Служба сертификации windows 2003

Иллюстрированный самоучитель по Microsoft Windows 2003

Установка центра сертификации

Центр сертификации (ЦС) – важный элемент в системе безопасности организации, поэтому в большинстве организаций имеется собственный ЦС. В Windows Server 2003 центры сертификации могут быть двух классов: ЦС предприятия (Enterprise СА) и изолированный ЦС (Stand-alone CA). Внутри каждого класса могут быть два типа ЦС: корневой (root) и подчиненный (subordinate).

В большинстве случаев центры сертификации организованы в иерархическом порядке, где наиболее доверяемый, или корневой, центр находится на вершине иерархии. В корпоративной сети все остальные ЦС в иерархии являются подчиненными. В корпоративной сети ЦС предприятия имеет максимальное доверие. ЦС предприятия имеют специальный модуль политик, который определяет, как обрабатываются и выпускаются сертификаты. Информация политики из данного модуля хранится в Active Directory, поэтому для инсталляции ЦС предприятия сначала следует установить Active Directory. Изолированные ЦС имеют очень простой модуль политик и не хранят никакой информации на удаленном сервере, поэтому для инсталляции данного центра не требуется наличия Active Directory.

Для развертывания собственного ЦС:

1. Выберите на панели управления значок Add or Remove Programs (Установка и удаление программ).
2. В открывшемся окне нажмите кнопку Add/Remove Windows Components (Добавление и удаление компонентов Windows).
3. В окне мастера Windows Components Wizard (Мастер компонентов Windows) установите флажок Certificate Services (Службы сертификации) (при этом система предупредит вас о последствиях установки этих служб) и нажмите кнопку Next (Далее).
4. На следующей странице мастера необходимо выбрать тип ЦС. Существуют четыре типа ЦС:
   • Enterprise root СА (Корневой ЦС предприятия) – установите переключатель в это положение, если данный ЦС будет выпускать сертификаты для всех устройств, подключенных к сети в организации, и будет зарегистрирован в Active Directory. Данный ЦС является корнем в корпоративной иерархии ЦС и может устанавливаться только на контроллере домена. Обычно корневой ЦС предприятия выпускает сертификаты только для подчиненных ЦС;
   • Enterprise subordinate СА (Подчиненный ЦС предприятия) – если у вас уже установлен корневой ЦС предприятия, выберите это положение переключателя. Однако данный ЦС не имеет наивысшего доверия в организации, поскольку он подчиняется корневому ЦС. Может устанавливаться только на контроллере домена;
   • Stand-alone root CA (Изолированный корневой ЦС) – данный ЦС устанавливается для выпуска сертификатов за пределами корпоративной сети. Например, требуется установить изолированный корневой ЦС, если этот ЦС не будет участвовать в корпоративном домене и будет выпускать сертификаты для узлов во внешних сетях. Корневой ЦС обычно используется для выпуска сертификатов для подчиненных ЦС;
   • Stand-alone subordinate CA (Изолированный подчиненный ЦС) – подчиненный ЦС, который выпускает сертификаты для узлов за пределами корпоративной сети.
5. Если вы собираетесь изменить параметры шифрования по умолчанию, установите флажок Use custom setting to generate the key pair and CA certificate (Использовать специальные параметры для генерации пары ключей и сертификата ЦС).
6. Нажмите кнопку Next.
7. Укажите имя ЦС и срок действия сертификатов. Введите необходимую информацию и нажмите кнопку Next.
8. Укажите папку на локальном или общем диске для хранения сертификатов и нажмите кнопку Next.
9. По окончании процедуры инсталляции нажмите кнопку Finish (Готово).

Источник

Установка Служб сертификации

Для того чтобы установить Службу сертификации:

1. Откройте Панель управления.
2. Два раза щелкните по названию пункта Установка и удаление программ.
   
3. В левой части окна Установка и удаление программ щелкните по названию пункта Установка компонентов Windows.
   
4. В окне Мастер компонентов Windows установите флажок Службы сертификации.
   
5. В открывшемся окне ознакомьтесь с предупреждением об изменении имени компьютера и нажмите на кнопку [Да].
   
6. В окне Мастер компонентов Windows нажмите на кнопку [Далее].
   
7. Установите переключатель рядом с названием типа устанавливаемого ЦС. В данном примере выбран Корневой ЦС предприятия, поскольку это будет основной Центр сертификации в домене. Нажмите на кнопку [Далее].
   

В окне Мастер компонентов Windows заполните необходимые поля и нажмите на кнопку [Далее].

В открывшемся окне ознакомьтесь с предупреждением об остановке службы IIS и нажмите на кнопку [Да].

Если на экране отобразится предупреждение о необходимости включения страниц ASP, то компонент InternetInformationServices — ActiveServerPages (ASPs) является не активным. A ASP необходимы для работы Станции подачи заявок. Нажмите на кнопку [Да].

