Аудит служб сертификации Audit Certification Services
Относится к: Applies to
- Windows 10 Windows 10
- Windows Server 2016 Windows Server 2016
Службы сертификации аудита определяют, генерирует ли операционная система события при выполнении операций active Directory Certificate Services (AD CS). Audit Certification Services determines whether the operating system generates events when Active Directory Certificate Services (AD CS) operations are performed.
Примеры операций AD CS: Examples of AD CS operations include:
CS AD запускается, закрывается, возвращается или восстанавливается. AD CS starts, shuts down, is backed up, or is restored.
Выполняется список отзывов сертификатов (CRL). Certificate revocation list (CRL)-related tasks are performed.
Сертификаты запрашиваются, выдаются или отзываются. Certificates are requested, issued, or revoked.
Параметры диспетчера сертификатов для AD CS изменены. Certificate manager settings for AD CS are changed.
Конфигурация и свойства органа сертификации (CA) изменены. The configuration and properties of the certification authority (CA) are changed.
Изменены шаблоны AD CS. AD CS templates are modified.
Сертификаты импортируется. Certificates are imported.
Сертификат ЦС публикуется в службе доменов Active Directory. A CA certificate is published to Active Directory Domain Services.
Изменены разрешения безопасности для служб ролей AD CS. Security permissions for AD CS role services are modified.
Ключи архивируется, импортируется или извлекается. Keys are archived, imported, or retrieved.
Служба реагирования OCSP запущена или остановлена. The OCSP Responder Service is started or stopped.
Мониторинг этих оперативных событий имеет важное значение для обеспечения надлежащего функционирования служб ролей AD CS. Monitoring these operational events is important to ensure that AD CS role services are functioning properly.
Объем событий: от низкого до среднего на серверах, которые предоставляют службы ролей AD CS. Event volume: Low to medium on servers that provide AD CS role services.
Подкатегории, определенные для ролей, находятся за пределами области действия этого документа. Role-specific subcategories are outside the scope of this document.
| Тип компьютера Computer Type | Общий успех General Success | Общий сбой General Failure | Более сильный успех Stronger Success | Более сильный сбой Stronger Failure | Комментарии Comments |
|---|---|---|---|---|---|
| Контроллер домена Domain Controller | IF IF | IF IF | IF IF | IF IF | IF — если на сервере установлена роль служб сертификатов Active Directory (AD CS), и необходимо отслеживать события, связанные с AD CS, вступив в эту подкатегорию. IF – if a server has the Active Directory Certificate Services (AD CS) role installed and you need to monitor AD CS related events, enable this subcategory. |
| Сервер участника Member Server | IF IF | IF IF | IF IF | IF IF | IF — если на сервере установлена роль служб сертификатов Active Directory (AD CS), и необходимо отслеживать события, связанные с AD CS, вступив в эту подкатегорию. IF – if a server has the Active Directory Certificate Services (AD CS) role installed and you need to monitor AD CS related events, enable this subcategory. |
| Workstation Workstation | Нет No | Нет No | Нет No | Нет No | Роль Active Directory Certificate Services (AD CS) не может быть установлена на клиентской ОС. Active Directory Certificate Services (AD CS) role cannot be installed on client OS. |
4868. Диспетчер сертификатов отказал в ожидаемом запросе сертификата. 4868: The certificate manager denied a pending certificate request.
4869. Службы сертификатов получили повторное сообщение о выдаче сертификата. 4869: Certificate Services received a resubmitted certificate request.
4870. Службы сертификатов отозвали сертификат. 4870: Certificate Services revoked a certificate.
4871. Службы сертификатов получили запрос на публикацию списка отзыва сертификатов (CRL). 4871: Certificate Services received a request to publish the certificate revocation list (CRL).
4872. Службы сертификатов опубликовали список отзывов сертификатов (CRL). 4872: Certificate Services published the certificate revocation list (CRL).
4873. Изменено расширение запроса сертификата. 4873: A certificate request extension changed.
4874. Изменен один или несколько атрибутов запроса сертификата. 4874: One or more certificate request attributes changed.
4875. Службы сертификатов получили запрос на отключение. 4875: Certificate Services received a request to shut down.
4876. Началось резервное копирование служб сертификатов. 4876: Certificate Services backup started.
4877. Резервное копирование служб сертификатов завершено. 4877: Certificate Services backup completed.
4878. Начато восстановление служб сертификатов. 4878: Certificate Services restore started.
4879. Восстановление служб сертификатов завершено. 4879: Certificate Services restore completed.
4880. Запущены службы сертификатов. 4880: Certificate Services started.
4881. Службы сертификатов остановлены. 4881: Certificate Services stopped.
4882. Изменены разрешения на безопасность для служб сертификатов. 4882: The security permissions for Certificate Services changed.
4883. Службы сертификатов извлекли архивный ключ. 4883: Certificate Services retrieved an archived key.
4884. Службы сертификатов импортировали сертификат в свою базу данных. 4884: Certificate Services imported a certificate into its database.
