Eigene Zertifizierungsstelle aufbauen: Zertifikate für interne Dienste ausstellen
Eine zweistufige Struktur mit offline gehaltener Stammzertifizierungsstelle planen, Vorlagen einrichten und Zertifikate automatisch über die Domäne verteilen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Installation dauert zwanzig Minuten, und danach lässt sich nichts mehr ändern
Eine Zertifizierungsstelle ist in Windows Server eine Rolle wie jede andere. Sie ist über den Server-Manager in wenigen Minuten installiert, und der Assistent fragt dabei nach Dingen, deren Tragweite beim ersten Mal niemand einschätzen kann: Enterprise oder Standalone, Stamm oder untergeordnet, welcher Name, welche Schlüssellänge, welche Gültigkeitsdauer. Die meisten dieser Antworten lassen sich später nicht mehr ändern, ohne die gesamte Struktur neu aufzubauen und alle ausgestellten Zertifikate zu ersetzen.
Der zweite Punkt betrifft die Rolle, die eine solche Stelle im Haus tatsächlich einnimmt. Sobald ihr Stammzertifikat auf allen Rechnern verteilt ist, wird sie dort bedingungslos als vertrauenswürdig behandelt. Wer die Kontrolle über sie erlangt, kann Zertifikate ausstellen, die überall im Haus akzeptiert werden, auch für Anmeldungen. Microsoft formuliert das eindeutig: Ist die Stammzertifizierungsstelle kompromittiert, gelten alle Stellen in der Hierarchie und alle von ihr ausgestellten Zertifikate als kompromittiert. Damit gehört sie in die Menge der Systeme, die die Kontrolle über die Identitäten im Haus haben.
Der dritte Punkt fällt erst nach ein bis zwei Jahren auf. Zertifikate laufen ab, und Sperrlisten laufen ebenfalls ab, und zwar deutlich schneller. Wenn die Veröffentlichung der Sperrinformationen nicht von Anfang an funktioniert, merkt das niemand, solange die erste Liste noch gültig ist. Danach fallen Dienste aus, die mit der Zertifizierungsstelle scheinbar nichts zu tun haben, und die Fehlermeldungen sprechen von einem nicht verfügbaren Sperrserver, ohne zu sagen, welcher gemeint ist.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Ablauf, Schritt für Schritt
Sechs Stationen vom Zuschnitt bis zur automatischen Verteilung. Die Reihenfolge ist nicht beliebig: Wer die Sperrinformationen nach dem ersten Zertifikat einrichtet, muss alle bis dahin ausgestellten Zertifikate ersetzen, weil die Adressen darin fest eingetragen sind.
- 1
Den Zuschnitt festschreiben
Beantworte schriftlich, wofür diese Stelle Zertifikate ausstellt, welche Namen und Gültigkeitsdauern je Stufe gelten, unter welchen Adressen Sperrliste und Stellenzertifikat abrufbar sein werden und wer im Haus welche Zertifikate anfordern darf. Halt dabei auch fest, was ausdrücklich nicht über diese Stelle läuft, insbesondere Zertifikate für aus dem Internet erreichbare Dienste. Das klingt nach Bürokratie, ist aber die einzige Stelle, an der sich diese Entscheidungen noch kostenlos treffen lassen.
Geschafft, wenn: Ein kurzes Dokument, in dem alle Werte stehen, nach denen der Installationsassistent gleich fragen wird.
- 2
Die Stammzertifizierungsstelle offline aufsetzen
Nimm dafür einen Rechner, der der Domäne nicht beitritt und keine Netzwerkverbindung hat, in der Praxis meist eine virtuelle Maschine ohne angebundene Netzkarte. Installiere darauf die Rolle als Standalone-Stammzertifizierungsstelle. Trag anschließend die Adressen ein, unter denen ihre Sperrliste und ihr Zertifikat später erreichbar sein werden, denn diese Angaben landen im Zertifikat der untergeordneten Stelle. Veröffentlich eine erste Sperrliste mit langer Gültigkeit und leg fest, wer sie in welchem Abstand erneuert. Danach wird diese Maschine ausgeschaltet und sicher verwahrt.
Geschafft, wenn: Ein Stammzertifikat, eine gültige Sperrliste und eine Maschine, die für Jahre ausgeschaltet bleibt.
