Записки IT специалиста

Технический блог специалистов ООО»Интерфейс»

• Главная
• Windows Server. Создание автономного центра сертификации.

Windows Server. Создание автономного центра сертификации.

Перед каждым администратором рано или поздно возникает необходимость обеспечить безопасный обмен информации через интернет, внешние и внутренние сети, а также проверку подлинности каждой из сторон, участвующих в обмене информацией. На помощь здесь приходит инфраструктура открытых ключей (PKI) и службы сертификации Windows.

Инфраструктура открытых ключей позволяет использовать цифровые сертификаты для подтверждения подлинности владельца и позволяет надежно и эффективно защищать трафик передаваемый по открытым сетям связи, а также осуществлять с их помощью аутентификацию пользователей. Основой инфраструктуры открытых ключей является центр сертификации, который осуществляет выдачу и отзыв сертификатов, а также обеспечивает проверку их подлинности.

Для чего это может быть нужно на практике? Цифровые сертификаты позволяют использовать шифрование на уровне приложений (SSL/TLS) для защиты веб-страниц, электронной почты, служб терминалов и т.п., регистрацию в домене при помощи смарт-карт, аутентификацию пользователей виртуальных частных сетей (VPN), шифрование данных на жестком диске (EFS), а также в ряде случаев обойтись без использования паролей.

Для создания центра сертификации нам понадобится сервер, работающий под управлением Windows Server, который может быть как выделенным, так и совмещать роль центра сертификации с другими ролями. Однако следует помнить, что после развертывания центра сертификации вы не сможете поменять имя компьютера и его принадлежность к домену (рабочей группе).

Центр сертификации (ЦС) может быть двух типов: ЦС предприятия и изолированный (автономный) ЦС, рассмотрим их отличительные особенности:

ЦС предприятия

• Требует наличия ActiveDirectory
• Автоматическое подтверждение сертификатов
• Автоматическое развертывание сертификатов
• Возможность запроса сертификатов через Web-интерфейс, мастер запросов и автоматическое развертывание

Изолированный (автономный) ЦС

• Не требует наличия ActiveDirectory
• Ручное подтверждение сертификатов
• Отсутствие возможности автоматического развертывания
• Запрос сертификатов только через Web-интерфейс

Методика развертывания ЦС для Windows Server 2003 и Windows Server 2008 несколько различаются, поэтому мы решили рассмотреть их в отдельности.

Windows Server 2003

Для возможности использования Web-интерфейса для выдачи сертификатов нам понадобится установленный web-сервер IIS. Установим его через диспетчер сервера: Пуск — Управление данным сервером — Добавить или удалить роль.
В списке ролей выбираем роль Сервера приложений. В следующем окне устанавливаем галочку Включить ASP.NET, если IIS уже установлен данный шаг можно пропустить.

После установки IIS приступим к развертыванию Центра сертификации, это делается через оснастку Установка и удаление программ — Установка компонентов Windows, где выбираем Службы сертификации.

Следующим шагом выберите тип ЦС и его подчиненность. Так как в нашем случае сеть не имеет доменной структуры, то ЦС Предприятия недоступен для выбора. Поскольку это первый (и пока единственный ЦС) следует выбрать корневой сервер, подчиненный тип следует выбирать для развертывания следующих ЦС, например для филиалов.

Далее вводим имя ЦС (должно совпадать с именем сервера) и пути размещения файлов. В процессе установки программа предложит перезапустить IIS и, если не была включена поддержка страниц ASP.NET, предложит ее включить, с чем следует согласиться.

Windows Server 2008 R2

В Windows Server 2008 (2008 R2) все настройки консолидированы в одном месте, что делает установку ЦС более простой и удобной. Выбираем Диспетчер сервера — Роли — Добавить роли, в списке ролей выбираем Службы сертификации Active Directory.

В следующем окне обязательно добавляем компонент Служба регистрации в центре сертификации через интернет. При этом будут автоматически определены необходимые службы ролей и компоненты (такие как IIS) и будет предложено их добавить.

Дальнейшая настройка аналогична Windows Server 2003. Вводим тип ЦС, его имя и место хранения файлов, подтверждаем выбор компонент и завершаем установку.

Проверка работы ЦС

Для первоначальной проверки работоспособности ЦС можете запустить оснастку Центр сертификации (Пуск — Администрирование — Центр Сертификации). Если все сделано правильно вы должны увидеть следующее окно:
Попробуем теперь получить сертификат для клиентского ПК. Запустим браузер, в адресной строке которого укажем адрес http://имя_сервера/certsrv, где имя_сервера — имя сервера ЦС. Вы попадете на главную страницу центра сертификации.
Прежде всего необходимо загрузить сертификат ЦС и поместить его в хранилище доверенных коренных центров сертификации. Если в вашей сети несколько ЦС следует загрузить и установить цепочку сертификатов. Для этого выбираем: Загрузка сертификата ЦС, цепочки сертификатов или CRL, затем Загрузка сертификата ЦС или Загрузка сертификата ЦС и сохраняем сертификат в любое удобное место.

Теперь перейдем к установке, для этого щелкнем правой кнопкой на файле сертификата и выберем Установить сертификат, откроется мастер импорта, в котором откажемся от автоматического выбора хранилища вручную выбрав Доверенные корневые центры сертификации, теперь данный ПК будет доверять всем сертификатам выданным данным ЦС.

