható legfelső szintű hitelesítő szervezetek létrehozásához című témakörben található.

Alsóbb szintű hitelesítő szervezetek

Ha a legfelső szintű hitelesítő szervezet megbízható, telepítheti azokat a hitelesítő szervezeteket (CA), amelyek alacsonyabb szintűek a legfelső szintű hitelesítő szervezetnél, illetve az alsóbb szintű hitelesítő szervezetekhez is telepíthet alárendelt hitelesítő szervezeteket. Ezzel létrehozhat egy olyan szülő-gyerek kapcsolatláncot a hitelesítő szervezetek között, amely egy szervezet nyilvános kulcsok infrastruktúrájában (PKI) különféle célokat szolgál. Egy legfelső szintű és egy alsóbb szintű hitelesítő szervezet telepítési eljárása között az egyetlen jelentős eltérés az, hogy az alsóbb szintű szervezet létrehoz és elküld egy bizonyítványkérelmet egy másik hitelesítő szervezethez ahelyett, hogy egy saját magával aláírt bizonyítványt hozna létre. A kérés továbbítása történhet automatikusan az on-line hitelesítő szervezetekhez az Active Directoryn keresztül, vagy kézzel, ha azok kapcsolat nélküliek. Az eredményül kapott bizonyítványt mindkét esetben telepíteni kell az új alsóbb szintű hitelesítő szervezetre, mielőtt az használható lenne.

Ne feledje, hogy kapcsolat van a vállalati hitelesítő szervezetek és a Windows 2000 tartomány megbízhatósági modellje között, de ez nem foglalja magába a hitelesítő szervezet megbízhatósági kapcsolatai és a tartomány biztonsági kapcsolatai közötti közvetlen hozzárendelést. Az önálló hitelesítő szervezet a több tartományban lévő vagy a tartomány határán kívüli entitásokat is kiszolgálhatja. Hasonló módon egy adott tartomány rendelkezhet több vállalati hitelesítő szervezettel.

A hitelesítési hierarchia rövid áttekintése a Hitelesítő szervezetek hierarchiája című témakörben található.

A hitelesítési hierarchia megtervezésével kapcsolatos részletes tájékoztatáshoz tanulmányozza a Windows 2000 Resource Kits című témakört.


Hitelesítő szervezet biztonsági mentése és visszaállítása

A biztonsági mentés és a helyreállítás célja a hitelesítő szervezet (CA) és működési adatainak védelme a hardver vagy tároló adathordozó meghibásodása miatti véletlen adatvesztés ellen. A hitelesítő szervezet biztonsági mentésének javasolt módszere a Windows 2000 Biztonságimásolat-készítő használata a teljes fájlkiszolgáló biztonsági másolatának elkészítéséhez.

Lehetőség van egy hitelesítő szervezet biztonsági másolatának elkészítésére és tárolására a Hitelesítő szervezet beépülő modul segítségével is, de ez a módszer csak olyan különleges esetekben használatos, amikor nem akarja elkészíteni annak a kiszolgálónak a teljes biztonsági másolatát, amire a hitelesítő szervezetet telepítette. A Hitelesítő szervezet beépülő modul használatával a következő információtípusok biztonsági másolata készíthető el és tárolható:

  • Nyilvános kulcs, személyes kulcs, és a hitelesítő szervezeti bizonyítvány
  • Bizonyítvány-adatbázis

A nyilvános kulcs és a személyes kulcs biztonsági másolatának elkészítése és tárolása a PKCS 12 PFX formátumban történik.

A Biztonságimásolat-készítő varázsló kérni fogja a jelszó magadását a nyilvános és személyes kulcsok, valamint a hitelesítő szervezeti bizonyítvány biztonsági másolatának elkészítésekor. Erre a jelszóra a hitelesítő szervezet helyreállításánál lesz szükség. A hitelesítő szervezet biztonsági másolatának a Hitelesítő szervezet beépülő modullal történő elkészítéséről a Hitelesítő szervezet biztonsági mentése című témakörben olvashat.

A hitelesítő szervezet első teljes biztonsági másolatának elkészítése után már készíthet növekményes biztonsági másolatot. A helyreállításkor először a teljes biztonsági másolatot, majd a növekményes másolatot kell helyreállítani a létrehozás sorrendjében. A hitelesítő szervezetnek a Hitelesítő szervezet beépülő modullal történő visszaállításáról információt a Hitelesítő szervezet visszaállítása biztonsági másolatból című témakörben talál.

Fontos

  • Általában a Windows 2000 Biztonságimásolat-készítőt és a Windows 2000 Visszaállítót kell használni mind a hitelesítő szervezet, mind a kiszolgáló biztonsági másolatának elkészítéséhez és visszaállításához. A Windows 2000 kiszolgáló biztonsági mentésével kapcsolatos további tájékoztatást a Windows 2000 Biztonságimásolat-készítő című témakörben kaphat.

A hitelesítő szervezet visszaállításakor az Internet Information Services (IIS) metabázisát szintén vissza kell állítani, ha az sérült vagy elveszett. Ha a sérült vagy hiányzó IIS metabázist nem állítja vissza, az IIS nem fog elindulni és ez Bizonyítványszolgáltatások weblapjainak sikertelen betöltését fogja eredményezni. Az IIS metabázis biztonsági másolatának elkészítésére az IIS beépülő modul szolgál. A Windows 2000 Biztonságimásolat-készítőt az IIS webes tartalomjegyzék-lapjainak és a hitelesítő szervezet biztonsági másolatának elkészítéséhez kell használni.

A hitelesítő szervezet visszaállításakor az Internet Information Services (IIS) metabázisát szintén vissza kell állítani, ha az sérült vagy elveszett. Ha a sérült vagy hiányzó IIS metabázist nem állítja vissza, az IIS nem fog elindulni és ez aBizonyítványszolgáltatások sikertelen indulását fogja eredményezni. Az IIS metabázis biztonsági mentésére az IIS beépülő modul szolgál. A Windows 2000 Biztonságimásolat-készítőt az IIS webtartalom-lapjainak és a hitelesítő szervezet biztonsági mentésére kell használni.

A hitelesítő szervezet visszaállításakor, ha visszaállítás előtt nem törölték kézzel az adatbázisnaplókat, a hitelesítő szervezet helyreállítása a visszaállítás időpontjáig történik – az adatbázisnaplókat visszajátsszák és az adatbázisra az utolsó biztonsági mentés óta végzett módosítások lesznek érvényesek. (Az adatbázis-naplók alapértelmezett helye a rendszergyökér\system32\certlog). Ha az adatbázis-naplókat a visszaállítás előtt kézzel törölték, a hitelesítő szervezet visszaállítása addig az időpontig történik, amikor a biztonsági mentést elvégezték.


Bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele

A Hitelesítő szervezet beépülő modul segítségével lehetősége van a bizonyítványok visszavonására, a visszavont bizonyítványok listája (CRL) közzétételének felügyeletére és a hitelesítő szervezet (CA) által kiállított minden bizonyítványban közzétett CRL terjesztési pontok (CDP) meghatározására.

Bizonyítvány visszavonása

A szervezetben használt nyilvános kulcsok infrastruktúrája (PKI) integritásának fenntartása érdekében a megfelelő hitelesítő szervezet rendszergazdájának vissza kell vonnia a bizonyítványt, ha annak tulajdonosa kikerül a szervezetből, vagy ha a bizonyítvány tulajdonosának személyes kulcsát feltörték, valamint, ha a biztonsággal kapcsolatos más esemény következtében a bizonyítvány már nem tekinthető „érvényesnek”. Amikor a hitelesítő szervezet visszavon egy bizonyítványt, az bekerül az adott hitelesítő szervezet visszavont bizonyítványok listájába (CRL).

A nyilvános kulcsok infrastruktúráján belüli bizonyítvány-visszavonás és visszavonás-ellenőrzés szerepével kapcsolatos további információt a Bizonyítványok visszavonása című témakörben talál. A bizonyítványok visszavonási eljárásáról információt a Kiállított bizonyítvány visszavonása című témakörben talál. A visszavont bizonyítványok aktuális listájának megjelenítésére vonatkozó utasítások a A visszavont bizonyítványok listájának megtekintése című témakörben találhatók.

