Mobile-Menu

Zertifikate sicher und performant im Netzwerk einsetzen Absicherung, Backup und Verwaltung des Windows Zertifikatsdienstes

Autor / Redakteur: Thomas Joos / Peter Schmitz |

Zertifikate spielen eine immer wichtigere Rolle im Netzwerk. Viele Serverdienste benötigen für die Absicherung ihrer Funktionalität ein Zertifikat. Es ist daher wichtig, dass die dafür notwendigen Server sicher betrieben werden. Wir zeigen worauf beim Management des Zertifikatsdienstes unter Windows Server 2019 zu achten ist.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH
TXOne Networks
Specops Software GmbH
Windows Server 2019 bietet eine Reihe praktischer Funktionen, um Zertifikate sicher und performant im Netzwerk einzusetzen.
Windows Server 2019 bietet eine Reihe praktischer Funktionen, um Zertifikate sicher und performant im Netzwerk einzusetzen.
(© deepagopi2011 - stock.adobe.com)

Nach der Installation der Active Directory-Zertifikatsdienste, werden diese am besten über die grafische Oberfläche und die Verwaltungskonsole „certsrv.msc“ verwaltet. Im Fenster ist zu sehen, ob der Dienst gestartet ist. Die Zertifikatvorlagen werden mit „certtmpl.msc“ verwaltet. Diese Konsole lässt sich auch über die Verwaltungskonsole der Zertifizierungsstelle starten. Für die Verwaltung oder Aktualisierung ist es teilweise notwendig den Dienst zu beenden und manuell zu starten. Das kann über das Kontextmenü der Konsole erledigt werden. In der Befehlszeile steht aber auch das Tool „certutil.exe“ zur Verfügung, mit dem sich ebenfalls Aufgaben erledigen lassen.

Die Verwaltung der eigenen Zertifikate findet in Windows über die beiden Tools „certlm.msc“ für lokale Zertifikate des Computers, oder mit „certmgr.msc“ für die Verwaltung der Zertifikate des entsprechenden Benutzers statt.

Bildergalerie
Bildergalerie mit 14 Bildern

Zertifizierungsstelle anhalten, starten, sichern und wiederherstellen

Über das Kontextmenü der Zertifizierungsstelle kann mit „Alle Aufgaben“ der Dienst angehalten und gestartet werden. Außerdem sind hier die Funktionen zur Sicherung und Wiederherstellung zu finden. Die Sicherung erfolgt über einen Assistenten, genauso wie die Wiederherstellung. Der Sicherungs-Assistent unterstützt auch inkrementelle Sicherungen, sodass in einer Sicherungsdatei immer alle aktuellen Dateien gesichert werden.

Über den Menüpunkt „Alle Aufgaben“ kann mit „Zertifizierungsstellenzertifikat erneuen“ das Zertifikat der Zertifizierungsstelle aktualisiert werden. Das aktuelle Zertifikat kann in den Eigenschaften der Zertifizierungsstelle auf der Registerkarte „Allgemein“ angezeigt werden. Hier ist auch zu sehen, wann das Zertifikat abläuft.

In der Konsole zur Verwaltung der Zertifizierungsstelle sollte in regelmäßigen Abständen überprüft werden, ob bei „Gesperrte Zertifikate“ oder bei „Fehlgeschlagene Anforderungen“ Einträge vorhanden sind, die auf Probleme hinweisen können. Bei „Ausgestellte Zertifikate“ sind wiederum die Zertifikate zu sehen, die aktuell auf die Zertifizierungsstelle aufbauen.

Eigenschaften der Zertifizierungsstelle verwalten

In der Verwaltungskonsole certsrv.msc stehen über das Kontextmenü der Zertifizierungsstelle auch die Eigenschaften zur Verfügung. Hier kann über verschiedene Registerkarten das Verhalten der Zertifizierungsstelle gesteuert werden. Bei „Sicherheit“ ist zu sehen, welche Benutzer das Recht haben Zertifikate anzufordern und die Zertifizierungsstelle zu verwalten. Es kann generell sinnvoll sein zu überprüfen, ob diese Berechtigungen so gesetzt sind, wie es die Sicherheitsanforderungen im Unternehmen vorsehen.

Standardmäßig dürfen alle authentifizierten Benutzer auch Zertifikate von der Zertifizierungsstelle anfordern. Verwalten dürfen die Zertifizierungsstellen die Gruppen „Domänen-Admins“, „Organisations-Admins“ und die lokalen Administratoren des Servers. Auch hier können auf der Registerkarte Anpassungen vorgenommen werden. In diesem Bereich spielt auch die Registerkarte „Zertifikatverwaltungen“ eine Rolle. Hier lassen sich Sicherheitseinstellungen für Zertifizierungsstellen definieren und anpassen. Auf diesem Weg kann die Verwaltung der Zertifikate und der Zertifizierungsstelle delegiert werden.

Auf der Registerkarte „Überwachung“ kann wiederum festgelegt werden, welche Ereignisse in der Ereignisanzeige des Servers festgehalten werden sollen. Die generellen Optionen der Überwachungsrichtlinie können in der Gruppenrichtlinie unter Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Lokale Richtlinien eingestellt werden. Die Ereignisse werden im Überwachungsprotokoll der Ereignisanzeige angezeigt.

SSL für Active Directory-Zertifikatdienste einrichten

Standardmäßig ist für den Webzugriff auf die Active Directory-Zertifikatsdienste noch kein SSL aktiviert. Sie können SSL aber jederzeit nachträglich aktivieren. Dazu gehen Sie folgendermaßen vor:

  • 1. Klicken Sie im Internetinformationsdienste-Manager auf Sites/Default Web Site.
  • 2. Klicken Sie rechts auf Bindungen.
  • 3. Klicken Sie auf Hinzufügen und wählen Sie https aus.
  • 4. Wählen Sie bei SSL-Zertifikat ein Zertifikat aus. Sie können das Zertifikat jederzeit anpassen.
  • 5. Klicken Sie auf OK, um die Änderungen zu speichern.
  • 6. Starten Sie den IIS unter Umständen mit „iisreset /force“ neu.

Vorlagen verwalten

Die Vorlagen, die in den Zertifikatenverwaltungs-Programmen in Windows (certlm.msc, certmgr.msc) angefordert werden können, stellen die Active Directory-Zertifikatsdienste auf Basis von Vorlagen zur Verfügung. Diese Vorlagen werden in der Verwaltungskonsole der Zertifizierungsstellen bei „Zertifkatsvorlagen“ verwaltet. Hier lassen sich auch über das Kontextmenü weitere Vorlagen hinzufügen und vorhandene Vorlagen verwalten.

Bildergalerie
Bildergalerie mit 14 Bildern

(ID:46274574)

Weiterführende Inhalte