Pour des raisons de sécurité, il peut être préférable de faire fonctionner le CEP avec un compte de service gMSA (Group Managed Service Account) plutôt qu'avec un compte de domaine normal. Cette option présente le charmant avantage de modifier automatiquement le mot de passe du compte et d'éviter ainsi de devoir effectuer cette opération manuellement, ce qui est malheureusement trop souvent oublié.
Continuer la lecture de « Den Certificate Enrollment Policy Web Service (CEP) für den Betrieb mit einem Group Managed Service Account (gMSA) konfigurieren »Utiliser l'assurance du mécanisme d'authentification (AMA) pour sécuriser la connexion des comptes administratifs
L'assurance du mécanisme d'authentification (AMA) est une fonction qui doit garantir qu'un utilisateur n'est membre d'un groupe de sécurité que s'il s'est connecté avec une méthode d'authentification forte (c'est-à-dire une carte à puce). Si l'utilisateur se connecte à l'aide d'un nom d'utilisateur et d'un mot de passe, il ne peut pas accéder aux ressources demandées.
Conçu à l'origine pour l'accès aux serveurs de fichiers, l'AMA peut toutefois être utilisé (avec quelques restrictions) pour la connexion administrative. Ainsi, il serait par exemple envisageable qu'un utilisateur soit non privilégié s'il se connecte avec un nom d'utilisateur et un mot de passe, et qu'il dispose de droits administratifs s'il se connecte avec un certificat.
Continuer la lecture de « Verwenden von Authentication Mechanism Assurance (AMA) für die Absicherung der Anmeldung administrativer Konten »La connexion via carte à puce échoue avec le message d'erreur "Signing in with a security device isn't supported for your account".
Supposons le scénario suivant :
- Un utilisateur dispose d'un Connexion par carte à puce et se connecte au domaine Active Directory avec ce certificat.
- La connexion échoue. Le message d'erreur suivant est renvoyé à l'utilisateur sur son ordinateur :
Signing in with a security device isn't supported for your account. For more info, contact your administrator.Continuer la lecture de « Die Anmeldung via Smartcard schlägt fehl mit Fehlermeldung „Signing in with a security device isn’t supported for your account.“ »
Consulter et supprimer le cache de la politique d'inscription des certificats (Enrollment Policy Cache) pour le Certificate Enrollment Policy Web Service (CEP)
Une fois qu'une politique d'enregistrement des certificats (Enrollment Policy) a été configurée et utilisée par un participant, les résultats sont mis en cache localement (Enrollment Policy Cache).
Si l'on procède maintenant à des modifications de l'infrastructure, par exemple en publiant ou en supprimant un nouveau modèle de certificat sur une autorité de certification accessible via le Certificate Enrollment Web Service (CES), ces modifications ne sont pas immédiatement visibles pour les participants en raison de la mise en mémoire tampon.
C'est pourquoi il peut être utile, dans certaines circonstances, de consulter ou d'effacer la mémoire tampon.
Continuer la lecture de « Den Zwischenspeicher für Zertifikatregistrierungsrichtlinien (Enrollment Policy Cache) für den Certificate Enrollment Policy Web Service (CEP) einsehen und löschen »Suppression d'une politique de demande de certificat (Enrollment Policy) configurée manuellement
Si vous travaillez avec les Certificate Enrollment Web Services et que vous inscrivez manuellement des politiques d'enregistrement de certificats (Enrollment Policies) sur des ordinateurs clients, vous êtes confronté au phénomène suivant : il n'existe aucune possibilité de les modifier ou de les supprimer dans la console de gestion des certificats.
Continuer la lecture de « Löschen einer manuell konfigurierten Zertifikatbeantragungs-Richtlinie (Enrollment Policy) »La création d'une politique d'enregistrement des certificats (Enrollment Policy) pour le Certificate Enrollment Policy Web Service (CEP) échoue avec le message d'erreur "This ID conflicts with an existing ID".
Supposons le scénario suivant :
- Un service web Certificate Enrollment Policy (CEP) est mis en œuvre sur le réseau.
- Une politique d'affiliation est configurée.
- Le test de connexion échoue avec le message d'erreur suivant :
The URI entered above has ID: "{{GUID}}". This ID conflicts with an existing ID.
Continuer la lecture de « Die Erstellung einer Zertifikatregistrierungsrichtlinie (Enrollment Policy) für den Certificate Enrollment Policy Web Service (CEP) schlägt fehl mit der Fehlermeldung „This ID conflicts with an existing ID.” » Bases de la demande de certificat via les Certificate Enrollment Web Services (CEP, CES) avec les protocoles MS-XCEP et MS-WSTEP
Avec Windows Server 2008 R2 et Windows 7, une nouvelle fonction a été introduite pour la demande de certificats : Les Certificate Enrollment Web Services, qui sont représentés par deux rôles de serveur :
- Service web de la politique d'inscription des certificats (CEP)
- Services Web d'inscription aux certificats (CES)
Ci-dessous, nous décrivons l'arrière-pensée de ces rôles, leur fonctionnement ainsi que les scénarios d'utilisation possibles.
