AD Certificates
Utangulizi
Vipengele vya Cheti
Mada ya cheti inaonyesha mmiliki wake.
Ufunguo wa Umma unalinganishwa na ufunguo uliohifadhiwa kibinafsi ili kuunganisha cheti na mmiliki wake halali.
Kipindi cha Uhalali, kilichofafanuliwa na tarehe za NotBefore na NotAfter, hupima muda halali wa cheti.
Nambari ya kipekee ya Serial, iliyotolewa na Mamlaka ya Cheti (CA), inatambua kila cheti.
Mtoaji hurejelea CA ambayo imetoa cheti.
SubjectAlternativeName inaruhusu majina ya ziada kwa mada, ikiboresha uwezo wa kutambua.
Vikwazo vya Msingi vinatambua ikiwa cheti ni kwa CA au kifaa cha mwisho na kufafanua vizuizi vya matumizi.
Matumizi ya Upanuzi wa Ufunguo (EKUs) yanafafanua madhumuni maalum ya cheti, kama vile kusaini kanuni au encryption ya barua pepe, kupitia Identifiers ya Vitu (OIDs).
Algorithimu ya Saini inabainisha njia ya kusaini cheti.
Saini, iliyoumbwa na ufunguo wa kibinafsi wa mtoaji, inahakikisha uhalali wa cheti.
Mambo Maalum
Mada za Alternatifu za Majina (SANs) huongeza ufanisi wa cheti kwa vitambulisho vingi, muhimu kwa seva zenye uwanja mwingi. Mchakato salama wa utoaji ni muhimu kuepuka hatari ya udanganyifu na wadukuzi wanaobadilisha maelezo ya SAN.
Mamlaka za Cheti (CAs) katika Active Directory (AD)
AD CS inatambua vyeti vya CA katika msitu wa AD kupitia vyombo vilivyotengwa, kila moja ikitoa majukumu ya kipekee:
Kontena ya Mamlaka ya Uthibitisho inashikilia vyeti vya mizizi ya CA inayotegemewa.
Kontena za Huduma za Usajili zinafafanua CA za Kampuni na templeti zao za vyeti.
Kitu cha NTAuthCertificates kina vyeti vya CA vilivyoidhinishwa kwa uthibitisho wa AD.
Kontena ya AIA (Mamlaka ya Kufikia Taarifa) inarahisisha uthibitisho wa mnyororo wa vyeti na vyeti vya kati na vya msalaba.
Upatikanaji wa Cheti: Mchakato wa Ombi la Cheti la Mteja
Mchakato wa ombi huanza na wateja kupata CA ya Kampuni.
CSR inaundwa, ikijumuisha ufunguo wa umma na maelezo mengine, baada ya kuzalisha jozi ya ufunguo wa umma-binafsi.
CA inachambua CSR dhidi ya templeti za vyeti zilizopo, ikitoa cheti kulingana na ruhusa za templeti.
Baada ya idhini, CA inasaini cheti kwa ufunguo wake wa kibinafsi na kuirudisha kwa mteja.
Templeti za Cheti
Zilizofafanuliwa ndani ya AD, templeti hizi hupanga mipangilio na ruhusa za kutoa vyeti, ikiwa ni pamoja na EKUs zilizoruhusiwa na haki za usajili au marekebisho, muhimu kwa usimamizi wa upatikanaji wa huduma za cheti.
Usajili wa Cheti
Mchakato wa usajili wa vyeti huanzishwa na msimamizi ambaye anaunda templeti ya cheti, ambayo kisha inachapishwa na Mamlaka ya Cheti ya Kampuni (CA). Hii inafanya templeti ipatikane kwa usajili wa mteja, hatua inayofikiwa kwa kuongeza jina la templeti kwenye uga wa certificatetemplates wa kitu cha Active Directory.
Ili mteja aombe cheti, haki za usajili lazima zitolewe. Haki hizi zinafafanuliwa na maelezo ya usalama kwenye templeti ya cheti na Mamlaka ya Cheti ya Kampuni yenyewe. Ruhusa lazima itolewe katika maeneo yote mawili ili ombi liweze kufanikiwa.
Haki za Usajili wa Templeti
Haki hizi zinafafanuliwa kupitia Viingilio vya Kudhibiti Upatikanaji (ACEs), ikieleza ruhusa kama vile:
Haki za Kibali cha Cheti na Kibali cha Kiotomatiki cha Cheti, kila moja ikihusishwa na GUID maalum.