- 3
Die ausstellende Stelle in die Domäne holen
Installiere auf einem Server in der Domäne die Rolle als untergeordnete Enterprise-Zertifizierungsstelle. Der Assistent erzeugt dabei eine Anforderung, die du auf die Offline-Stammstelle überträgst, dort signieren lässt und zurückbringst. Enterprise-Stellen sind in die Domänendienste eingebunden, veröffentlichen Zertifikate und Sperrlisten dorthin und nutzen die im Verzeichnis hinterlegten Konten und Gruppen, um Anforderungen zu genehmigen oder abzulehnen. Genau daran hängen alle Bequemlichkeiten, die diese Struktur ausmachen.
Geschafft, wenn: Eine ausstellende Stelle, deren Zertifikatskette bis zur Stammstelle vollständig prüfbar ist.
- 4
Vertrauen und Sperrprüfung im Haus verankern
Verteile das Stammzertifikat über Gruppenrichtlinie an alle Rechner, damit die Kette überall geprüft werden kann. Sorg dafür, dass die eingetragenen Adressen für Sperrliste und Stellenzertifikat tatsächlich erreichbar sind, und prüf das von einem gewöhnlichen Arbeitsplatz aus, nicht vom Server. Wenn du auf schnelle Antworten zur Sperrprüfung angewiesen bist, richte zusätzlich den Onlineresponder ein: Er nimmt Anfragen zum Sperrstatus einzelner Zertifikate entgegen, wertet sie aus und schickt eine signierte Antwort zurück.
Geschafft, wenn: Ein beliebiger Arbeitsplatz kann ein ausgestelltes Zertifikat vollständig prüfen, einschließlich seines Sperrstatus.
- 5
Vorlagen einrichten statt Anträge zu bearbeiten
Öffne in der Verwaltungskonsole der Zertifizierungsstelle die Vorlagen und dupliziere die passende Vorlage, statt eine mitgelieferte zu verändern. In den Eigenschaften der Kopie legst du auf der Registerkarte für Sicherheit fest, welche Gruppe die Vorlage verwenden darf: Für eine automatische Anforderung braucht diese Gruppe die Rechte zum Anfordern und zum automatischen Anfordern. Anschließend gibst du die Vorlage in der Konsole über die neue Vorlage für die Ausstellung frei, sonst kennt die Stelle sie nicht. Diesen Ablauf wiederholst du je Anwendungsfall, und die Gruppe darin ist der Ort, an dem du später steuerst, wer etwas bekommt.
Geschafft, wenn: Für jeden vorgesehenen Anwendungsfall gibt es eine eigene Vorlage mit einer benannten Gruppe von Berechtigten.
- 6
Automatisch verteilen und den Ablauf im Blick behalten
Schalt die automatische Anforderung über Gruppenrichtlinie ein. Die Einstellung heißt Certificate Services Client - Auto-Enrollment und liegt unter Computerkonfiguration, Richtlinien, Windows-Einstellungen, Sicherheitseinstellungen, Richtlinien für öffentliche Schlüssel, für Benutzerzertifikate an derselben Stelle unterhalb der Benutzerkonfiguration. Setz das Konfigurationsmodell auf aktiviert und wähl beide Zusatzoptionen aus, also das Erneuern abgelaufener und das Aktualisieren vorlagenbasierter Zertifikate. Danach beziehen die berechtigten Rechner und Konten ihre Zertifikate selbst und erneuern sie rechtzeitig.
Geschafft, wenn: Neue Systeme bekommen ihre Zertifikate ohne Ticket, und ablaufende werden erneuert, bevor jemand davon merkt.
Was in welcher Reihenfolge feststehen muss
- 01 Zweck und Abgrenzung: wofür stellt diese Stelle aus, und wofür ausdrücklich nicht?
- 02 Struktur: eine Standalone-Stammstelle offline, darunter eine Enterprise-Stelle in der Domäne.
- 03 Namen und Gültigkeitsdauern je Stufe, dauerhaft und nicht mehr änderbar.
- 04 Adressen für Sperrliste und Stellenzertifikat, erreichbar vor dem ersten ausgestellten Zertifikat.
- 05 Vorlagen mit Berechtigungen, die festlegen, wer sich selbst bedienen darf.
- 06 Verteilung über Gruppenrichtlinie und ein Verfahren für den Ablauf.
Die Festlegungen, die vor der ersten Installation stehen
Sechs Punkte, von denen fünf im Nachhinein nicht mehr korrigierbar sind. Wer sie schriftlich beantwortet, bevor der Assistent startet, spart sich den zweiten Aufbau.