A visszavont bizonyítványok listája (CRL) közzétételének ütemezése

A Bizonyítványszolgáltatások egyik jellemzője, hogy minden hitelesítő szervezet automatikusan közzéteszi a visszavont bizonyítványok frissített listáját a rendszergazda által meghatározott időtartam után. Ez az időtartam a visszavont bizonyítványok listájának “közzétételi időszaka”. A hitelesítő szervezet kezdeti beállítása után a lista közzétételi időszakának alapértelmezett értéke egy hét (a helyi számítógép idejének alapján, a hitelesítő szervezet első telepítésének dátumától kezdődően). A hitelesítő szervezet visszavonási listája közzétételi időszakának módosítására szolgáló eljárást a A visszavont bizonyítványok közzétételének ütemezése című témakörben találja.

A hitelesítő szervezet rendszergazdájának tisztában kell lennie vele, hogy mi a különbség a visszavont bizonyítványok listájának közzétételi időszaka és érvényességi időtartama között. A visszavont bizonyítványok listájának érvényességi időtartama az az időtartam, ameddig a bizonyítvány ellenőrzője hitelesnek tekinti azt. Amíg a bizonyítvány ellenőrzője érvényes listával rendelkezik, nem fog lekérni másikat a közzétevő hitelesítő szervezettől.

A visszavont bizonyítványok listájának közzétételi időszakát a hitelesítő szervezet rendszergazdája határozza meg. A lista érvényességi időtartama azonban a közzétételi időszaktól kezdődik az Active Directory replikáció engedélyezéséhez. A Bizonyítványszolgáltatások alapértelmezés szerint 10%-kal (legfeljebb 12 órával) meghosszabbítja a közzétételi időszakot az érvényességi időtartam meghatározásához. Ha például a hitelesítő szervezet minden 24 órában közzéteszi a visszavont bizonyítványok listáját, az érvényességi időtartam 26,4 óra lesz.

Ezen túlmenően az érvényességi időtartam valamelyik végéhez további 10 perces eltolás adódik, így a visszavont bizonyítványok listája a közzétételi időpont előtt 10 perccel érvényes lesz a számítógépek időbeállításainak szórása miatt.

Vannak a rendszerleíró adatbázisnak olyan bejegyzései, amelyek a lassabb könyvtárreplikáció biztosítása érdekében engedélyezik, hogy a rendszergazda szabályozza a közzétételi időszak és az érvényességi időtartam közötti szórást. A rendszerleíró adatbázis ezen bejegyzéseivel kapcsolatos információt a Windows 2000 Resource Kits csomagban talál.

A visszavont bizonyítványok listájának (CRL) közzététele a közvetkező ütemezett közzétételi időszak előtt

Igény szerint a visszavont bizonyítványok listáját közzéteheti a Visszavonási lista közzététele varázslóval is. A Visszavonási lista közzététele varázsló segítségével kijelölt közzétételi paraméterek nem fogják módosítani az ütemezett közzétételi időszakot. Más szóval, ha visszavont bizonyítványok listáját az ütemezett közzétételi időszak közepén kívánja közzétenni, a lista ismételt közzététele az aktuális közzétételi időszak végén automatikusan megtörténik.

Fontos felismerni, hogy egy előzőleg kiadott lista gyorsítótárban lévő másolatával rendelkező ügyfelek továbbra is azt fogják használni érvényességi időtartamának lejártáig, még akkor is, ha egy új listát tettek közzé. A visszavont bizonyítványok listájának kézi közzététele nem befolyásolja a még érvényes listák helyi másolatát, ezzel a módszerrel csak új listát bocsát azon rendszerek rendelkezésére, amelyek nem rendelkeznek az érvényes lista helyi másolatával.

A visszavont bizonyítványok listájának azonnali közzétételéről a Visszavont bizonyítványok listájának közzététele kézzel című témakörben olvashat.

CRL terjesztési pontok és a CRL-fájl neve

A Windows 2000 hitelesítő szervezet által kiállított minden bizonyítvány tartalmaz CRL terjesztési pontokat. A CRL terjesztési pont a bizonyítvány ellenőrző számára egy olyan hálózati helyet ad meg, ahonnan lekérhető a visszavont bizonyítványok listájának érvényes másolata. A visszavont bizonyítványok listája terjesztési pontjainak bizonyítványokban való megjelölésére vonatkozó eljárások a Visszavont bizonyítványok listája terjesztési pontjainak meghatározása kiállított bizonyítványokban című témakörben találhatók.

A hitelesítő szervezet CRL-fájljának közzétételi helye alapértelmezés szerint a következő:

Rendszergyökér\System32\Certsrv\Certenroll

A CRL-fájl nevének formátumát a hitelesítő szervezet „letisztított neve”, valamint a hitelesítő szervezet „kulcsazonosítója” zárójelben (ha a hitelesítő szervezet bizonyítványát egy új kulccsal újították meg) és a .crl kiterjesztés alkotja. Tekintse meg az alábbi, a hitelesítő szervezet megújítási előzményeinek példáján alapuló CRL-fájlneveket tartalmazó táblázatot:

Forgatókönyv | CRL-fájl neve
„MyCA” nevű hitelesítő szervezet, amely még sohasem újította meg a hitelesítő szervezeti bizonyítványát | myca.crl
„MyCA” nevű hitelesítő szervezet, amelyet egyszer megújítottak ugyanazzal a kulccsal | myca.crl
„MyCA” nevű hitelesítő szervezet, amelyet egyszer újítottak meg egy új kulccsal | myca(1).crl
„MyCA” nevű hitelesítő szervezet, amelyet négyszer újítottak meg, ebből kétszer új kulccsal | myca(2).crl

A hitelesítő szervezet „letisztított nevével” kapcsolatos információt a Hitelesítő szervezet telepítése és beállítása című témakörben talál.

A hitelesítő szervezet megújításáról a Hitelesítő szervezet megújítása című témakörben olvashat.

Netscape-kompatibilis, web alapú visszavonás-ellenőrzés engedélyezése

Annak engedélyezésére, hogy a Netscape-kompatibilis web alapú visszavonás ellenőrző bővítmények bekerüljenek minden bizonyítványba, futtassa a hitelesítő szervezet parancssorából a következő certutil parancsot:

certutil -SetReg Policy\RevocationType +AspEnable

Ezután állítsa le, majd indítsa újra a Hitelesítő szervezet szolgáltatást. A hitelesítő szervezet által az újraindítás után kiadott bizonyítványok tartalmazni fogják a bővítményt. A certutil paranccsal kapcsolatos további információt a CertUtil című témakörben talál.


Bizonyítványok hozzárendelése felhasználói fiókokhoz

Lehetőség van olyan bizonyítvány hozzárendelésére (vagy társításának létrehozására), amelyet egy felhasználó fiókjához állítottak ki. Ezután a kiszolgálóalkalmazás a nyilvános kulcsú titkosítás technológiájával hitelesítheti a bizonyítványt alkalmazó felhasználót. A felhasználó hitelesítését követően a felhasználó fiókjának bejelentkezése is megtörténik. A végeredmény ugyanaz, mintha a felhasználó azonosítót és jelszót adna meg, és a folyamat is sokkal jobban kezelhető.

A számítógéprendszerek régebben központosított fiókadatbázist használtak a felhasználók, azok jogosultságainak és hozzáférés-vezérlésének kezelésére. Ez a technika jól működött és érthető volt. A rendszerek azonban egyre megosztottabbak – százezertől egy millióig terjedő felhasználóval – , és ez a központosított vezérlés nehezen kezelhetővé vált. A problémák egy, az Internet másik végén lévő adatbázisban található fiók ellenőrzésétől a felhasználók terjedelmes listájának kezeléséig terjednek.

E problémák megoldásában segíthetnek a nyilvános kulcsú bizonyítványok. A bizonyítványok széles körben szétoszthatók, számos fél által kiállíthatók és egyszerűen ellenőrizhetők a bizonyítvány vizsgálatával, a központi adatbázisra történő kötelező hivatkozás nélkül. A meglévő operációs rendszerek és felügyeleti eszközök azonban csak fiókokat tudnak kezelni, bizonyítványokat nem. Egy egyszerű megoldás – amely kihasználja mind a bizonyítványok, mind a felhasználói fiókok előnyeit – hozzárendelés létrehozása a bizonyítvány és a felhasználói fiók között. Ezzel az operációs rendszer folytathatja a fiókok használatát, miközben a nagyobb „rendszer” és a felhasználó a bizonyítványokat használja.

