Réaliser un test de fonctionnement pour un organisme de certification

Auteur Uwe GradeneggerPublié le Catégories Test de fonctionnement, Autorité de certificationÉtiquettes , , , , ,

Après l'installation d'une autorité de certification, après la migration vers un nouveau serveur ou après des travaux de maintenance importants, un test fonctionnel complet doit être effectué afin de s'assurer que tous les composants de l'autorité de certification fonctionnent comme prévu.

Effectuer un test de fonctionnement

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Les étapes suivantes font partie d'un test de fonctionnement de l'autorité de certification :

  • Vérification de la connexion à la clé privée
  • Assurer le démarrage du service d'autorité de certification
  • Vérifier le journal des événements de l'autorité de certification
  • Tester la connexion à l'interface d'inscription de l'autorité de certification
  • Générer et vérifier le certificat d'échange d'autorités de certification
  • Publier un modèle de certificat sur l'autorité de certification
  • Demander un certificat à l'autorité de certification
  • Révoquer un certificat
  • Publier une liste de révocation de certificats
  • Vérifier à nouveau le certificat

Détails : vérification de la connexion à la clé privée

En particulier si un module de sécurité matériel est utilisé, il convient de vérifier en premier lieu si la connexion à celui-ci fonctionne et si le matériel de clé privée peut être utilisé par l'autorité de certification. La procédure à suivre est décrite dans l'article „Vérification de la connexion à la clé privée d'un certificat (par exemple, lors de l'utilisation d'un module de sécurité matériel)" décrit.

Détails : assurer le lancement du service d'autorité de certification

Ensuite, il convient de vérifier que le service d'autorité de certification démarre correctement.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Détails : vérification de l'indicateur d'événements de l'autorité de certification

Pour plus d'informations sur les différents événements, voir l'article „Aperçu des événements Windows générés par l'autorité de certification„ .

Tout d'abord, l'observateur d'événements de Windows sur l'autorité de certification doit être examiné pour tous les événements de l'autorité de certification qui pourraient indiquer une erreur. Pour cela, il existe dans l'Observateur d'événements une vue prédéfinie sous „Custom Views“ - „Server Roles“ - „Active Directory Certificate Services“, qui a déjà défini les filtres nécessaires sur l'Observateur d'événements.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Détails : tester la connexion à l'interface d'inscription de l'autorité de certification

Tout d'abord, il convient d'effectuer un test simple pour vérifier si les clients peuvent se connecter à l'autorité de certification. Cela peut être réalisé à l'aide de la commande de ligne de commande suivante :

certutil -config {ConfigString} -ping

La ConfigString désigne ici les informations de connexion à l'autorité de certification au format „{nom du serveur}\N{nom commun}“.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Détails : Générer et vérifier le certificat d'échange d'autorités de certification

Pour s'assurer que l'autorité de certification écrit les points de distribution de la liste de révocation (CRL Distribution Point, CDP), les informations d'accès à l'autorité (Authority Information Access, AIA) et les politiques de certificat dans les certificats émis, un certificat est nécessaire, dont le contenu est ensuite vérifié.

La vérification qui s'ensuit peut en principe être effectuée avec n'importe quel certificat délivré par l'autorité de certification. Le certificat d'échange de l'autorité de certification est toutefois idéal, car il est généré automatiquement par l'autorité de certification et peut être demandé par chaque utilisateur dans l'Active Directory. Il n'est donc pas nécessaire de créer une demande de certificat, ce qui est potentiellement compliqué.

Le certificat pour l'échange d'autorités de certification peut être généré à l'aide de la commande de ligne de commande suivante :

certutil -cainfo xchg > test.cer

La commande peut être exécutée directement sur l'autorité de certification, comme indiqué ci-dessus. Dans le cas d'une autorité de certification intégrée à Active Directory, elle peut également être exécutée par un autre membre du domaine si le commutateur -config est spécifié avec la chaîne Config (nom du serveur\Nnom commun) comme argument.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Le certificat créé à l'aide de cette commande peut maintenant être inspecté par un double-clic.

