Interne certifikater fra Windows CA

Forbind jeres Windows CA, så interne certifikater bliver udstedt, fornyet og installeret automatisk.

Certifikater til interne navne

Windows CA er en certifikatkilde af typen Intern CA og bruges fx til intranet.firma.local.

Det skal I bruge

Enterprise med tilkøbet Windows CA.
En godkendt service-agent på en Windows-server, der kan nå CA’en.
En udgivet certifikattemplate med Supply in the request. Computerkontoen for service-agentens server skal have Read og Enroll på templaten.

Forbind CA’en, og opret installationsplanen

Åbn Certifikater › Kilder › Tilføj certifikatkilde, og vælg Windows CA.
Giv certifikatkilden et Navn, og vælg Service-agent.
Klik på Find CA’er via agenten, og vælg jeres CA under CA-konfiguration (Server\CA-navn). Vent på svaret fra service-agenten.
Klik på Hent templates via agenten, og vælg den udgivne Template. Begræns Nøgletyper til dem, templaten accepterer.
Klik på Næste, vælg Interne navne under Brug til, og klik på Test og gem.
Åbn serverens Opret installationsplaner automatisk. Kontrollér, at de interne navne bruger jeres interne certifikatkilde, og klik på Opret og start N installationsplaner.

Kontrollér, at det virker

Når installationsplanen har bestilt certifikatet, viser kilden Windows CA-anmodning med status Udstedt og Request ID på CA’en. Samme Request ID står under Issued Certificates i CA-konsollen.

Kontrollér derefter, at tjenesten leverer certifikatet, som i trin 8.

Hvis det fejler

Modulet mangler → få en administrator til at vælge Aktivér modul og genstart. Efter login fortsætter I med Fortsæt opsætning på certifikatkilden.
Listen over CA’er er tom → skriv CA-konfigurationen som server.firma.local\Firma CA. Mangler templaten, skriver I dens navn, fx WebServer, ikke visningsnavnet.
CA’en nægter adgang eller afviser templaten → giv computerkontoen Read og Enroll, og udgiv templaten på CA’en. Standardtemplaten WebServer giver ikke almindelige computerkonti Enroll.
Status er Afventer godkendelse → godkend anmodningen under Pending Requests på CA’en. Kilden kontrollerer den hvert 15. minut.
Kilden viser Sidste anmodning fejlede → læs årsagen dér og under Failed Requests på CA’en. Hvis service-agenten ikke svarer, kontrollér tjenesten sslbrainagent på serveren, og opdatér service-agenten, hvis opgaven afvises.
Klienten stoler ikke på certifikatet → sørg for, at klienten stoler på jeres interne CA, fx via gruppepolitik.

Brug certifikatprofilen til interne navne

Valget Brug til › Interne navne sætter certifikatprofilen op. Tilpas kildernes rækkefølge og nøglekrav under Certifikater › Profiler (certifikatprofiler). En template af schema version 1 tager kun RSA.

Appliancen laver den private nøgle og certifikatanmodningen. Service-agenten sender kun anmodningen til CA’en. Nøglen sendes til serveren, når installationsplanen installerer certifikatet.