Ebben a modellben, amikor egy felhasználó egy bizonyítványt biztosít, a rendszer hozzárendelés segítségével határozza meg, hogy melyik felhasználói fiókot kell bejelentkeztetni. (Ne feledje, hogy ez nem téveszthető össze egy intelligens kártyával végzett bejelentkezéssel. A Windows 2000 rendszer támogatja az intelligens kártyával történő bejelentkezést a fiókok hozzárendelésének alkalmazásával, ami automatikusan végbemegy.)

A bizonyítvány hozzárendelése Windows 2000 felhasználóhoz a következő két módszerrel végezhető el: vagy a Windows 2000 Active Directory szolgáltatásával, vagy a Microsoft Internet Information Services (IIS) szolgáltatásban meghatározott szabályok segítségével.

A hozzárendelés típusai

A legtöbb esetben a bizonyítvány hozzárendelése felhasználói fiókhoz kétféle módon történhet: egy bizonyítványt rendel hozzá egy felhasználói fiókhoz (egy az egyhez típusú hozzárendelés) vagy több bizonyítványt rendel egy felhasználói fiókhoz (több az egyhez típusú hozzárendelés).

Egyszerű felhasználónév hozzárendelése

Az egyszerű felhasználónév hozzárendelése az egy az egyhez hozzárendelés speciális esete. Az egyszerű felhasználónév hozzárendelése az Active Directory szolgáltatás segítségével végezhető el. Az egyszerű felhasználónév hozzárendelésénél a szolgáltatás az egyszerű felhasználónevet használja a felhasználói fiók az Active Directory adatbázisban történő keresésére és bejelentkeztetésére a hálózatra vagy állomásra. Az egyszerű felhasználónév igen hasonló az elektronikus levélcímhez, és egyedi a Windows 2000 tartományon belül. A vállalati hitelesítő szervezetek (CA) minden egyes bizonyítványban elhelyezik a bizonyítvány tulajdonosának egyszerű felhasználónevét. Így egy biztonságos IIS-kiszolgálóhoz való hozzáféréshez vagy a Windows 2000 rendszerbe intelligens kártyával történő bejelentkezéshez a felhasználónevek hozzárendelése a fiókokhoz automatikusan történik ezeknél a bizonyítványoknál.

Egy az egyhez hozzárendelés

Az egy az egyhez hozzárendelés egy egyszerű felhasználói bizonyítványt rendel hozzá egy egyszerű Windows 2000 felhasználói fiókhoz. Képzelje el például, hogy alkalmazottai számára egy weblapot szeretne létrehozni, melynek segítségével megtekinthetik és módosíthatják javaslataikat, kezelhetik egészségügyi dolgaikat, és egyéb előnyös szolgáltatásokat vehetnek igénybe. Ennek a lapnak az Interneten keresztül kell működnie és biztonságosnak kell lennie. Elhatározta továbbá, hogy ehhez a Windows 2000 rendszert, a bizonyítványokat és a bizonyítvány hozzárendelést használja. Bizonyítványokat állíthat ki minden egyes alkalmazottnak saját bizonyítványszolgáltatásából, vagy a vállalat által jóváhagyott hitelesítő szervezettől. Ezután ezeket a felhasználói bizonyítványokat hozzárendelheti az alkalmazott Windows 2000 felhasználói fiókjához. Ezzel a felhasználó a weblapra csatlakozhat az SSL (Secure Socket Layer) vagy a TLS (Transport Layer Security) alkalmazásával bárhonnan, az ügyfélbizonyítvány megadásával. A felhasználó saját felhasználói fiókjába bejelentkezve alkalmazhatja a normál Windows 2000 hozzáférés-vezérlést.

Több az egyhez hozzárendelés

A több az egyhez hozzárendelés több bizonyítványt rendel egyetlen felhasználói fiókhoz. Tegyük fel például, hogy kapcsolatban áll egy ügynökséggel, amelyik ideiglenes munkaerőt biztosít induló munkáihoz. Lehetővé szeretné tenni az ügynökség munkatársai számára a betekintést olyan weblapokba, amelyek leírják azokat a jelenlegi munkalehetőségeket, amelyeket csak a vállalat alkalmazottai láthatnak. Az ügynökség saját hitelesítő szervezettel rendelkezik, ennek segítségével állítja ki a bizonyítványokat az alkalmazottai számára. A vállalatnál az ügynökség hitelesítő szervezetének gyökérbizonyítványát telepítve megbízható gyökérként olyan szabályt állíthat fel, amely e hitelesítő szervezet által kiállított valamennyi bizonyítványt egy Windows 2000 fiókhoz rendeli. Ezután beállíthatja a fiók hozzáférési jogait úgy, hogy ez a fiók hozzáférhessen a weblaphoz.

A bizonyítványok felhasználói fiókokhoz történő hozzárendelésének eljárásait a Bizonyítványok hozzárendelése felhasználói fiókokhoz című témakörben találja.


Hitelesítő szervezetek megújítása

Miért kell megújítani a hitelesítő szervezeteket?

Egy hitelesítő szervezet (CA) által kiállított minden bizonyítványnak van érvényességi időtartama. Ez az az időtartam, amely alatt a bizonyítvány elfogadható tárgyának azonosságát tanúsító adatként. Ez természetesen feltételezi, hogy a bizonyítványt nem vonták vissza az érvényességi időtartam vége előtt, és a kiállító hitelesítő szervezet megbízható.

Mivel egy hitelesítő szervezet csupán egy másik egység, amely kiállított egy bizonyítványt –akár saját maga (legfelső szintű hitelesítő szervezet esetén), akár szülőként (alsóbb szintű hitelesítő szervezet esetén) – minden hitelesítő szervezetnek van egy beépített „lejárati dátuma”, amit a hitelesítő szervezet bizonyítványán lévő érvényességi időtartam vége határoz meg. Ez alatt nem azt kell érteni, hogy egy hitelesítő szervezet „élettartama” megegyezik hitelesítő szervezeti bizonyítványának érvényességi időtartamával, hanem azt, hogy egy hitelesítő szervezet nem állíthat ki bizonyítványokat, ha nincs saját érvényes bizonyítványa. Egy hitelesítő szervezet élettartama tartalmazza valamennyi – régi és új – hitelesítő szervezeti bizonyítványának érvényességi időtartamát. E szempontok figyelembevételével egy nyilvános kulcsok infrastruktúrájával (PKI) rendelkező szervezetnek meg kell terveznie a hitelesítési hierarchiában lévő hitelesítő szervezet által kiállított összes bizonyítvány „megújítását”, a PKI-ben meglévő meghatalmazási kapcsolatok fenntartására és a hitelesítő szervezetek élettartamának meghosszabbítására.

A hitelesítő szervezet és az általa kiállított bizonyítványok érvényességi időtartama

A hitelesítő szervezeti bizonyítvány megújításának ismertetése előtt fontos annak megértése, hogyan befolyásolja egy hitelesítő szervezet érvényességi időtartamának vége az általa kiállított bizonyítványok érvényességi időtartamát. A Bizonyítványszolgáltatások azt a szabályt alkalmazza, hogy egy hitelesítő szervezet soha ne állítson ki saját lejárati dátumán túl érvényes bizonyítványt. Ezért, amikor egy hitelesítő szervezet bizonyítványa eléri az érvényességi időtartam végét, az általa kiállított összes bizonyítvány szintén lejár. Így, ha egy hitelesítő szervezetet szándékosan nem újítanak meg és az eléri élettartamának végét, a PKI rendszergazda biztos lehet abban, hogy a most lejárt hitelesítő szervezet által kiállított összes bizonyítvány többé már nem használható fel érvényes biztonsági hitelesítő adatként. Más szóval, nem lesznek olyan „árván maradt” bizonyítványok, amelyek érvényességi időtartama még nem járt le, de kiállító hitelesítő szervezetük már érvénytelen.