Den Zweck festlegen und begrenzen
Schreib auf, wofür diese Zertifizierungsstelle Zertifikate ausstellen soll: Serverzertifikate für interne Webdienste, Zertifikate für Netzwerkzugang über 802.1X, Zertifikate für Anmeldung mit Chipkarte, Zertifikate für die Verschlüsselung interner Kommunikation. Zertifikate für Dienste, die aus dem Internet erreichbar sind, gehören ausdrücklich nicht dazu, weil ihnen dort niemand vertraut. Diese Abgrenzung erspart dir später die Diskussion, ob man nicht auch noch das darüber machen könnte.
Zwei Stufen bauen, auch für kleine Umgebungen
Eine Stammzertifizierungsstelle, die dauerhaft vom Netz getrennt ist, und darunter eine ausstellende Stelle in der Domäne. Microsoft nennt genau diesen Aufbau als Weg, die Sicherheit der Stammstelle zu erhöhen, und bezeichnet eine getrennte Stammstelle ausdrücklich als Offline-Stammzertifizierungsstelle. Der zusätzliche Aufwand besteht aus einer virtuellen Maschine, die zwei- bis dreimal im Jahr für wenige Stunden läuft.
Enterprise unten, Standalone oben
Windows Server kennt vier Bauarten: Enterprise-Stamm, Enterprise-untergeordnet, Standalone-Stamm und Standalone-untergeordnet. Die Stammstelle wird Standalone, weil sie nicht der Domäne angehören darf und ohne Verzeichnis auskommen muss. Die ausstellende Stelle wird Enterprise, weil nur diese Bauart Vorlagen verwendet, automatische Genehmigung und automatische Anforderung erlaubt und Zertifikate für die Anmeldung mit Chipkarte ausstellen kann.
Namen und Gültigkeitsdauern vor der Installation festlegen
Der Name einer Zertifizierungsstelle steht in jedem von ihr ausgestellten Zertifikat und lässt sich nachträglich nicht ändern. Wähl einen Namen, der nicht den Rechnernamen enthält, damit die Stelle später auf andere Hardware umziehen kann. Leg außerdem fest, wie lange das Zertifikat der Stammstelle gilt, wie lange das der ausstellenden Stelle und wie lange die ausgestellten Zertifikate. Die Regel dabei ist einfach: Keine Stufe kann länger gültig sein als die darüber.
Sperrinformationen vor dem ersten Zertifikat veröffentlichen
Die Adressen, unter denen Sperrliste und Zertifikat der ausstellenden Stelle abrufbar sind, werden in jedes ausgestellte Zertifikat geschrieben. Sie müssen deshalb feststehen und erreichbar sein, bevor das erste Zertifikat entsteht. Für die Stammstelle bedeutet das eine Sperrliste mit langer Gültigkeit, die von Hand veröffentlicht und rechtzeitig erneuert wird, weil die Stelle sonst nicht ans Netz kommt.
Den privaten Schlüssel schützen, so gut es geht
Der private Schlüssel ist die Zertifizierungsstelle. Microsoft nennt als übliche Schutzmaßnahme ein Hardwaresicherheitsmodul, das den Schlüssel getrennt vom Betriebssystem verwahrt und die Signierung beschleunigt. Wo das nicht in Frage kommt, liegt der Schlüssel auf dem Rechner selbst, und dann trägt die physische Sicherung die gesamte Last. Für die ausstellende Stelle muss der Schlüssel im Betrieb erreichbar sein, für die Stammstelle nicht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum zwei Stufen und nicht eine
Eine Stammzertifizierungsstelle steht an der Spitze einer Zertifikatskette, und alle Ketten enden bei ihr. Ihr Zertifikat ist selbst signiert, weshalb Aussteller und Inhaber darin denselben Wert tragen, und sobald dieses Zertifikat auf einem Rechner hinterlegt ist, wird es dort bedingungslos als vertrauenswürdig behandelt. Microsoft beschreibt die Folge einer Kompromittierung ohne Umschweife: Ist die Stammstelle übernommen, gelten alle Stellen in der Hierarchie darunter und alle jemals von ihr ausgestellten Zertifikate als kompromittiert.
Genau daraus folgt die Empfehlung für die zweistufige Struktur. Microsoft nennt zwei Maßnahmen in einem Satz: die Stammstelle vom Netz getrennt halten und die Ausstellung über untergeordnete Stellen erledigen lassen. Eine so getrennte Stammstelle heißt Offline-Stammzertifizierungsstelle. Sie stellt in ihrem Leben eine Handvoll Zertifikate aus, nämlich die für die untergeordneten Stellen, und wird ansonsten nur zum Erneuern der Sperrliste eingeschaltet.
