ИТ-архитектура от А до Я: Комплексное решение. Первое издание. Вадим Алджанов

Чтение книги онлайн.

      Установка

      Установка серверов (PKI-PDC-CA, PKI-PDC-IS01, PKI-PDC-OCSR01)

      Сервер PKI-PDC-CA:

      •Добавление роли Active Directory Certificate Services – Certificate Authority

      •Настройка CA (с правами локального администратора, Standalone CA, Root CA,)

      •Создаем новый ключ (RSA # Microsoft Software Key Storage Provider, Key length = 4096, Hash algorithm = SHA256)

      •Указываем имя CA:

      Common Name: HOLDING-PKI-ROOT-CA

      Distinguish Name Prefix: DC=HOLDING, DC=local

      Preview Distinguish Name: CN=HOLDING-PKI-ROOT-CA, DC=HOLDING, DC=local

      Период действия = 5 лет. (Если период действия 20 лет, то необходимо изменить значение регистра: KLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\CAName

      •Так как CA Offline, то добавляем две команды PowerShell (чтобы проверка CRL и AIA была на сервере PKI-PDC-OCSR01. Добавляет в регистр значения для alias проверки):

      certutil. exe -setreg ca\DSConfigDN «CN=configuration, DC=MYCOMPANY, DC=local»

      certutil. exe -setreg ca\DSDomainDN «DC=MYCOMPANY, DC=local»

      •Настройки Extensions CA certificate (PKI-ROOT-CA -> Properties -> Extensions). Удаляем все записи и добавляем:

      CRL Distribution Point (CDP): http://pki.mycompany.local/cdp/<CaName><CRLNameSuffix>.CRL

      •Check: Include in CDP extension of issue certificates

      Authority Information Access (AIA): http://pki.mycompany.local/aia/<CaName><CertificateName>.CRT

      •Check: Include in the AIA extension of issue certificates

      •Перезапуск сервиса

      •Меняем период публикации CRL publication interval to 5 years (Revoked Certificate -> Properties ->)

      •Публикуем Certificate Revocation List (CRL)

      По умолчанию CRL и AIA располагаются в директории: c:\Windows\system32\CertSrv\CertEnroll