A csökkenő érvényességi időtartam működésének szemléltetésére tekintse meg a következő forgatókönyvet: Egy szervezet telepít egy legfelső szintű hitelesítő szervezetet, melynek érvényességi időtartama öt év. A szervezet ezután ezt a legfelső szintű hitelesítő szervezetet használja két év érvényességi időtartamú bizonyítványok kiállításához alsóbb szintű hitelesítő szervezetek számára. Az első három évben a legfelső szintű hitelesítő szervezet által egy alsóbb szintű hitelesítő szervezet számára kiállított minden bizonyítvány további két éves érvényességi időtartammal fog rendelkezni. Három év után, amikor már kevesebb, mint 2 év maradt vissza a legfelső szintű hitelesítő szervezet érvényességi időtartamából, a Bizonyítványszolgáltatások komponens megkezdi a legfelső szintű hitelesítő szervezet által kiállított bizonyítványok érvényességi időtartamának csökkentését, hogy azok ne lépjék túl a hitelesítő szervezet bizonyítványának érvényességi dátumát. Ezért négy év után a hitelesítő szervezet egy évig érvényes alsóbb szintű hitelesítő szervezeti bizonyítványokat állít ki. Négy és fél év után a kiállított alsóbb szintű hitelesítő szervezeti bizonyítványok érvényességi időtartama már csak hat hónap.

A Bizonyítványszolgáltatások a bizonyítvány típusa alapján a következő maximális érvényességi időtartamokat engedik meg. A legfelső szintű hitelesítő szervezetén kívül a hitelesítő szervezet rendszergazdája egyik érvényességi időtartamot sem konfigurálhatja.

Bizonyítvány típusa | Maximális érvényességi időtartam
Legfelső szintű hitelesítő szervezet | A Bizonyítványszolgáltatások beállításakor határozható meg
Alsóbb szintű hitelesítő szervezet, Internet-protokoll biztonság, Beiktató ügynök, Tartományvezérlő | Két év
Összes többi bizonyítvány | Egy év

A hitelesítő szervezet megújításának megtervezése

Mivel a saját érvényességi időtartamának végéhez közelítő hitelesítő szervezet egyre rövidebb időtartamra érvényes bizonyítványokat állít ki, jóval a lejárati idő előtt rendelkeznie kell egy hitelesítő szervezet frissítési tervvel, az igen rövid érvényességi időtartamú bizonyítványok kiállításának elkerülésére.

Megújítási szempont: A hitelesítő szervezet megújításakor lehetőség van a meglévő kulcspár újbóli felhasználására vagy új kulcspár létrehozására. Ha új kulcspárt hoz létre megújítandó hitelesítő szervezet számára, a visszavont bizonyítványok listájának (CRL) terjesztési pontja is új lesz. Ez biztosítja, hogy a hitelesítő szervezet által kiállított bizonyítvány aláírására használt kulcs megegyezzen a visszavont bizonyítványok listájának aláírására használt kulccsal. További információt arról, hogyan befolyásolja egy hitelesítő szervezet új kulccsal való megújítása a bizonyítvány visszavonását és a visszavont bizonyítványok listájának nevét a Bizonyítványok visszavonása és a visszavont bizonyítványok listájának közzététele című témakörben talál.

A következő stratégiák azokat a lehetséges megközelítéseket mutatják be, amelyeket egy szervezet követhet a hitelesítő szervezet megújításának megtervezésekor. Ezeket esetleg az adott helyzethez át kell alakítania.

  • Legfelső szintű hitelesítő szervezet megújítása

    Mivel a legfelső szintű hitelesítő szervezet a hierarchiában a legkritikusabb, itt előnyös lehet egy olyan stratégia, ami csökkenti a gyökérbizonyítvány gyakori frissítésének szükségességét.

    Az első szempont a legfelső szintű nyilvános kulcs és a személyes kulcs hosszának megválasztása a legfelső szintű szervezet beállítása során. Nagyobb kulcshosszúságot használva, ami általában biztonságosabb egy számítógépes kalóz támadása ellen, mint a rövidebb kulcshosszúság, megnöveli azt az időt, ameddig a hitelesítő szervezet ugyanazt a személyes kulcsot használhatja és joggal bízhat abban, hogy ez nincs veszélyeztetve. A második szempont magának a legfelső szintű bizonyítvány érvényességi időtartamának a meghatározása. Általában olyan legfelső szintű bizonyítványt akarnak létrehozni, amelynek érvényességi időtartama rövidebb, mint a kulcs számított élettartama.

    Ezen szempontok figyelembevételével a lehetséges stratégia egy legfelső szintű hitelesítő szervezet olyan beállítására, amely csökkenti a gyakori frissítés szükségességét, egy 4096 bites RSA kulcs létrehozása lehet a Bizonyítványszolgáltatások beállítása során. Egy felmérés szerint a számítástechnika mai állapota mellett egy 4096 bites kulcs 15-20 évig megfelelő biztonságot nyújt a támadások ellen. A Bizonyítványszolgáltatások beállításakor a 4096 bites kulcs létrehozása után létrehozhat egy öt évig érvényes legfelső szintű bizonyítványt a 4096 bites kulcs segítségével. Később a hitelesítő szervezet bizonyítványát négyévente kell megújítani (egy évvel az érvényességi időtartam lejárata előtt), minden alkalommal egy öt évig érvényes bizonyítvánnyal. Természetesen a hitelesítő szervezet bizonyítványának minden megújításakor a rendszergazdának kell felmérnie, hogy ugyanaz a kulcs – a számítástechnika jelenlegi állapota és más biztonsági szempont mellett – biztonságosan használható-e további öt évig.

  • Alsóbb szintű hitelesítő szervezet megújítása

    Közbenső szintű hitelesítő szervezetek

    Egy szervezet hitelesítési hierarchiáján belül egyes alsóbb szintű hitelesítő szervezetek lehetnek „közbenső szintű” hitelesítő szervezetek – más szóval ezek nem végfelhasználók vagy számítógépek számára állítanak ki bizonyítványokat, hanem a hitelesítési hierarchiában alattuk lévő más alsóbb szintű hitelesítő szervezetek számára. Ezen közbenső szintű hitelesítő szervezetek esetében – korlátozott szerepük és viszonylag könnyen felügyelhető bizonyítvány-adatbázis naplóik miatt – az egyik lehetséges stratégia ezek megújítása körülbelül egy évvel vagy hat hónappal a lejárat előtt és a meglévő kulcsok újbóli felhasználása.

    Kiállító hitelesítő szervezetek

    A végfelhasználók és számítógépek számára bizonyítványokat kiállító alsóbb szintű („kiállító”) hitelesítő szervezetek esetében előnyösebb stratégia lehet a hitelesítő szervezet bizonyítványának rendszeres frissítése új kulccsal, 6 - 12 hónappal érvényességi időtartamának vége előtt. Ez csökkenti teszi a számítógépes kalóz támadásának veszélyét bármelyik kulcs ellen, mivel a feltört kulcs viszonylag korlátozott élettartamú lesz.

    Egy kiállító hitelesítő szervezet új kulccsal történő megújításának másik előnye a CRL kezelés. Amikor egy hitelesítő szervezetet új kulccsal újítottak meg, az megkezdi egy külön CRL közzétételét azokkal a visszavont bizonyítványokkal, amelyeket az új kulccsal állított ki. Továbbra is közzéteszi a régi kulccsal aláírt bizonyítványok visszavonási listáját mindaddig, amíg e visszavont bizonyítványok érvényességi időtartama még nem járt le. Ez az, amit egy hitelesítő szervezet rendszergazdája ki akar használni, ha a hitelesítő szervezet nagy számú bizonyítványt állít ki és azokból lehetőség szerint sokat von vissza. Előnyös lehet egy olyan hatalmas CRL lehetőségének csökkentése, amelyet a bizonyítvány ellenőrzőknek le kell tölteniük, és inkább ajánlott sok bizonyítvány kiállítása egy kulccsal, a hitelesítő szervezet megújítása érvényességi időtartamának elején egy új kulccsal , majd sok bizonyítvány kiállítása az új kulccsal. Így csökkenthető annak a visszavonási listának a mérete, amelyet a bizonyítvány ellenőrzőnek kell letöltenie, amikor egy kiállító hitelesítő szervezettől egy bizonyítvány kap.

A Windows 2000 hitelesítő szervezetek frissítésének tervezésére és magára a frissítésére vonatkozó részletes információt a Windows 2000 Resource Kits csomagban talál.

Hitelesítő szervezetek megújítási eljárásai

A legfelső szintű hitelesítő szervezet megújítási eljárását a Legfelső szintű hitelesítő szervezet megújítása című témakörben találja.

Alsóbb szintű hitelesítő szervezet frissítési eljárásáról az Alsóbb szintű hitelesítő szervezet megújítása című témakörben olvashat.