Les contenus suivants du certificat doivent être vérifiés :

  • Points de distribution de la liste de blocage
  • Accès aux informations sur les postes
  • Directives relatives aux certificats

Les adresses de points de distribution de listes de révocation (CRL Distribution Point, CDP), les informations d'accès aux informations d'autorité (Authority Information Access, AIA) indiquées dans le certificat peuvent ensuite être vérifiées à l'aide de la commande de ligne de commande suivante :

certutil -verify -urlfetch {Dateiname}.cer

Le commutateur -urlfetch contourne la mise en cache locale et entraîne une sortie en ligne de commande au lieu d'une interface graphique. Pour plus de détails, voir l'article „Consulter et supprimer le cache d'adresses des listes de blocage (CRL URL Cache)„ .

En raison du volume de la sortie, il est recommandé de rediriger la sortie de la ligne de commande vers un fichier texte.

Dans la sortie de la ligne de commande, on trouve le résultat de la vérification pour toutes les adresses de tous les certificats de la chaîne. Ceux-ci devraient tous avoir été vérifiés avec succès. Les erreurs sont signalées par un code d'erreur détaillé qui en décrit la cause.

A la fin de la sortie de la ligne de commande, on trouve les résultats des contrôles pour les directives de certificat, l'état de blocage et l'état de confiance (uniquement en cas d'erreur).

Détails : publier un modèle de certificat sur l'autorité de certification

Afin de vérifier les autorisations de l'autorité de certification sur son objet pKIEnrollmentService, et de pouvoir ensuite demander un certificat, un modèle de certificat devrait maintenant être publié sur l'autorité de certification.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Détails : demander un certificat à l'autorité de certification

Afin de vérifier que les politiques d'enregistrement des certificats sont correctement configurées et que l'autorité de certification peut signer les demandes de certificat, il convient maintenant de demander un certificat à partir du modèle de certificat publié précédemment.

Si l'autorité de certification s'est engagée dans la voie décrite dans l'article „Mettre une autorité de certification intégrée à Active Directory (Enterprise Certification Authority) en mode maintenance“Si l'objet utilisateur ou ordinateur est en mode maintenance, le droit „Request Certificates“ doit être accordé temporairement et explicitement à l'objet utilisateur ou ordinateur demandeur dans les paramètres de sécurité de l'autorité de certification, jusqu'à ce que le mode maintenance soit à nouveau quitté.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Détails : révoquer un certificat

Pour vérifier si la révocation d'un certificat est correctement reconnue par tous les participants du réseau, il convient de révoquer maintenant le certificat demandé précédemment. La procédure de révocation d'un certificat est expliquée dans l'article „Révocation d'un certificat délivré" décrit.

Détails : établir une liste de révocation de certificats

Après avoir révoqué le certificat, il est maintenant possible de tester la création d'une liste de révocation de certificats. La procédure pour établir une liste de révocation de certificats est décrite dans l'article „Création et publication d'une liste de révocation de certificats" décrit.

La liste de révocation des certificats devrait maintenant être créée et le numéro de série du certificat révoqué devrait à nouveau y figurer.

Si vous rencontrez des problèmes lors de cette étape, les articles suivants peuvent vous être utiles :

Détails : vérifier à nouveau le certificat

Le certificat révoqué devrait maintenant se trouver sur la liste de révocation et devrait être reconnu comme révoqué par les participants. Par conséquent, les étapes de vérification des adresses au sein du certificat décrites dans la section „Certificat d'échange d'autorités de certification généré et vérifié“ doivent maintenant être exécutées à nouveau.

Par mesure de sécurité, le cache local des informations de verrouillage doit être effacé au préalable, comme indiqué dans l'article „Consulter et supprimer le cache d'adresses des listes de blocage (CRL URL Cache) “ est décrit.

La révocation du certificat devrait maintenant être correctement détectée et signalée.

Si un répondeur en ligne est utilisé, celui-ci dispose d'une mémoire cache côté serveur, de sorte qu'il ne reflète la révocation du certificat que lorsque la liste de révocation précédente a expiré.

Liens complémentaires :

Les commentaires sont fermés.

fr_FRFrançais
de_DEDeutsch en_USEnglish fr_FRFrançais