Exploitation de l'autorité de certification sans module de sortie

Lorsqu'une autorité de certification est installée, le module de sortie "Windows Default" est automatiquement activé. Celui-ci permet d'envoyer des messages électroniques lors de certains événements de l'autorité de certification. La plupart des entreprises n'utilisent cependant pas du tout cette fonction.

Aber auch wenn das Exit Modul überhaupt nicht verwendet wird, verursacht es Sitzungen auf der Zertifizierungsstellen-Datenbank (siehe Événement n° 46). Sur les autorités de certification à forte charge cela peut être problématique.

Si les fonctions qu'il offre ne sont pas du tout utilisées (unter Windows Server Core funktioniert das „Windows Default“ Exit Modul grundsätzlich nicht), il peut aussi être complètement désactivé.

Un exemple de projet pour la création de son propre module de sortie se trouve dans l'article "Créer un module de sortie pour l'autorité de certification dans C#". Il est ainsi possible de développer un module de sortie avec des fonctionnalités adaptées à ses besoins.

Procédure

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Désactiver le module Exit (console de gestion des autorités de certification)

Zum deaktivieren des Exit Moduls muss es lediglich aus der Konfiguration der Zertifizierungsstelle entfernt werden.

Ensuite, il faut à nouveau redémarrer le service d'autorité de certification pour appliquer les modifications.

In der Registrierung der Zertifizierungsstelle ist die Konfiguration des aktiven Exit Moduls in folgendem Pfad hinterlegt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\{Common-Name-der-Zertifizierungsstelle}\ExitModules

Si aucun module de sortie n'est configuré, la valeur "Active" est vide.

Désactiver le module Exit (PowerShell)

L'objectif peut également être atteint très facilement via PowerShell :

$Root = "HKLM:\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration"
$CaName = (Get-ItemProperty -Path $Root -Name Active).Active
Clear-ItemProperty -Path "$Root\$CaName\ExitModules" -Name Active

Exit Modul wieder aktivieren

Contrairement aux modules Policy, il est également possible - si disponible - d'activer plusieurs modules Exit en même temps.

Ensuite, il faut à nouveau redémarrer le service d'autorité de certification pour appliquer les modifications.

Dans le registre, la valeur "Active" est à nouveau remplie en conséquence.

Liens complémentaires :

• Le module SMTP Exit ne fonctionne pas sur Windows Server Core
• L'émission de certificats ou de listes de révocation échoue avec le code d'erreur CERTSRV_E_NO_DB_SESSIONS
• Créer un module de sortie pour l'autorité de certification dans C#

Sources externes

• Modules de sortie - Win32 apps (Microsoft)
• Écriture de modules de sortie personnalisés - Win32 apps (Microsoft)
• Gestion de la politique et des modules de sortie (Microsoft)
• Sélectionner un module de sortie différent (Microsoft)
• Architecture des services de certification (Microsoft)