Bizonyítványszolgáltatások parancssori funkciói

A Bizonyítványszolgáltatások kezelésének megkönnyítésére a Windows 2000 három parancssori funkciót kínál. Ezek kibővítik a Windows grafikus felhasználói felülete által biztosított bizonyítványkérelmek és hitelesítő szervezetek funkcióit és vezérlését. A parancssori funkciók elsősorban fejlesztőknek és képzett hitelesítő szervezeti rendszergazdáknak készültek.

A rész tartalma:

  • CertUtil
  • CertReq
  • CertSrv


CertUtil

A CertUtil.exe program a következőket végzi el:

  • Megjeleníti a Bizonyítványszolgáltatások konfigurációs információit vagy egy kérést, egy bizonyítványt, egy PKCS 7-et illetve a visszavont bizonyítványok listáját (CRL) tartalmazó fájlt.
  • Beszerzi a hitelesítő szervezet (CA) konfigurációs karakterláncát.
  • Lekéri a hitelesítő szervezet aláíró bizonyítványát.
  • Bizonyítványokat von vissza.
  • Közzéteszi vagy lekéri a visszavont bizonyítványok listáját (CRL).
  • Meghatározza, hogy egy bizonyítvány érvényes-e, vagy a kódolási hossz kompatibilis-e a régi beiktatási vezérlőkkel.
  • Ellenőrzi egy bizonyítványlánc egy vagy összes szintjét.
  • Újra elküld vagy megtagad várakozó kérelmeket.
  • Beállítja egy várakozó kérelem attribútumait, egész vagy karakterlánc érték kiterjesztését.
  • Ellenőriz egy nyilvános/személyes kulcskészletet.
  • Dekódolja a hexadecimális vagy base 64 kódolású fájlokat.
  • Fájlokat kódol base 64 segítségével.
  • Leállítja a kiszolgálót.
  • Megjeleníti az adatbázis sémát.
  • Átalakít egy Certificate Server 1.0 adatbázist Bizonyítványszolgáltatások 2.0 adatbázissá.
  • Biztonsági másolatot készít a hitelesítő szervezet kulcsairól és adatbázisáról, és visszaállítja azokat.
  • Megjeleníti a bizonyítványtárolóban lévő bizonyítványokat.
  • Megjeleníti egy adott hibakódhoz tartozó hibaüzenet szövegét.
  • Importálja az adatbázisból hiányzó, kiállított bizonyítványokat.
  • Beállítja és megjeleníti a hitelesítő szervezet rendszerleíró adatbázisának beállításait.
  • Létrehozza vagy eltávolítja a Bizonyítványszolgáltatások virtuális webgyökereit és fájlmegosztásait.

Szintaxis

Az egyes bejegyzések [beállítás] funkciójára vonatkozó dokumentáció az oldal végén található.

certutil [beállítás] -?
Megjeleníti a parancs lehetséges beállításait.
certutil [beállítás] -7f bizonyítványfájl
Ellenőrzi a bizonyítványfájl által meghatározott bizonyítvány 0x7f hosszúságú kódolásait. A 0x7f hosszúságú kódolás elkerülése biztosítja a kompatibilitást a régi beiktatási vezérlőkkel.
certutil [beállítás] -decode Bemeneti_fájl Eredményfájl
Dekódolja a Bemeneti_fájl által megadott base 64 kódolású fájlt és az eredményt az Eredményfájl fájlba írja.
certutil [beállítás] -decodehex Bemeneti_fájl Eredményfájl
Dekódolja a Bemeneti_fájl által megadott hexadecimális kódolású fájlt és az eredményt az Eredményfájl fájlba írja.
certutil [beállítás] -dump
Kiírja a hitelesítő szervezet konfigurációs információit.
certutil [beállítás] -encode Bemeneti_fájl Eredményfájl
Base 64 fájllá kódolja a Bemeneti_fájl által megadott fájlt és az eredményt az Eredményfájl fájlba írja.
certutil [beállítás] -error Hibakód
Az adott hibakódhoz megjeleníti a honosított hibaüzenetet. A Hibakód lehet aláírt vagy nem aláírt decimális formátumú, vagy hexadecimális formátumú 0x kezdőtaggal.
certutil [beállítás] -getconfig
A hitelesítő szervezet számára beszerzi az alapértelmezett konfigurációs karakterláncot és megjeleníti azt.
certutil [beállítás] -SetReg Policy\RevocationType [+|-]AspEnable
A plusz jel (+) használata lehetővé teszi, hogy Netscape-kompatibilis web alapú visszavonást ellenőrző bővítményt adjon a hitelesítő szervet által kiállított minden egyes bizonyítványhoz. A parancs kiadása után annak érvénybe léptetéshez le kell állítania és újra kell indítania a Hitelesítő szervezet szolgáltatást. A visszavonást ellenőrző bővítmény egy olyan URL-címet tartalmaz, amely egy, a visszavonás ellenőrzését végrehajtó weblapra mutat. A visszavonást ellenőrző kód a bizonyítvány sorozatszámát paraméterként a weblapra továbbítja, hexadecimális formátumban fűzve a sorszámot az URL-címhez. (A sorszám formátum magyarázata a certutil -IsValid és -Revoke parancsok leírásában található.) A weblap meghívja a hitelesítő szervezetet annak ellenőrzésére, hogy a sorozatszámot a szervezet állította-e ki és nem vonta-e vissza, majd az eredmény jelzésére visszaküld egy nulla (0) vagy egy (1) értéket. A mínusz jel (-) hatására a visszavonást ellenőrző URL bővítmény nem adódik hozzá a kiállított bizonyítványokhoz (a Hitelesítő szervezet szolgáltatás leállítását és újraindítását követően).
certutil [beállítás] -store [Bizonyítványtároló_neve [Bizonyítványindex [Eredményfájl]]]
Megjeleníti a Helyi számítógép bizonyítványtárolóban lévő bizonyítványokat. Ha nem adja meg a Bizonyítványtároló_neve értéket, a hitelesítő szervezet tárolója lesz az alapértelmezett. Ha megadja a Bizonyítványindex értékét, csak az indexelt bizonyítvány jelenik meg. Ha megadja mind a Bizonyítványindex, mind az Eredményfájl értékét, a megjelenített bizonyítványt a rendszer kiírja az Eredményfájl fájlba. a -user beállítás segítségével jelenítheti meg az aktuális felhasználó bizonyítványtárolóit a helyi számítógépé helyett.
certutil [beállítás] -verify Bizonyítványfájl [CA_bizonyítványfájl]
Ellenőrzi, hogy a Bizonyítványfájl által megadott bizonyítványt a CA_bizonyítványfájl által meghatározott hitelesítő szervezeti bizonyítvány használatával állították-e ki. Mindkét fájlnak egyszerű és nem PKCS 7. bizonyítványt kell tartalmaznia. Ellenőrzi a Bizonyítványfájl bizonyítvány visszavonási állapotát is. Ha a Bizonyítványfájl nem tartalmaz a visszavonás ellenőrzésére vonatkozó információt, vagy ha a szükséges URL-címek vagy a visszavont bizonyítványok listái nem állnak rendelkezésre, hiba lép fel.