4885. Изменен фильтр аудита для служб сертификатов. 4885: The audit filter for Certificate Services changed.
4886. Службы сертификатов получили запрос на сертификат. 4886: Certificate Services received a certificate request.
4887. Службы сертификатов одобрили запрос сертификата и выдали сертификат. 4887: Certificate Services approved a certificate request and issued a certificate.
4888. Службам сертификатов отказано в запросе сертификата. 4888: Certificate Services denied a certificate request.
4889. Службы сертификатов устанавливают состояние запроса сертификата на ожидание. 4889: Certificate Services set the status of a certificate request to pending.
4890. Изменены параметры диспетчера сертификатов для служб сертификатов. 4890: The certificate manager settings for Certificate Services changed.
4891. В службах сертификатов изменена запись конфигурации. 4891: A configuration entry changed in Certificate Services.
4892. Изменено свойство служб сертификатов. 4892: A property of Certificate Services changed.
4893. Службы сертификатов архивировать ключ. 4893: Certificate Services archived a key.
4894. Службы сертификатов импортировали и архивировали ключ. 4894: Certificate Services imported and archived a key.
4895. Службы сертификатов опубликовали сертификат CA для служб домена Active Directory. 4895: Certificate Services published the CA certificate to Active Directory Domain Services.
4896. Одна или несколько строк были удалены из базы данных сертификатов. 4896: One or more rows have been deleted from the certificate database.
4897. Включено разделение ролей. 4897: Role separation enabled.
4898. Службы сертификатов загрузили шаблон. 4898: Certificate Services loaded a template.
Установка центра сертификации Install the Certification Authority
Применяется к: Windows Server (Semi-Annual Channel), Windows Server 2016 Applies to: Windows Server (Semi-Annual Channel), Windows Server 2016
Эту процедуру можно использовать для установки служб сертификатов Active Directory (AD CS), чтобы можно было зарегистрировать сертификат сервера на серверах, на которых выполняется сервер политики сети (NPS), служба маршрутизации и удаленного доступа (RRAS) или оба. You can use this procedure to install Active Directory Certificate Services (AD CS) so that you can enroll a server certificate to servers that are running Network Policy Server (NPS), Routing and Remote Access Service (RRAS), or both.
- Перед установкой служб Active Directory сертификатов необходимо присвоить компьютеру имя, настроить компьютер со статическим IP-адресом и присоединить компьютер к домену. Before you install Active Directory Certificate Services, you must name the computer, configure the computer with a static IP address, and join the computer to the domain. Дополнительные сведения о выполнении этих задач см. в разделе сетевого руководствапо Windows Server 2016 Core. For more information on how to accomplish these tasks, see the Windows Server 2016 Core Network Guide.
- Для выполнения этой процедуры компьютер, на котором устанавливается AD CS, должен быть присоединен к домену, где установлена служба домен Active Directory Services (AD DS). To perform this procedure, the computer on which you are installing AD CS must be joined to a domain where Active Directory Domain Services (AD DS) is installed.
Членство в группах «Администраторы предприятия » и «Администраторы домена корневого домена» является минимальным требованием для выполнения этой процедуры. Membership in both the Enterprise Admins and the root domain’s Domain Admins group is the minimum required to complete this procedure.
Чтобы выполнить эту процедуру с помощью Windows PowerShell, откройте Windows PowerShell и введите следующую команду и нажмите клавишу ВВОД. To perform this procedure by using Windows PowerShell, open Windows PowerShell and type the following command, and then press ENTER.
Add-WindowsFeature Adcs-Cert-Authority -IncludeManagementTools
После установки AD CS введите следующую команду и нажмите клавишу ВВОД. After AD CS is installed, type the following command and press ENTER.
Install-AdcsCertificationAuthority -CAType EnterpriseRootCA
Установка служб сертификатов Active Directory To install Active Directory Certificate Services
Если вы хотите использовать Windows PowerShell для установки служб Active Directory Certificate Services, см. раздел Install-адксцертификатионаусорити для командлетов и необязательных параметров. If you want to use Windows PowerShell to install Active Directory Certificate Services, see Install-AdcsCertificationAuthority for cmdlets and optional parameters.
Войдите в систему как член группы «Администраторы предприятия» и группу «Администраторы домена корневого домена». Log on as a member of both the Enterprise Admins group and the root domain’s Domain Admins group.
Откройте диспетчер серверов, щелкните Управление, а затем нажмите кнопку Добавить роли и компоненты. In Server Manager, click Manage, and then click Add Roles and Features. Откроется мастер добавления ролей и компонентов. The Add Roles and Features Wizard opens.
На странице Перед началом работы нажмите кнопку Далее. In Before You Begin, click Next.
Страница Перед началом работы мастера добавления ролей и компонентов не отображается, если при предыдущем запуске мастера был установлен флажок Пропустить эту страницу по умолчанию. The Before You Begin page of the Add Roles and Features Wizard is not displayed if you have previously selected Skip this page by default when the Add Roles and Features Wizard was run.