Continuer la lecture de « Grundlagen Zertifikatbeantragung über Certificate Enrollment Web Services (CEP, CES) mit den Protokollen MS-XCEP und MS-WSTEP »Bases de la demande manuelle et automatique de certificats via le Lightweight Directory Access Protocol (LDAP) et Remote Procedure Call / Distributed Common Object Model (RPC/DCOM) avec le protocole MS-WCCE
Nous décrivons ci-dessous le processus qui se déroule en arrière-plan lors de la demande manuelle ou automatique de certificats afin d'atteindre le plus haut degré d'automatisation possible.
Continuer la lecture de « Grundlagen manuelle und automatische Zertifikatbeantragung über Lightweight Directory Access Protocol (LDAP) und Remote Procedure Call / Distributed Common Object Model (RPC/DCOM) mit dem MS-WCCE Protokoll »Exécution manuelle du processus d'auto-enrollment
Par défaut, tous les membres du domaine répliquent automatiquement l'objet Public Key Services de la structure globale d'Active Directory par le processus d'auto-enrollment. Les déclencheurs sont les suivants
- à l'ouverture de session de l'utilisateur (sur les ordinateurs, lorsque le compte de l'ordinateur se connecte, c'est-à-dire au démarrage du système)
- Par minuterie toutes les 8 heures.
- Lors d'une mise à jour de la stratégie de groupe, à condition qu'il y ait eu un changement.
Si l'on ne souhaite pas attendre que l'auto-enrollment soit déclenché automatiquement, il est également possible de le lancer manuellement. Les différentes manières d'exécuter le processus d'auto-enrollment sont décrites ci-dessous.
Continuer la lecture de « Manuelles Ausführen des Autoenrollment Prozesses »Associer un groupe de sécurité universel à un identifiant d'objet (OID) dans le service d'annuaire Active Directory (Authentication Mechanism Assurance)
L'assurance du mécanisme d'authentification (AMA) offre la possibilité de lier l'adhésion à un groupe de sécurité à l'inscription avec un certificat de carte à puce contenant un identifiant d'objet (OID) spécifique.
Si l'utilisateur ne se connecte pas avec son certificat de carte à puce, mais avec son nom d'utilisateur et son mot de passe, il n'est pas non plus membre du groupe de sécurité.
Ci-dessous, nous décrivons comment établir le lien entre le certificat et le groupe de sécurité.
Continuer la lecture de « Eine universelle Sicherheitsgruppe mit einem Object Identifier (OID) im Active Directory Verzeichnisdienst verbinden (Authentication Mechanism Assurance) »Configurer un modèle de certificat Secure Socket Layer (SSL) pour serveur web
Ci-dessous, des instructions pour la configuration d'un modèle de serveur web avec les paramètres recommandés.
Continuer la lecture de « Konfigurieren einer Secure Socket Layer (SSL) Zertifikatvorlage für Web Server »Noms distinctifs relatifs (RDN) autorisés dans le Subject Distinguished Name (DN) des certificats délivrés
En principe, le RFC 5280 l'utilisation de n'importe quelle chaîne de caractères dans le Subject Distinguished Name (DN) d'un certificat. Les champs courants sont, dans la norme X.520 sont décrits. Le site Des restrictions de longueur sont également recommandées par l'UIT-T. Les abréviations courantes d'aujourd'hui sont principalement issues du RFC 4519.
Cependant, par défaut, les Microsoft Active Directory Certificate Services n'autorisent que certains RDN.
Les noms distinctifs relatifs (RDN) suivants sont acceptés par défaut par l'autorité de certification Active Directory Certificate Services (ADCS) :
Continuer la lecture de « Erlaubte Relative Distinguished Names (RDNs) im Subject Distinguished Name (DN) ausgestellter Zertifikate »Inspecter une demande de certificat (CSR)
On souhaite souvent vérifier une demande de certificat avant de la transmettre à une autorité de certification - ou avant d'émettre le certificat - pour s'assurer qu'elle contient les valeurs souhaitées.
La manière d'y parvenir est décrite ci-dessous.
Continuer la lecture de « Eine Zertifikatanforderung (CSR) inspizieren »Modifier ultérieurement le Subject Distinguished Name (DN) d'une demande de certificat (CSR)
Il est parfois nécessaire de modifier le Subject Distinguished Name (également appelé Subject, Subject DN, demandeur ou sujet) d'une demande de certificat avant l'émission du certificat.
Dans certaines circonstances, cela est tout à fait possible, comme décrit ci-dessous.
Continuer la lecture de « Den Subject Distinguished Name (DN) einer Zertifikatanforderung (CSR) nachträglich verändern »Configurer un modèle de certificat pour Authentication Mechanism Assurance (AMA)
L'assurance du mécanisme d'authentification (AMA) offre la possibilité de lier l'adhésion à un groupe de sécurité à l'inscription avec un certificat de carte à puce contenant un identifiant d'objet (OID) spécifique.
Si l'utilisateur ne se connecte pas avec son certificat de carte à puce, mais avec son nom d'utilisateur et son mot de passe, il n'est pas non plus membre du groupe de sécurité.
Ci-dessous, nous décrivons comment générer un modèle de certificat à utiliser avec l'assurance du mécanisme d'authentification.
Continuer la lecture de « Konfigurieren einer Zertifikatvorlage für Authentication Mechanism Assurance (AMA) »
Français 
Deutsch 
English