Ha nem adja meg a CA_bizonyítványfájl értékét, a Bizonyítványfájl bizonyítványláncának felépítése a számítógépre telepített bizonyítványokkal történik, továbbá a rendszer a láncban szereplő összes bizonyítványt ellenőrzi annak megállípítására, hogy nem vonták-e vissza azokat.

certutil [beállítás] -verifykeys Kulcstároló_neve CA_bizonyítványfájl
A CA_bizonyítványfájl által meghatározott hitelesítő szervezeti bizonyítvánnyal ellenőrzi a Kulcstároló_neve értékkel megadott kulcstárolóban lévő nyilvános/személyes kulcskészletet.
certutil [beállítás] -verifystore Bizonyítványtároló_neve [Bizonyítványindex]
Hasonló a -store parancshoz, de ez ellenőrzi a társított személyes kulcsokat is, ha léteznek, és a telepített hitelesítő szervezeti és legfelső szintű bizonyítványokból felépített lánccal ellenőrzi az egyes bizonyítványokat, továbbá felülvizsgálja a láncban szereplő összes bizonyítványt, hogy még érvényesek-e vagy már visszavonták azokat.
certutil [beállítás] -vroot [delete]
Létrehozza vagy törli a Bizonyítványszolgáltatások webkiszolgáló virtuális gyökereinek és fájlmegosztásainak szabványos készletét. Akkor hasznos, ha az IIS programot a Bizonyítványszolgáltatások után telepítik.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -backup Biztonsági_másolat_könyvtára [jelszó [incremental] [KeepLog]]
Biztonsági másolatot készít a hitelesítő szervezet adatbázisáról, bizonyítványairól és kulcsairól a Biztonsági_másolat_könyvtára könyvtárba. HA a PFX fájl jelszavára csillag karaktert ad meg, ez a program futása alatt lesz összegyűjtve és nem jelenik meg a képernyőn. Lásd még a -backupDB paranccsal kapcsolatos megjegyzéseket.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -backupDB Biztonsági_másolat_könyvtára [[incremental] [KeepLog]]
Biztonsági másolatot készít a hitelesítő szervezet adatbázisáról a Biztonsági_másolat_könyvtára könyvtárba. A -f kapcsoló hatására a rendszer felülírja a Biztonsági_másolat_könyvtára könyvtárban lévő fájlokat. A kiszolgálónak működnie kell. Ez a parancs távolról vagy helyileg is végrehajtható . Szokásos használata: nem gyakori teljes biztonsági mentés, és növekményes biztonsági másolat rendszeres készítése. Minden biztonsági másolatot egy külön könyvtárfába kell elkészíteni. Az adatbázis helyes visszaállításához szükség lesz az összes biztonsági másolatra, a legutóbbi teljes biztonsági másolattól kezdve.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -backupKey Biztonsági_másolat_könyvtára [jelszó]
Biztonsági másolatot készít a hitelesítő szervezet bizonyítványáról és kulcsairól a Biztonsági_másolat_könyvtára könyvtárba. Ha a PFX fájl jelszavának csillag karaktert ad meg, ez a program futása alatt lesz összegyűjtve és nem jelenik meg a képernyőn.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -ca.cert CA_aláírás_eredményfájl
Lekéri a hitelesítő szervezet aláíró bizonyítványát, és a CA_aláírás_eredményfájl által meghatározott fájlba írja azt.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -ca.chain CA_aláírás_bizonyítványlánc_eredményfájl
Lekéri a hitelesítő szervezet (CA) aláíró bizonyítványát és láncát, majd a CA_aláírás_bizonyítványlánc_eredményfájl által meghatározott PKCS 7. fájlba írja azt.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -ConvertMDB
Ha egy, a Bizonyítványszolgáltatások 1.0 verzióját használó Windows NT 4.0 kiszolgálót a Windows 2000 Bizonyítványszolgáltatásokkal rendelkező Windows 2000 rendszerre frissít, ez a parancs áttelepíti a régi adatbázis rekordjait a jelenlegi adatbázisba. A kiszolgálónak nem szabad működnie. A parancsot a Bizonyítványszolgáltatásokat futtató kiszolgálón helyileg kell elindítani. A CertSrv ODBC User DSN-nek azonban még hozzáférhetőnek kell lennie.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -CRL [Eredményfájl|-]
Közzéteszi a visszavont bizonyítványok aktuális listáját (CRL). A visszavont bizonyítványok listája vagy az Eredményfájl által meghatározott fájlba íródik, vagy az alapértelmezett webhelyre, ha egy mínusz jelet (-) ad meg. A napi közzétételi ütemezés elősegítésére a lejárat dátuma a közzététel idejétől számított egy napra és egy órára van beállítva.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -databaselocations
Megjeleníti a címkézett adatbázisfájlokat és adatbáziskönyvtárakat. Minden sorban megjelenik a hexadecimális puffer eltolás és a hexadecimális típusú kód. A típuskódok meghatározását a Bizonyítványszolgáltatások másolati API dokumentációja és a Microsoft Platform Software Development Kit csomag certbcli.h része tartalmazza.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -deny Kérelemazonosító
Megtagadja a Kérelemazonosító által meghatározott várakozó bizonyítványkérelmet. A Kérelemazonosító értékének decimális formátumúnak (vagy 0x előtagos hexadecimális formátumúnak) kell lennie.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -dynamicfilelist
Megjeleníti a különálló biztonsági másolatot igénylő dinamikus fájlokat. Tartalmazza a kiszolgálóra vonatkozó visszavont bizonyítványok listájának (CRL) helyi másolatát. Minden sor megjeleníti a hexadecimális puffer eltolás.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -GetCRL Eredményfájl
Lekéri a legutoljára közzétett visszavont bizonyítványok listáját és az Eredményfájl által meghatározott fájlba írja azt.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -getreg [{ca|restore|policy|exit} [\Programazonosító] \Rendszerleíró_érték_neve
Lehetővé teszi a hitelesítő szervezet rendszerleíró értékeinek mnemonikus megjelenítését.

Néhány példa:

certutil -getreg Active

certutil -getreg ca\LogLevel

certutil -getreg Policy\RevocationType

certutil [beállítás] [-config Konfigurációs_karakterlánc] -importcert Bizonyítványfájl [Jelzők]
Egy bizonyítvány kiszolgáló adatbázisába importálásához használatos. Segítségével visszavonhatóvá tehető egy bizonyítvány, miután az véletlenül elveszett az adatbázisból esetleg hiányos biztonsági másolatból végzett adatbázis visszaállítás miatt. Csak olyan bizonyítványok esetében használható, amelyet a kiszolgáló állított ki. A Jelzők értékének nullának (0) kell lennie, ha megadja.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -installcert [CA_bizonyítványfájl]
Elvégzi egy olyan telepített alsóbb szintű hitelesítő szervezet bizonyítványának telepítését , amely már kérte, de még nem kapta meg és nem telepítette bizonyítványát. A CA_bizonyítványfájl elsődleges tartalma egy PKCS 7. bizonyítványlánc, bár elfogadott egy X.509 bizonyítvány is, ha a láncot alkotó valamennyi bizonyítványt már a helyi számítógépre telepítették. Ezenkívül lehetővé teszi egy hitelesítő szervezeti bizonyítvány kért megújításának telepítését.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -isvalid Sorozatszám
Ellenőrzi, hogy a Sorozatszám által meghatározott bizonyítvány érvényes-e. A Sorozatszám értékének páros számú számjegyekből álló hexadecimális formátumú értéknek kell lennie. Páratlan számú számjegyekből álló érték esetében előtagként egy nulla (0) számjegyet kell használni. A 0x előtag nem megengedett.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -ping
Ellenőrzi, hogy a kiszolgáló működik-e (az ICertRequest illesztőn keresztül). A Konfigurációs_karakterlánc állhat egyetlen számítógépnévből vagy DNS-névből. Ha a kiszolgáló fut, ez a parancs jelenteni fogja a kiszolgáló hitelesítő szervezetének nevét.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -pingadmin
Ellenőrzi, hogy a kiszolgáló működik-e (az ICertAdmin illesztőn keresztül), és hogy a felhasználónak van-e minimális felügyeleti hozzáférése a kiszolgálóhoz.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -renewCert [Kérelemfájl]
Egy hitelesítő szervezeti bizonyítvány megújítási kérelemének kezdeményezésére szolgál. Ha nincs on-line szülő hitelesítő szervezet, vagy ha az nem állít ki azonnal egy megújítási CA-bizonyítványt, a bizonyítvány megújításának telepítéséhez használja a -installCert parancsot, amikor a bizonyítvány rendelkezésre áll.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -restore Biztonsági_másolat_könyvtára [jelszó]
Visszaállítja a hitelesítő szervezet adatbázisát, bizonyítványait és kulcsait a Biztonsági_másolat_könyvtára könyvtárból. Ha a PFX fájl jelszavaként csillag karaktert ad meg, ez a program futása alatt lesz összegyűjtve és nem jelenik meg a képernyőn. Lásd még a -restoreDB parancsra vonatkozó megjegyzéseket.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -restoreDB Biztonsági_másolat_könyvtára
Visszaállítja a hitelesítő szervezet adatbázisát a Biztonsági_másolat_könyvtára könyvtárból. A kiszolgálónak nem szabad működnie. Ez a parancs távolról vagy helyileg is végrehajtható. A teljes biztonsági másolat és a növekményes biztonsági másolatok visszaállításához először a teljes biztonsági másolatot kell visszaállítani, majd a növekményes biztonsági másolatokat tetszőleges sorrendben. Ha a teljes visszaállítást a -f kapcsoló segítségével végzi, felülírja a kiszolgáló meglévő adatbázisfájljait. A kiszolgálót csak az összes biztonsági másolat helyreállítása után szabad elindítani. A kiszolgáló elindítása kezdeményezi az adatbázis helyreállítását. Az Alkalmazási eseménynaplóban rögzített sikeres indítás jelzi, hogy a visszaállítás és helyreállítás sikeresen befejeződött.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -restoreKey Biztonsági_másolat_könyvtára|PFX_fájl [jelszó]
Visszaállítja a hitelesítő szervezet bizonyítványát és kulcsait a Biztonsági_másolat_könyvtára könyvtárból vagy a PKCS 12. PFX_fájl állományból. Ha a PFX fájl jelszavaként csillag karaktert ad meg, ez a program futása alatt lesz összegyűjtve és nem jelenik meg a képernyőn.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -resubmit Kérelemazonosító
Újra elküldi a Kérelemazonosító által meghatározott várakozó bizonyítványkérelmet. A Kérelemazonosító értékének decimális formátumúnak vagy 0x előtagos hexadecimális formátumúnak kell lennie.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -revoke Sorozatszám
Visszavonja a Sorozatszám által meghatározott bizonyítványt. A Sorozatszám értékének páros számú számjegyekből álló, hexadecimális formátumú értéknek kell lennie. Páratlan számú számjegyekből álló értéknél előtagként egy nulla (0) használható. A 0x előtag nem megengedett.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -schema
Kiírja a hitelesítő szervezet adatbázis sémáját, például az oszlopneveket, típusokat és a maximális méreteket.
certutil [beállítás] [-config Konfigurációs_karakterlánc] -setattributes Kérelemazonosító Attribútum_karakterlánc
Beállítja a Kérelemazonosító által megadott bizonyítványkérelemben az Attribútum_karakterlánc által megnevezett attribútumokat. A Kérelemazonosító értékének decimális formátumúnak (vagy 0x előtagos hexadecimális formátumúnak) kell lennie. A megadott kérelemnek várakozó állapotban kell lennie. Az alábbi egy érvényes példa:

