Grundlagen von Microsoft Cloud PKI

Microsoft Cloud PKI ist ein Feature der Intune Suite, mit dem Sie als IT-Experte Ihre Public Key-Infrastruktur (PKI) in der Cloud verwalten können. Sie können Ihre eigenen Zertifizierungsstellen (CAs) und Zertifikate erstellen, konfigurieren und verwalten, ohne eine lokale Infrastruktur installieren und warten zu müssen. Der Microsoft Cloud PKI-Dienst wird in Microsoft Entra ID und Microsoft Intune integriert, um Identitäts- und Geräteverwaltung für Ihre cloudbasierten Geräte und Apps bereitzustellen.

In diesem Artikel werden die PKI-Grundlagen und -Konzepte beschrieben, die Sie beim Konfigurieren von Microsoft Cloud PKI kennen müssen. Es wird empfohlen, alle Informationen zu überprüfen, bevor Sie den Microsoft Cloud PKI-Dienst in Ihrem Intune-Mandanten konfigurieren.

Typen von Zertifizierungsstellen

Eine Zertifizierungsstelle führt die folgenden Aufgaben aus:

• Überprüft die Identität eines Zertifikatanforderers
• Stellt Zertifikate für Anforderer aus
• Verwaltet Zertifikatsperrungen

Microsoft Cloud PKI unterstützt folgende Arten von Zertifizierungsstellen:

• Stammzertifizierungsstelle
• Ausstellende Zertifizierungsstelle

Stammzertifizierungsstelle

Eine Stammzertifizierungsstelle ist die oberste Zertifizierungsstelle in einer Zertifizierungsstellenhierarchie. In einer PKI fungiert die Stammzertifizierungsstelle als Vertrauenspunkt für Zertifikate, die von Zertifizierungsstellen in der Hierarchie ausgestellt wurden. Das Zertifikat gilt als vertrauenswürdig , wenn es über die CA-Hierarchie zu einer Stammzertifizierungsstelle zurückverfolgt werden kann, die von einem Benutzer, Computer, Netzwerkgerät oder Dienst als vertrauenswürdig eingestuft wird.

Eine Stammzertifizierungsstelle ist insofern einzigartig, als ihr Zertifikat selbst ausgestellt wird, d. h., der Ausstellername und der Antragstellername des Zertifikats enthalten denselben definierten Namen. Die einzige Möglichkeit, um zu überprüfen, ob ein Stammzertifikat gültig ist oder nicht, besteht darin, das Zertifikat der Stammzertifizierungsstelle in einen vertrauenswürdigen Stammspeicher einzuschließen. Der vertrauenswürdige Stammspeicher enthält das tatsächliche Zertifikat der Stammzertifizierungsstelle, um anzugeben, dass das Zertifikat als vertrauenswürdig eingestuft wird.

Die Stammzertifizierungsstelle kann Zertifikate für andere Zertifizierungsstellen oder für Benutzer, Computer, Netzwerkgeräte oder Dienste im Netzwerk ausstellen. Wenn die Stammzertifizierungsstelle ein Zertifikat für eine andere Entität ausstellt, signiert das Zertifikat der Stammzertifizierungsstelle das Zertifikat mit seinem privaten Schlüssel. Die Signatur schützt vor Inhaltsänderungen und gibt an, dass die Stammzertifizierungsstelle das Zertifikat ausgestellt hat.

Ausstellende Zertifizierungsstelle

Eine ausstellende Zertifizierungsstelle ist eine Zertifizierungsstelle, die einer anderen Zertifizierungsstelle untergeordnet ist und entweder:

• Ausstellen von Zertifikaten für andere Zertifizierungsstellen in der Zertifizierungsstellenhierarchie
• Ausstellen von Unterzertifikaten für eine Endentität wie Server, Dienst, Client oder Gerät.

Die ausstellende Zertifizierungsstelle kann auf jeder Ebene in der Zertifizierungsstellenhierarchie vorhanden sein, mit Ausnahme der Ebene der Stammzertifizierungsstelle.

Verkettung

Beim Verketten wird ermittelt, welcher Vertrauenspfad für ein bestimmtes Zertifikat am besten geeignet ist, das überprüft und als vertrauenswürdig eingestuft werden muss. Jedes Betriebssystem oder jeder Dienst führt diesen Berechnungsprozess aus, der allgemein als Zertifikatketten-Engine bezeichnet wird.

Der Prozess der Kettenerstellung besteht aus:

• Zertifikaterkennung: Suchen des Zertifikats der ausstellenden Zertifizierungsstelle eines End-Entity-Leaf-Zertifikats bis zum Zertifikat der vertrauenswürdigen Stammzertifizierungsstelle.
• Zertifikatüberprüfung: Erstellt alle möglichen Zertifikatsketten. Überprüft jedes Zertifikat in der Kette hinsichtlich verschiedener Parameter wie Name, Uhrzeit, Signatur, Sperrung und möglicherweise anderer definierter Einschränkungen.
• Gibt die Kette mit der besten Qualität zurück.

Wenn ein Zertifikat zur Überprüfung vorgelegt wird, durchläuft ein Zertifikatkettenmodul den Zertifizierungsspeicher und wählt die Zwischen- und Stammzertifikatkandidaten aus. Es kann mehr als ein Zwischenzertifikat erforderlich sein, um eine vollständige Kette zu bilden.

Das Zertifikatkettenmodul versucht, Zertifikate mithilfe des Subject Key Identifiers (SKI) und des Authority Key Identifiers (AKI) auszuwählen. Ein von einer Microsoft-Zertifizierungsstelle ausgestelltes Endentitätszertifikat enthält die AKI, sodass das Zertifikatkettenmodul ein Zwischenzertifikat mit einem übereinstimmenden SKI auswählen muss. Der Vorgang wird wiederholt, bis ein selbstsigniertes Zertifikat aufgelistet ist.