Haki za Upanuzi, zikiruhusu ruhusa zote za upanuzi.
FullControl/GenericAll, zinazotoa udhibiti kamili juu ya templeti.
Haki za Usajili wa Mamlaka ya Cheti ya Kampuni
Haki za CA zinafafanuliwa katika maelezo yake ya usalama, yanayopatikana kupitia konsoli ya usimamizi wa Mamlaka ya Cheti. Baadhi ya mipangilio hata inaruhusu watumiaji wenye mamlaka ya chini upatikanaji wa mbali, ambao unaweza kuwa wasiwasi wa usalama.
Udhibiti wa Utoaji wa Ziada
Mipangilio fulani inaweza kutumika, kama vile:
Idhini ya Meneja: Inaweka maombi katika hali ya kusubiri hadi idhini itolewe na meneja wa cheti.
Mawakala wa Usajili na Saini Zilizoidhinishwa: Hufafanua idadi ya saini zinazohitajika kwenye CSR na Sera muhimu za Maombi OIDs.
Njia za Kuomba Vyeti
Vyeti vinaweza kuombwa kupitia:
Itifaki ya Usajili wa Cheti cha Mteja wa Windows (MS-WCCE), ikatumia viunganishi vya DCOM.
Itifaki ya Mbali ya ICertPassage (MS-ICPR), kupitia mabomba yaliyopewa majina au TCP/IP.
Kiolesura cha Wavuti cha Usajili wa Cheti, ikiwa na jukumu la Usajili wa Wavuti wa Mamlaka ya Cheti uliowekwa.
Huduma ya Usajili wa Cheti (CES), pamoja na huduma ya Sera ya Usajili wa Cheti (CEP).
Huduma ya Usajili wa Kifaa cha Mtandao (NDES) kwa vifaa vya mtandao, ikatumia Itifaki Rahisi ya Usajili wa Cheti (SCEP).
Watumiaji wa Windows pia wanaweza kuomba vyeti kupitia GUI (certmgr.msc au certlm.msc) au zana za mstari wa amri (certreq.exe au amri ya Get-Certificate ya PowerShell).
Uthibitisho wa Cheti
Active Directory (AD) inasaidia uthibitisho wa cheti, kwa kiasi kikubwa ikichangia itifaki za Kerberos na Secure Channel (Schannel).
Mchakato wa Uthibitisho wa Kerberos
Katika mchakato wa uthibitisho wa Kerberos, ombi la mtumiaji la Tiketi ya Kutoa Tiketi (TGT) limesainiwa kwa kutumia ufunguo wa faragha wa cheti cha mtumiaji. Ombi hili linapitia uthibitisho kadhaa na mwenye kudhibiti kikoa, ikiwa ni pamoja na uhalali, njia, na hali ya kufutwa kwa cheti. Uthibitisho pia unajumuisha kuthibitisha kwamba cheti kinatoka kwa chanzo kinachotegemewa na kuthibitisha uwepo wa mtoaji katika hifadhi ya cheti ya NTAUTH. Uthibitisho wa mafanikio husababisha kutolewa kwa TGT. NTAuthCertificates kitu katika AD, kinapatikana kwenye:
Kuanzisha Imani kwa Uthibitisho wa Cheti.
Uthibitisho wa Mfumo wa Salama (Schannel)
Schannel inawezesha uhusiano salama wa TLS/SSL, ambapo wakati wa salamu, mteja hutoa cheti ambacho, ikiwa kithibitishwa kwa mafanikio, kinaruhusu ufikiaji. Kufanana kwa cheti na akaunti ya AD inaweza kuhusisha kazi ya S4U2Self ya Kerberos au Jina mbadala la Mada (SAN) ya cheti, miongoni mwa njia zingine.
Uchambuzi wa Huduma za Cheti za AD
Huduma za cheti za AD zinaweza kuchambuliwa kupitia mizizi ya LDAP, ikifunua habari kuhusu Mamlaka za Cheti za Kampuni (CAs) na mipangilio yao. Hii inapatikana na mtumiaji yeyote aliyeathibitishwa kwenye kikoa bila mamlaka maalum. Zana kama Certify na Certipy hutumiwa kwa uchambuzi na tathmini ya hatari katika mazingira ya AD CS.
Amri za kutumia zana hizi ni pamoja na:
Marejeo
Last updated