certutil -setattributes 123 attribname1:attribvalue1\nattribname2:37

certutil [beállítás] [-config Konfigurációs_karakterlánc] -setextension Kérelemazonosító Bővítménynév Jelzők Érték
Beállítja a Kérelemazonosító által megadott bizonyítványkérelemben a Bővítménynév által meghatározott bővítményt. A Kérelemazonosító értékének decimális formátumúnak (vagy 0x előtagos hexadecimális formátumúnak) kell lennie. A Jelzők értékét nullára (0) vagy egyre (1) kell állítani; az egy érték a bővítményt „kritikussá” teszi. Az Érték egy karakterlánc kell, hogy legyen és értelmezése hosszú egészként történik decimális formátumban, ha az összes karakter számjegy, vagy hexadecimális formátumban, ha 0x előtaggal kezdődik és az összes többi karakter hexadecimális számjegy. A következő a nem-kritikus bővítmény érvényes példája:

certutil -setextension 123 1.3.6.1.4.1.311.20.2 0 SubCA

A megadott kérelemnek várakozó állapotban kell lennie.

certutil [beállítás] [-config Konfigurációs_karakterlánc] -setreg [{ca|restore|policy|exit}\[Programazonosító]\Rendszerleíró_érték_neve
Lehetővé teszi a hitelesítő szervezet rendszerleíró értékeinek szerkesztését és mnemonikus megjelenítését.

Példák:

certutil -setreg Policy\RevocationType -0x100

Kikapcsolja a 0x100 bitet.

certutil -setreg Policy\RevocationType +0x100

Bekapcsolja a 0x100 bitet.

certutil -setreg Policy\RequestDisposition 1

Felülírja 1-re a meglévő értéket.

certutil [beállítás] [-config Konfigurációs_karakterlánc] -shutdown
Leállítja a hitelesítő szervezet kiszolgálót, még akkor is, ha azt konzol üzemmódban indították.

A CertUtil parancs beállításai a következők:

-config Konfigurációs_karakterlánc | Hatására a műveletet a Konfigurációs_karakterlánc által megadott hitelesítő szervezet (CA) végzi el. A beállítás megadása nélkül az alapértelmezett hitelesítő szervezet dolgozza fel a kérelmet.
-idispatch | Hatására a CertUtil parancs az aktuális művelethez a IDispatch metódusokat használja a COM helyett.
-v | A beállítás hatására a CertUtil parancs részletes kimenetet jelenít meg.
-f | Kényszeríti a felülírást.
-user | A HKEY_CURRENT_USER bizonyítványtárolót használja.
-gmt | Az időt a greenwichi középidő (GMT) szerint jeleníti meg.


CertReq

A CertReq.exe program segítségével bizonyítványokat kérhet egy hitelesítő szervezettől (CA) a parancssorból.

Szintaxis

CertReq [-rpc] [-binary] [-config konfigurációs_karakterlánc] [-attrib attribútum_karakterlánc] [kérésfájl [bizonyítványfájl[bizonyítványláncfájl]]]
CertReq -retrieve [-rpc] [-binary] [-config konfigurációs_karakterlánc] [kérés_azonosítója [bizonyítványfájl [bizonyítványláncfájl ]]]
CertReq -?

A CertReq parancs beállításai a következők:

-attrib attribútum_karakterlánc | Attribútum név, értéksor párok. (Az attribútum_karakterlánc példáját lásd lent.)
-binary | A kimeneti fájlok bináris formátumúak Base64 kódolás helyett.
-config konfigurációs_karakterlánc | Kiszolgáló\Hitelesítő_szervezet konfigurációs karakterlánc. Az alapértelmezett érték kiválasztásához konfigurációs karakterláncként adjon meg egy mínusz jelet (-).
-rpc | Utasítja a Bizonyítványszolgáltatásokat az RPC-kiszolgálói kapcsolat használatára a DCOM helyett.
-retrieve | Ha a hitelesítő szervezet (CA) felé egy kérést nyújt be, a hitelesítő szervezet irányelvmodulja a kérést folyamatban hagyva visszaküldi megjelenítésre a kérés_azonosítóját a certreq hívójának. Esetenként a hitelesítő szervezet rendszergazdája a Hitelesítő szervezet beépülő modult vagy egy egyenértékű egyéni felhasználói felületet használ a kérés ismételt benyújtására és a bizonyítvány kiállítására, vagy a kérés megtagadására. A Certreq -retrieve kérés_azonosítója parancs segítségével kérhető le a bizonyítvány, miután a hitelesítő szervezet ténylegesen kiállította azt. Szintén lekérhető segítségével a hitelesítő szervezet által bármikor kiállított bármilyen bizonyítvány (a visszavont és lejárt bizonyítványok is), függetlenül attól, hogy a bizonyítványkérés volt-e folyamatban vagy sem.
-? | A paranccsal kapcsolatos segítség megjelenítésére szolgál.
Kérésfájl | Base64 kódolású vagy bináris bemeneti fájlnév. Lehet egy PKCS 10 bizonyítványkérelem, PKCS 7 bizonyítványmegújító kérelem vagy KeyGen kód formátumú bizonyítványkérelem
Bizonyítványfájl | Base64 kódolású X-509 kimeneti fájlnév
Bizonyítványláncfájl | Base64 kódolású PKCS 7 kimeneti fájlnév
Konfigurációs_karakterlánc | Kiszolgálónév és a hitelesítő szervezet neve fordított ferde vonallal elválasztva.
Attribútum_karakterlánc | Kettősponttal elválasztott név és érték karakterlánc-párok. A karakterlánc-párokat \n jellel kell elválasztani. Például: Név1: Érték1\n Név2: Érték2


CertSrv

A parancssorból indítható CertSrv.exe nem Windows 2000 szolgáltatásként, hanem önálló alkalmazásként indítja el a Bizonyítványszolgáltatások programot. (Csak diagnosztikai célokra használatos.) Amikor a CertSrv program diagnosztikai üzemmódban fut, a konzolablakban megjeleníti műveleteinek naplóját.

Szintaxis

certsrv -z

net start certsvc

Paraméterek

certsrv -z
Önálló alkalmazásként, diagnosztikai üzemmódban indítja el a Hitelesítő szervezet szolgáltatást, a konzolablakban jelenítve meg műveleteit.