Prozess der Kettenvalidierung

Unter Windows gibt es drei Kettenvalidierungsprozesse: exakte Übereinstimmung, Schlüsselübereinstimmung und Namensübereinstimmung.

• Exakte Übereinstimmung: Wenn die AKI-Erweiterung den Antragsteller des Ausstellers, die Seriennummer des Ausstellers und die KeyID enthält, werden im Chain-Erstellungsprozess nur übergeordnete Zertifikate ausgewählt, die mit ihrem Antragsteller, ihrer Seriennummer und ihrer KeyID übereinstimmen.

• Schlüsselübereinstimmung: Wenn die AKI-Erweiterung nur die KeyID enthält, werden nur Zertifikate, die eine übereinstimmende KeyID in der SKI-Erweiterung (Subject Key Identifier) enthalten, als gültige Aussteller ausgewählt.

• Namensübereinstimmung: Ein Namensabgleich erfolgt, wenn keine Informationen im AKI vorhanden sind oder wenn die AKI-Erweiterung nicht im Zertifikat enthalten ist. In diesem Fall muss der Antragstellername des Ausstellerzertifikats mit dem Ausstellerattribut des aktuellen Zertifikats übereinstimmen.

Bei Zertifikaten, die keine SKI- und AKI-Felder enthalten, versucht das Verkettungsmodul, den Namensabgleich zu verwenden, um eine Kette zu erstellen. Wenn Sie über zwei Zertifikate mit demselben Namen verfügen, wird das neuere ausgewählt.

Die Zertifikatermittlung wird initiiert, wenn sich das unmittelbar übergeordnete Element nicht lokal auf dem Computer befindet. Der Client verwendet diesen Prozess, um fehlende übergeordnete Zertifikate abzurufen. Die im Feld "Zugriff auf Autoritätsinformationen" des Zertifikats angezeigten URLs werden analysiert und zum Abrufen übergeordneter CA-Zertifikate verwendet. Der Vorgang ähnelt dem Herunterladen von CRL.

Nachdem die Kette erstellt wurde, werden die folgenden Überprüfungen für jedes Zertifikat in der Kette durchgeführt:

• Überprüfen Sie, ob sie ordnungsgemäß formatiert und signiert ist. Führen Sie eine Hash-Prüfung des Zertifikats durch.
• Überprüfen Sie die Felder "Von" und "An" im Zertifikat, um sicherzustellen, dass es nicht abgelaufen ist.
• Überprüfen Sie, ob das Zertifikat gesperrt ist.
• Überprüfen Sie, ob die Kette in einem Zertifikat endet, das sich im vertrauenswürdigen Stammspeicher befindet.

Das Zertifikat und seine Kette werden nach Abschluss aller Prüfungen als gültig betrachtet und sind erfolgreich.

Eine Zertifikatkette mit einer sortierten Liste von Zertifikaten ermöglicht es der vertrauenden Seite, zu überprüfen, ob ein Absender vertrauenswürdig ist. Sie funktioniert in beide Richtungen, vom Client zum Server und vom Server zum Client.

Das folgende Diagramm zeigt den Ablauf der Validierung der Namensabgleichskette .

Stellen Sie eine Vertrauenskette sicher

Wenn Sie Zertifikate verwenden, um eine zertifikatbasierte Authentifizierung durchzuführen, müssen Sie sicherstellen, dass beide vertrauenden Parteien über die Vertrauenskette des CA-Zertifikats (öffentliche Schlüssel) verfügen. In diesem Fall sind die vertrauenden Seiten das von Intune verwaltete Gerät und der Authentifizierungszugriffspunkt, z. B. WLAN, VPN oder Webdienst.

Die Stammzertifizierungsstelle muss vorhanden sein. Wenn das ausstellende CA-Zertifikat nicht vorhanden ist, kann es von der vertrauenden Seite mithilfe des nativen Zertifikatkettenmoduls für die vorgesehene Betriebssystemplattform angefordert werden. Die vertrauende Seite kann das ausstellende CA-Zertifikat mithilfe der Eigenschaft "Zugriff auf Zertifizierungsstelleninformationen " des untergeordneten Zertifikats anfordern.

Zertifikatbasierte Authentifizierung

Dieser Abschnitt bietet ein grundlegendes Verständnis der verschiedenen Zertifikate, die verwendet werden, wenn ein Client oder ein Gerät eine zertifikatbasierte Authentifizierung durchführt.

Die folgenden Schritte beschreiben den Handshake, der zwischen einem Client und einem Dienst der vertrauenden Seite während der zertifikatbasierten Authentifizierung stattfindet.

1. Der Client sendet eine Form von Hello-Paket an die vertrauende Seite.
2. Die vertrauende Seite antwortet und gibt an, dass sie über sicheres TLS/SSL kommunizieren möchte. Der Client und die vertrauende Seite führen den SSL-Handshake aus, und ein sicherer Kanal wird eingerichtet.
3. Die vertrauende Seite fordert ein Zertifikat an, das für die Clientauthentifizierung verwendet werden soll.
4. Der Client präsentiert sein Clientauthentifizierungszertifikat der vertrauenden Seite zur Authentifizierung.

In einer Umgebung ohne Microsoft Cloud PKI ist eine private Zertifizierungsstelle für die Ausgabe des von der vertrauenden Seite verwendeten TLS/SSL-Zertifikats und des Geräteclientauthentifizierungszertifikats verantwortlich. Microsoft Cloud PKI kann zum Ausstellen des Geräteclientauthentifizierungszertifikats verwendet werden und ersetzt damit effektiv die private Zertifizierungsstelle für diese spezifische Aufgabe.