После окончания процесса установки Служб сертификации нажмите на кнопку [Готово].

Закройте окна Установка и удаление программ и Панель управления.

Добавление шаблонов сертификатов в Центр сертификации

Для того что добавить шаблоны сертификатов:

1. Откройте Панель управления.
2. Два раза щелкните по названию пункта Администрирование.
3. Два раза щелкните по названию пункта Центр сертификации.
   
4. В окне Центр сертификации щелкните по названию пункта Шаблоны сертификатов.
5. В правой части окна щелкните правой кнопкой мыши в свободном месте окна, выберите пункт Создать и подпункт Выдаваемый шаблон сертификата.
   
6. В окне Включение шаблонов сертификатов щелкните по названию шаблона Агент подачи заявок.
   
7. Чтобы выбрать еще один шаблон, удерживая клавишу [Ctrl], щелкните по названию шаблона Пользователь со смарт-картой.
   
8. Нажмите на кнопку [OK].
9. Закройте окно Центр сертификации.
   

Выписка сертификатов пользователю Admin с помощью mmc-консоли

Для того чтобы выписать сертификат:

1. Нажмите на кнопку [Пуск] и выберите пункт меню Выполнить.
2. Введите команду mmc и нажмите на кнопку [OK].
   
3. В окне Консоль1 откройте меню Консоль и щелкните по названию пункта меню Добавить или удалить оснастку.
   
4. В окне Добавить или удалить оснастку нажмите на кнопку [Добавить. ].
   
5. Щелкните по названию оснастки Сертификаты и нажмите на кнопку [Добавить].
   
6. В окне Оснастка диспетчера сертификатов установите переключатель в положение моей учетной записи пользователя и нажмите на кнопку [Готово].
   
7. В окне Добавить изолированную оснастку нажмите на кнопку [Закрыть].
   
8. В окне Добавить или удалить оснастку нажмите на кнопку [ОК].
   
9. В левой части окна Консоль1 щелкните по названию категории Личные.
10. В правой части окна щелкните правой кнопкой мыши на свободном месте окна, выберите пункт Все задачи и подпункт Запросить новый сертификат.
    
11. В окне Мастер запроса сертификата ознакомьтесь с представленной информацией и нажмите на кнопку [Далее].
    
12. В списке Типы сертификатов щелкните по названию типа сертификатов Администратор и нажмите на кнопку [Далее].
    
13. Укажите значения полей Понятное имя и Описание, нажмите на кнопку [Далее].
    
14. Проверьте информацию о сертификате и нажмите на кнопку [Готово].
    
15. В окне с сообщение об успешной выдаче запроса на сертификат нажмите на кнопку [ОК].
    
16. В левой части окна Консоль1 рядом с названием категории Личные щелкните по значку .
17. Щелкните по названию подкатегории Сертификаты.
18. В правой части окна щелкните правой кнопкой мыши на свободном месте окна, выберите пункт Все задачи и подпункт Запросить новый сертификат.
    
19. В окне Мастер запроса сертификата ознакомьтесь с представленной информацией и нажмите на кнопку [Далее].
    
20. В списке Типы сертификатов щелкните левой кнопкой мыши по названию типа сертификатов Агент подачи заявок и нажмите на кнопку [Далее].
    
21. Укажите значения полей Понятное имя и Описание, нажмите на кнопку [Далее].
    
22. Проверьте информация о сертификате и нажмите на кнопку [Готово].
    
23. В окне с сообщение об успешной выдаче запроса на сертификат нажмите на кнопку [ОК].
    
24. Закройте окно Консоль1.

Если необходимо сохранить все изменения, то нажмите на кнопку [Да], в противном случае нажмите на кнопку [Нет]. При этом не сохраняются только настройки консоли, выписанные сертификаты будут сохранены в системе.

При сохранении консоли в поле Имя файла укажите имя файла для хранения настроек консоли и нажмите на кнопку [Сохранить].

Выписка сертификатов с помощью Станции подачи заявок

Для выписки сертификатов с помощью Станции подачи заявок:

1. Откройте InternetExplorer. По умолчанию в MicrosoftInternetExplorer в Windows Server2003 включен режим Конфигурация усиленной безопасности, поэтому на экране отобразится предупреждение об этом.
2. Установите флажок Больше не выводить это сообщение и нажмите на кнопку [OK].
   

В адресной строке браузера Internet Explorer укажите адрес: http://’server_name’/certsrv и нажмите на кнопку [ENTER]. В данном примере используется имя сервера w2k3eesr и адрес http://w2k3eesr/certsrv .

Введите Имя пользователя и Пароль пользователя, обладающего правами администратора системы. Нажмите на кнопку [OK].

На этом настройка Служб сертификации и выдача сертификатов пользователям завершены.

Источник