Fontos megjegyezni, hogy a Hitelesítő szervezet szolgáltatás nem futtatható diagnosztikai üzemmódban, ha éppen szolgáltatásként működik. Ha a Hitelesítő szervezet szolgáltatást le akarja állítani azért, hogy a CertSrv programot diagnosztikai üzemmódban futtassa, végezze el a következők valamelyikét, mielőtt a parancssorba beírná a certsrv -z parancsot:

  • Nyissa meg a Hitelesítő szervezet beépülő modult, kattintson a konzolfán a hitelesítő szervezet nevére, mutasson a Művelet menü Feladatok pontjára, majd kattintson a Szolgáltatás leállítása parancsra.
  • Nyissa meg a Számítógép-kezelés ablakot, kattintson a Szolgáltatások és kiszolgálói alkalmazások, majd a Szolgáltatások elemre. A jobb oldali ablaktáblában kattintson a Bizonyítványszolgáltatások elemre. Kattintson a Művelet menü Leállítás parancsára.
net start certsvc
Kézzel indítja el a Hitelesítő szervezet szolgáltatást.

A Hitelesítő szervezet szolgáltatás általában automatikusan, felhasználói beavatkozás nélkül indul. Ha a Hitelesítő szervezet szolgáltatást nem fut, többféleképpen is elindíthatja:

  • Nyissa meg a Hitelesítő szervezet beépülő modult és a konzolfán kattintson a hitelesítő szervezet nevére. Mutasson a Művelet menü Feladatok pontjára, majd kattintson a Szolgáltatás indítása parancsra.
  • Nyissa meg a Számítógép-kezelés ablakot, kattintson a Szolgáltatások és kiszolgálói alkalmazások, majd a Szolgáltatások elemre. A jobb oldali ablaktáblában kattintson a Bizonyítványszolgáltatások elemre. Kattintson a Művelet menü Indítás parancsára.
  • A parancssorba írja be: net start certsvc.


Hibaelhárítás

Mi a probléma?

Általános hibaelhárítás hitelesítő szervezetek (CA) esetén.

Ellenőrizze a Windows 2000 kiszolgáló eseménynaplóját. Ez gyakran sokkal részletesebben naplózza a hibákat, mint ahogy azok a kívánt eljárás elvégzésekor megjelennek.

Ha a hiba megismételhető, futtassa a Bizonyítványszolgáltatásokat diagnosztikai üzemmódban a certsrv -z paranccsal. További információt a CertSrv című témakörben talál.

A Bizonyítványszolgáltatásokkal kapcsolatos legfrissebb információt a Microsoft Technikai Tanácsadó Szolgáltatások című témakörben találja.

Hiba a hitelesítő szervezet weblapjainak elérésekor.

Ok: A weblapok nincsenek telepítve a hitelesítő szervezetre (CA).

Megoldás: A webes beiktatási lapok telepítéséhez futtassa a certutil - vroot parancsot a hitelesítő szervezet parancssorából.

Ok: A weblapoknak nincs parancsfájl-végrehajtási engedélye.

Megoldás: Az Internet Information Services (IIS) programból nyissa meg a CertSrv mappát és állítsa be a mappára a parancsfájl-végrehajtási engedélyt. A CertSrv mappa helye:

Rendszergyökér/System32/Certsrv

A vállalati hitelesítő szervezet (CA) weblapjai nem állítanak elő bizonyítványokat, vagy az előállított bizonyítványok érvénytelenek.

Ok: A vállalati hitelesítő szervezet weblapjaihoz a felhasználónak hitelesítettnek kell lennie. Ha az oldalakat névtelen kapcsolatok engedélyezésére állították be, a hitelesítő szervezet vagy nem hoz létre bizonyítványokat, vagy érvénytelen bizonyítványokat hoz létre.

Megoldás: Olvassa el a Biztonsági beállítások megadása a hitelesítő szervezet weblapjainak eléréséhez című témakört.

Nem lehet bejelentkezni a hitelesítő szervezet (CA) weblapjaira.

Ok: Ha a weblapok az alapvető hitelesítést a böngészővel hozzák létre, Windows 2000 felhasználói fiókjának bejelentkezési jogosultsággal kell rendelkeznie a kiszolgálóra.

Megoldás: Ezzel a jogosultsággal alapértelmezés szerint csak a tartományi rendszergazdák rendelkeznek. Ha Netscape böngészőt használ, módosítnia kell a hitelesítő szervezetnek helyet adó kiszolgáló ezen alapértelmezett biztonsági beállítását.

A hitelesítő szervezetétől eltérő távoli kiszolgálóra telepített hitelesítő szervezethez (CA) tartozó webes beiktatási lapok nem működnek.

Ok: A lapokat az alapvető hitelesítés helyett NTML-hitelesítés használatára állították be.

Megoldás: Ha a weblapok a hitelesítő szervezetétől eltérő kiszolgálóra vannak telepítve, vállalati hitelesítő szervezet esetén NTML helyett alapvető hitelesítés használatára kell beállítani. Ezen lapok esetében SSL-t is használjon a jelszavak védelme érdekében. A beállítások módosításához forduljon az Internet Information Services (IIS) dokumentációjához.

Az Internet Information Services (IIS) 4.0 és a Certificate Server 1.0 nem tud bizonyítványokat igényelni a Windows 2000 Bizonyítványszolgáltatások weblapjainak segítségével.

Ok: Az IIS 4.0 és a Certificate Server 1.0 csak egyszerű bizonyítványt képes feldolgozni, bizonyítványláncot nem.

Megoldás: A beiktatási kérés feldolgozásához használja a CertReq parancssori segédprogramot.

A felhasználó intelligens kártyával próbál bejelentkezni és a következő üzenetet kapja: „A rendszer nem tudja beléptetni ebbe a tartományba vagy azért, mert a rendszer elsődleges tartományából hiányzik a számítógépfiók, vagy mert az adott fiók jelszava nem megfelelő”.

Ok: A számítógépfiók le van tiltva, vagy az intelligenskártyás bizonyítványt használó hitelesítő szervezet a számítógép számára nem megbízható.

Megoldás:

  1. Győződjön meg róla, hogy a számítógépfiók engedélyezve van a tartományban.
  2. A Bizonyítványok beépülő modul segítségével ellenőrizze, hogy a legfelső szintű hitelesítő szervezeti bizonyítvány a felhasználó számítógépén a Megbízható legfelső szintű hitelesítő szervezetek tárolójában van-e.
  3. A Bizonyítványok beépülő modul segítségével ellenőrizze, hogy a tartományvezérlő rendelkezik-e olyan tartományvezérlő bizonyítvánnyal, ami megbízható gyökérbizonyítványként hitelesíthető.

A hitelesítő szervezet megújítását követően a számítógépek ettől a hitelesítő szervezettől nem igényelnek automatikusan bizonyítványokat.

Ok: A hitelesítő szervezet megújításához az érintett hitelesítő szervezettől származó bizonyítványok beiktatása érdekében ismételten létre kell hozni az összes, automatikus bizonyítvány beiktatási objektumot.

Megoldás: Olvassa el az Automatikus bizonyítványkérelem létrehozása csoportházirend-objektumban lévő számítógépekhez című témakört.

Amikor egy, a hitelesítő szervezettel egy helyen lévő tartomány gyermektartományához tartozó számítógépről vagy fiókról bizonyítványt próbál igényelni, a következő hibaüzenet jelenik meg: „Nem található sablon. Nincs olyan hitelesítő szervezet, amelytől engedélye lenne bizonyítványt igényelni, vagy hiba történt az Active Directory elérésekor.”

Ok: A bizonyítványsablonokon nincsenek beállítva a megfelelő biztonsági engedélyek.

Megoldás: Módosítsa a bizonyítványsablonok a biztonsági engedélyeit, hogy tartalmazzák azokat a gyermektartomány-fiókokat, ahonnan az igénylést engedélyezni kívánja. A bizonyítványsablonok hozzáférés-vezérlésének beállításáról információt a Bizonyítványsablonok biztonsági engedélyeinek beállítása és vezérlésének delegálása című témakörben talál. A biztonsági engedélyek módosítása után egyes hozzáférés-vezérlési gyorsítótáraknál időtúllépésnek kell fellépnie, így egy rövid ideig várni kell, mielőtt láthatóvá válik az új biztonsági engedélyek replikálása a hálózaton keresztül.