На странице Выбор типа установки убедитесь, что выбрана Установка ролей или компонентов, затем нажмите кнопку Далее. In Select Installation Type, ensure that Role-Based or feature-based installation is selected, and then click Next.
На странице Выбор целевого сервера убедитесь, что выбран пункт Выберите сервер из пула серверов. In Select destination server, ensure that Select a server from the server pool is selected. На странице Пул серверов проверьте, что выбран локальный компьютер. In Server Pool, ensure that the local computer is selected. Щелкните Далее. Click Next.
В окне Выбор ролей сервера в списке роли выберите Active Directory службы сертификации. In Select Server Roles, in Roles, select Active Directory Certificate Services. Когда появится запрос на добавление необходимых компонентов, щелкните Добавить компоненты, а затем нажмите кнопку Далее. When you are prompted to add required features, click Add Features, and then click Next.
В окне Выбор компонентов нажмите кнопку Далее. In Select features, click Next.
В Active Directory службах сертификации прочтите предоставленные сведения и нажмите кнопку Далее. In Active Directory Certificate Services, read the provided information, and then click Next.
На странице Подтверждение выбранных элементов для установки нажмите кнопку Установить. In Confirm installation selections, click Install. Не закрывайте мастер в процессе установки. Do not close the wizard during the installation process. После завершения установки щелкните настроить Active Directory службы сертификатов на целевом сервере. When installation is complete, click Configure Active Directory Certificate Services on the destination server. Откроется мастер настройки служб сертификатов Active Directory. The AD CS Configuration wizard opens. Прочтите учетные данные и при необходимости укажите учетные данные для учетной записи, которая является членом группы «Администраторы предприятия». Read the credentials information and, if needed, provide the credentials for an account that is a member of the Enterprise Admins group. Щелкните Далее. Click Next.
В службах ролей щелкните центр сертификации, а затем нажмите кнопку Далее. In Role Services, click Certification Authority, and then click Next.
На странице тип установки убедитесь, что выбран параметр ЦС предприятия , и нажмите кнопку Далее. On the Setup Type page, verify that Enterprise CA is selected, and then click Next.
На странице Укажите тип страницы ЦС убедитесь, что выбран параметр корневой ЦС , и нажмите кнопку Далее. On the Specify the type of the CA page, verify that Root CA is selected, and then click Next.
На странице Указание типа закрытого ключа убедитесь, что выбран параметр создать новый закрытый ключ , а затем нажмите кнопку Далее. On the Specify the type of the private key page, verify that Create a new private key is selected, and then click Next.
На странице шифрование для центра сертификации сохраните параметры по умолчанию для CSP (поставщик хранилища ключей RSA) и алгоритм хэширования (SHA2) и определите максимальную длину символов ключа для развертывания. On the Cryptography for CA page, keep the default settings for CSP (RSA#Microsoft Software Key Storage Provider) and hash algorithm (SHA2), and determine the best key character length for your deployment. Большие ключевые длины символов обеспечивают оптимальную безопасность; Однако они могут повлиять на производительность сервера и могут быть несовместимы с устаревшими приложениями. Large key character lengths provide optimal security; however, they can impact server performance and might not be compatible with legacy applications. Рекомендуется использовать значение по умолчанию 2048. It is recommended that you keep the default setting of 2048. Щелкните Далее. Click Next.
На странице имя ЦС сохраните Предлагаемое общее имя ЦС или измените имя в соответствии с вашими требованиями. On the CA Name page, keep the suggested common name for the CA or change the name according to your requirements. Убедитесь, что имя ЦС совместимо с соглашениями об именовании и целями, так как вы не можете изменить имя ЦС после установки служб AD CS. Ensure that you are certain the CA name is compatible with your naming conventions and purposes, because you cannot change the CA name after you have installed AD CS. Щелкните Далее. Click Next.
На странице срок действия в поле Укажите срок действия введите число и выберите значение времени (годы, месяцы, недели или дни). On the Validity Period page, in Specify the validity period, type the number and select a time value (Years, Months, Weeks, or Days). Рекомендуется использовать значение по умолчанию, равное пяти годам. The default setting of five years is recommended. Щелкните Далее. Click Next.
На странице база данных ЦС в поле укажите расположения базы данных укажите расположение папки для базы данных сертификатов и журнала базы данных сертификатов. On the CA Database page, in Specify the database locations, specify the folder location for the certificate database and the certificate database log. Если указаны расположения, отличные от расположений по умолчанию, убедитесь, что папки защищены с помощью списков управления доступом (ACL), которые не позволяют неавторизованным пользователям или компьютерам получать доступ к базе данных и файлам журналов ЦС. If you specify locations other than the default locations, ensure that the folders are secured with access control lists (ACLs) that prevent unauthorized users or computers from accessing the CA database and log files. Щелкните Далее. Click Next.
В окне Подтверждение нажмите кнопку настроить , чтобы применить параметры, а затем нажмите кнопку Закрыть. In Confirmation, click Configure to apply your selections, and then click Close.