Der Aufwand dafür ist überschaubar und der Nutzen groß. Wird die ausstellende Stelle übernommen, ziehst du ihr Zertifikat über eine Sperrliste der Stammstelle zurück, baust eine neue ausstellende Stelle auf und ersetzt die ausgestellten Zertifikate. Das ist unangenehm, aber es ist ein Vorgang mit Ende. Wird eine einzelne Stammstelle übernommen, die gleichzeitig ausstellt, musst du das Vertrauen im gesamten Haus zurücknehmen und jede Kette neu aufbauen.
Für größere oder verteilte Häuser gibt es zwischen beiden noch eine dritte Stufe. Eine untergeordnete Stelle, die selbst nicht ausstellt, sondern nur weitere Stellen beglaubigt, heißt Zwischenstelle und wird häufig als Richtlinienstelle bezeichnet, weil sie unterschiedliche Klassen von Zertifikaten voneinander trennt, etwa nach Sicherheitsniveau oder nach Standort. Sie kann online oder offline betrieben werden. Für die meisten Häuser sind zwei Stufen die richtige Antwort, drei lohnen sich erst, wenn es tatsächlich getrennte Bereiche mit unterschiedlichen Regeln gibt.
Enterprise oder Standalone: der Unterschied, der alles bestimmt
Enterprise-Zertifizierungsstellen sind in die Active-Directory-Domänendienste eingebunden. Sie veröffentlichen Zertifikate und Sperrlisten dorthin und verwenden die im Verzeichnis gespeicherten Informationen, also Benutzerkonten und Sicherheitsgruppen, um Anforderungen zu genehmigen oder abzulehnen. Vor allem aber arbeiten sie mit Vorlagen: Beim Ausstellen entnimmt die Stelle der Vorlage, welche Eigenschaften ein Zertifikat dieser Art tragen soll, und erzeugt es entsprechend.
Daran hängen genau die Eigenschaften, die eine interne PKI überhaupt sinnvoll machen. Microsoft schreibt ausdrücklich, dass automatische Genehmigung und automatische Anforderung von Benutzerzertifikaten nur mit Enterprise-Stellen möglich sind, weil beides die Einbindung in Active Directory voraussetzt. Ebenso können nur Enterprise-Stellen Zertifikate für die Anmeldung mit Chipkarte ausstellen, weil dieser Vorgang eine automatische Zuordnung der Zertifikate zu den Konten im Verzeichnis verlangt.
Standalone-Stellen kommen ohne Verzeichnis aus und verwenden keine Vorlagen. Das bedeutet, dass alle Angaben zum gewünschten Zertifikatstyp in der Anforderung selbst enthalten sein müssen. Standardmäßig bleibt jede Anforderung ausstehend, bis eine verwaltende Person sie genehmigt. Microsoft weist darauf hin, dass sich eine Standalone-Stelle auch auf automatische Ausstellung umstellen lässt, dass dies aber weniger sicher ist und nicht empfohlen wird, weil die Anforderungen nicht authentifiziert werden.
Für die Praxis heißt das: Die Stammstelle wird Standalone, weil sie der Domäne nicht angehören darf und in ihrem Leben nur wenige Anforderungen von Hand bearbeitet. Die ausstellende Stelle wird Enterprise, weil dort die Automatik gebraucht wird. Beide Bauarten lassen sich im selben Haus einsetzen, und genau das ist die übliche Kombination. Standalone-Stellen sind darüber hinaus dann nötig, wenn ein anderer Verzeichnisdienst im Einsatz ist oder gar keiner zur Verfügung steht.
Die Sperrprüfung ist der Teil, der später ausfällt
Ein Zertifikat sagt nur etwas aus, wenn sich prüfen lässt, ob es zurückgezogen wurde. Dafür gibt es zwei Wege. Der erste ist die Sperrliste, ein von der Zertifizierungsstelle signiertes Verzeichnis der zurückgezogenen Zertifikate, das unter einer im Zertifikat eingetragenen Adresse abrufbar ist und eine begrenzte Gültigkeit hat. Der zweite ist der Onlineresponder: Er nimmt Anfragen zum Sperrstatus einzelner Zertifikate entgegen, wertet den Status aus und schickt eine signierte Antwort mit genau dieser Information zurück, was bei großen Sperrlisten deutlich sparsamer ist.