Для получения клиентского сертификата снова откроем сайт ЦС и выберем Запрос сертификата — расширенный запрос сертификата — Создать и выдать запрос к этому ЦС. Заполняем форму запроса, в качестве имени указываем имя ПК или пользователя, в качестве типа сертификата указываем Сертификат проверки подлинности клиента и жмем кнопку Выдать.

При попытке создать запрос сертификата вы можете получить следующее предупреждение:

В этом случае можно добавить данный узел в зону Надежные узлы и установить низкий уровень безопасности для этой зоны. В Windows Server понадобится также разрешить загрузку неподписанных ActiveX.

Теперь на сервере откроем оснастку Центр сертификации и в разделе Запросы на ожидание найдем наш запрос и щелкнув на него правой кнопкой выберем Все задачи — Выдать.

Теперь вернемся на клиентский ПК и еще раз откроем сайт ЦС. На этот раз выберем Просмотр состояния ожидаемого запроса сертификата, вы увидите свой запрос, щелкнув на которой вы попадете на страницу Сертификат выдан и сможете сразу его установить.

Если все сделано правильно, то сертификат успешно установится в хранилище личных сертификатов.

По окончании проверки не забудьте удалить ненужные сертификаты с клиентского ПК и отозвать их в центре сертификации на сервере.

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Или подпишись на наш Телеграм-канал:

Microsoft Certifications

Получите сертификаты, подтверждающие, что вы идете в ногу с современными техническими ролями и требованиями. Выберите роль, чтобы узнать о сертификациях.

Developers [Разработчики] проектируют, создают, тестируют и поддерживают облачные решения.

Administrator [Администратор] отвечает за реализацию, мониторинг и обслуживание решений Microsoft.

Solutions Architects [Архитектор решений] должен обладать опытом в области вычислений, сети, хранения и безопасности.

Data Engineers [Инженеры данных] проектируют и внедряют управление, мониторинг, безопасность и конфиденциальность данных, используя полный набор служб данных.

Специалисты по обработке и анализу данных применяют методы машинного обучения для обучения, оценки и развертывания моделей, решающих проблемы бизнеса.

AI Engineers [Инженеры AI] используют Cognitive Services (когнитивные службы), Machine Learning (машинное обучение) и Knowledge Mining (майнинг знаний) для разработки и внедрения решений Microsoft AI.

DevOps Engineers [Специалисты DevOps] объединяют людей, процессы и технологии для непрерывной разработки ценных продуктов и услуг, которые отвечают потребностям конечных пользователей и бизнес-целям.

Security Engineers [Инженеры по безопасности] внедряют средства управления безопасностью и защиты от угроз, управляют удостоверениями и доступом, а также защищают данные, приложения и сети.

Функциональные консультанты используют Microsoft Dynamics 365 и Microsoft Power Platform для прогнозирования и планирования потребностей клиентов.

Станьте специалистом, сертифицированным Microsoft

У Microsoft есть сертификации для многих технических ролей. Каждая из этих сертификаций предполагает сдачу серии экзаменов для получения сертификата.

Сертификации по базовым знаниям

Рекомендуется для начала. Идеально подходит для тех, кто только начинает изучать технологии и думает о смене карьеры.

Ролевые сертификации

Выберите ролевую сертификацию, чтобы начать осваивать ценные навыки для работы.

Дополнительные сертификации

Узнайте больше о специализации Microsoft Certified Educator и технических сертификациям Microsoft Office.

Вы хотите получать дополнительный доход?

Мы сотрудничаем со службой Upwork, чтобы связать фрилансеров, сертифицированных по работе с Azure, с клиентами.

Как подготовиться к сертификации

Microsoft понимает, что у всех разные предпочтения в обучении, поэтому мы предоставляем различные сертификаты и варианты обучения на протяжении всего пути сертификации.

Бесплатные способы подготовиться

С Microsoft Learn каждый может овладеть основными концепциями, исходя из собственной скорости восприятия и рабочего графика. Будь то один модуль, чтобы узнать об основной задаче или полностью изучить тему через набор связанных модулей.

Подготовка с инструктором

Microsoft Learning Partners предлагают широкий спектр решений для удовлетворения ваших потребностей в обучении, а также достижения ваших целей обучения. Microsoft Certified Trainers прошли тщательное обучение и отвечают строгим требованиям технической сертификации.

Учебные ресурсы

Наша всемирная партнерская сеть обеспечивает гибкое, основанное на решениях, индивидуальное обучение в технологиях Microsoft.

Получите помощь, задав вопрос на форумах. Модератор форума ответит в течение одного рабочего дня, с понедельника по пятницу.

Изучите все сертификаты, чтобы возвести свою карьеру на новый уровень.

Сертификации Microsoft

сертификации Microsoft дают профессиональное преимущество посредством предоставления всемирно признаваемого и соответствующего отраслевым стандартам подтверждения владения навыками в цифровом бизнесе и бизнесе cloud.

Преимущества сертификаций

После прохождения сертификации 67% технических специалистов увереннее чувствуют себя в отношении своей способности выполнять свою работу, 41% получают большее удовлетворение от работы, а 35% сообщают об увеличении зарплаты.- 2018 год, Pearson VUE, отчет о ценности IT-сертификации

сертифицированных IT-специалистов говорят, что сертификация обеспечивает повышение к ним уровня доверия как к профессионалам.

сертифицированных IT-специалистов говорят, что к их мнению больше прислушиваются в рамках их организации.

принимающих решений лиц соглашаются, что сертифицированные сотрудники обеспечивают дополнительную ценность.