Die Falle liegt in der Reihenfolge. Die Adressen für Sperrliste und Stellenzertifikat werden beim Ausstellen in jedes einzelne Zertifikat geschrieben. Wer sie nachträglich ändert, ändert damit nichts an den bereits ausgestellten Zertifikaten, denn dort steht die alte Adresse weiterhin drin. Deshalb müssen diese Adressen feststehen und erreichbar sein, bevor das erste Zertifikat entsteht, und deshalb steht dieser Schritt im Ablauf vor den Vorlagen.
Die zweite Falle betrifft die Offline-Stammstelle. Auch ihre Sperrliste hat eine Gültigkeitsdauer, und wenn sie abläuft, gilt die gesamte Kette darunter als nicht prüfbar. Weil die Stelle ausgeschaltet ist, passiert das ohne jede Vorwarnung. Setz die Gültigkeit deshalb bewusst lang, trag den Termin für die Erneuerung an derselben Stelle ein, an der auch eure Zertifikatsabläufe stehen, und dokumentier den Vorgang so, dass er auch von jemandem durchgeführt werden kann, der die Stelle nicht aufgebaut hat.
Prüf das Ergebnis immer vom Arbeitsplatz aus und nicht vom Server. Auf dem Server, der die Zertifizierungsstelle betreibt, funktioniert die Prüfung fast immer, weil die Dateien lokal liegen. Erst ein gewöhnlicher Rechner in einem gewöhnlichen Netzsegment beantwortet die Frage, ob eure Veröffentlichung tatsächlich trägt, einschließlich der Namensauflösung, der Firewallregeln und der Erreichbarkeit des Webservers.
Vorlagen und Berechtigungen: hier steuerst du, wer was bekommt
Eine Vorlage beschreibt, wie ein Zertifikat einer bestimmten Art aussehen soll: welchen Verwendungszweck es trägt, wie lange es gilt, wie der Schlüssel erzeugt und geschützt wird und woher die Angaben zum Antragsteller kommen. Der wichtigste Teil für den Alltag steht aber nicht in diesen Feldern, sondern auf der Registerkarte für die Sicherheit: Dort legst du fest, welche Gruppe die Vorlage lesen, anfordern und automatisch anfordern darf. Genau diese Berechtigung ist der Steuerungspunkt.
Der Ablauf ist immer derselbe. In der Verwaltungskonsole der Zertifizierungsstelle öffnest du die Vorlagenverwaltung, wählst die passende mitgelieferte Vorlage und duplizierst sie, statt sie zu verändern. In den Eigenschaften der Kopie fügst du die Gruppe hinzu, die berechtigt sein soll, und setzt für sie die Rechte zum Anfordern und zum automatischen Anfordern. Anschließend gibst du die Kopie in der Konsole der Zertifizierungsstelle über die Auswahl einer neuen auszustellenden Vorlage frei. Ohne diesen letzten Schritt existiert die Vorlage zwar, wird aber von der Stelle nicht angeboten.
Für die Praxis lohnt es sich, die Berechtigung immer an Gruppen zu hängen und nie an einzelne Konten. Damit wird die Frage, wer ein bestimmtes Zertifikat bekommt, zu einer Frage der Gruppenmitgliedschaft, und die lässt sich mit denselben Verfahren führen wie alle anderen Berechtigungen im Haus. Microsoft hebt genau diesen Punkt als Vorteil hervor: Über Gruppenrichtlinien lässt sich festlegen, welche Benutzer und Rechner welche Arten von Zertifikaten erhalten dürfen, was rollen- oder attributbasierte Zugriffssteuerung ermöglicht.
Für Geräte ohne Domänenkonto gibt es einen eigenen Weg. Der Registrierungsdienst für Netzwerkgeräte erlaubt es Routern und anderen Geräten ohne Konto im Verzeichnis, Zertifikate zu beziehen. Für Rechner, die nicht der Domäne angehören oder gerade keine Verbindung dorthin haben, gibt es das Paar aus dem Registrierungsrichtlinien-Webdienst und dem Registrierungs-Webdienst, das eine richtlinienbasierte Anforderung auch in diesen Fällen ermöglicht. Und wenn du sicherstellen willst, dass ein privater Schlüssel das Gerät nicht verlassen kann, prüf die Nachweisführung über das Sicherheitsmodul im Gerät, mit der die Zertifizierungsstelle die Herkunft des Schlüssels bestätigen lässt.
Was du dir mit einer eigenen PKI einhandelst
Der offensichtliche Gewinn ist die Automatik. Sobald Vorlagen und automatische Anforderung stehen, versorgen sich Rechner und Konten selbst, neue Systeme bekommen ihre Zertifikate ohne Ticket, und ablaufende werden rechtzeitig erneuert. Für interne Webdienste, für Netzwerkzugang über 802.1X, für Anmeldung mit Chipkarte, für IPsec und für signierte Kommunikation ist das ein spürbarer Unterschied gegenüber jeder Handarbeit.
Der weniger offensichtliche Teil ist der Betrieb. Eine Zertifizierungsstelle ist ein System mit Terminen: Sperrlisten laufen ab, Stellenzertifikate laufen ab, Vorlagen müssen an neue Anforderungen angepasst werden, und die Offline-Stammstelle muss regelmäßig eingeschaltet werden. Diese Termine gehören in denselben Kalender wie eure anderen Ablauftermine, und der Vorgang gehört dokumentiert, damit er nicht an einer einzelnen Person hängt.
Sicherheitlich gehört die PKI in dieselbe Ebene wie die Domänencontroller. Wer Zertifikate für die Anmeldung ausstellen kann, kann sich als beliebige Person ausgeben. Die Verwaltung der Zertifizierungsstellen gehört deshalb an dieselben Konten und dieselben Arbeitsplätze, die auch für den Verzeichnisdienst zuständig sind, und die Berechtigungen auf den Vorlagen gehören genauso regelmäßig geprüft wie die Delegierungen im Verzeichnis.
Ein Blick nach vorn lohnt sich beim Thema Kryptografie. AD CS unterstützt inzwischen ML-DSA, ein von der NIST standardisiertes Signaturverfahren aus der Familie der quantensicheren Verfahren, und zwar für Zertifizierungsstellen, für Vorlagen und für den Onlineresponder. Für den Aufbau heute heißt das nicht, dass du sofort umstellen musst. Es heißt aber, dass die Gültigkeitsdauern deiner Stellenzertifikate eine Rolle spielen: Wer heute eine Stammstelle mit sehr langer Laufzeit aufsetzt, legt sich für einen entsprechend langen Zeitraum auf das heutige Verfahren fest.
Dazu passende Kurse
Weil die entscheidenden Festlegungen im Installationsassistenten fallen und danach feststehen, sind Trainings zu den Zertifikatsdiensten im Windows-Umfeld der sicherere Weg als ein erster Versuch im Produktivnetz.
Weil eine Zertifizierungsstelle in dieselbe Schutzebene gehört wie die Domänencontroller, ergänzen Kurse zum Schutz privilegierter Systeme den Aufbau um die dazugehörige Absicherung.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Lohnt sich eine zweistufige Struktur auch für ein kleines Haus?
Können wir mit unserer eigenen PKI auch Zertifikate für unsere Webseite ausstellen?
Warum können wir keine Vorlagen verwenden?
Was passiert, wenn die Sperrliste der Offline-Stammstelle abläuft?
Wie stellen wir sicher, dass nicht jeder alles anfordern kann?
Brauchen wir ein Hardwaresicherheitsmodul?
Quellen
- Microsoft Learn, Active Directory-Zertifikatdienste im Überblick
- Microsoft Learn, Rollendienst Zertifizierungsstelle
- Microsoft Learn, Zertifikatvorlage für die automatische Anforderung konfigurieren
- Microsoft Learn, automatische Zertifikatanforderung über Gruppenrichtlinie
- Microsoft Learn, Vergleich der Windows-Server-Editionen
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Die Struktur einmal vollständig aufbauen, statt sie zu improvisieren
Die Entscheidungen im Installationsassistenten lassen sich später nicht mehr korrigieren, und genau deshalb lohnt es sich, den Aufbau einmal begleitet durchzuspielen. Bei cmt gibt es dafür ein eigenes Training zu den Zertifikatsdiensten, vor Ort oder Live-Online.
Passt dazu
- Active Directory absichern: Tier-Modell, privilegierte Konten und saubere Delegierung
- NTLM zurückdrängen und auf Kerberos umstellen
- SMB absichern: Signierung, Verschlüsselung und der Abschied von SMB1
- Neuen Domain Controller in eine bestehende Domäne aufnehmen