Erneuern einer Zertifizierungsstelle in Cloud-PKI

Microsoft Cloud PKI unterstützt das Erneuern von Zertifizierungsstellen (Certificate Authorities, CAs), um Ihnen dabei zu helfen, eine kontinuierliche Zertifikatsausstellung aufrechtzuerhalten und Dienstunterbrechungen zu vermeiden, wenn sich Zertifikate dem Ablauf nähern.

Bei der CA-Erneuerung wird ein neues CA-Zertifikat mit aktualisiertem kryptografischem Material erstellt, während der Zugriff auf Zertifikate und Zertifikatsperrlisten (Certificate Revocation Lists, CRLs) beibehalten wird, die von früheren CA-Versionen ausgestellt wurden.

Dieser Artikel bietet eine Übersicht darüber, wie die CA-Verlängerung funktioniert, wann eine Verlängerung verfügbar ist und was während des Verlängerungslebenszyklus zu erwarten ist.

Voraussetzungen

Um eine Zertifizierungsstelle in der Cloud-PKI zu erneuern, stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllen:

So funktioniert es

Beim Erneuern einer Zertifizierungsstelle wird ein neues CA-Zertifikat mit einem neuen öffentlichen/privaten Schlüsselpaar ausgestellt. Die erneuerte Zertifizierungsstelle verlängert die Lebensdauer der Zertifizierungsstelle über das Ablaufdatum des ursprünglichen Zertifikats hinaus. Zu den wichtigsten Merkmalen der CA-Verlängerung gehören:

• Während der Erneuerung wird immer ein neues Schlüsselpaar generiert.
• Vorhandene öffentliche/private Schlüsselpaare können nicht wiederverwendet werden.
• Zertifikate und CRLs, die von früheren CA-Versionen ausgestellt wurden, bleiben nach der Erneuerung verfügbar.
• Die Verlängerung kann mithilfe des Intune Admin Centers oder Microsoft Graph durchgeführt werden.

Cloud-PKI verwendet ein gestaffeltes Verlängerungsmodell, mit dem Sie eine erneuerte Zertifizierungsstelle überprüfen können, bevor Sie sie aktivieren. Der Erneuerungsprozess umfasst drei Hauptschritte:

Benennung und Versionsverwaltung von Erneuerungen

Bei jeder Verlängerung der Zertifizierungsstelle wird die CA-Version erhöht und der Anzeigename der Zertifizierungsstelle aktualisiert, um diese Version widerzuspiegeln.

Wenn eine ausstellende Zertifizierungsstelle erneuert wird, fügt Intune ein Versionssuffix im folgenden Format an den Anzeigenamen der Zertifizierungsstelle an: (V#.0). Bei jeder Verlängerung wird die Versionsnummer um 1 erhöht.

Beispiele:

• Vor der Verlängerung: Contoso-PKI-Issuing-CA
• Nach der ersten Verlängerung: Contoso-PKI-Issuing-CA (V2.0)
• Nach der zweiten Verlängerung: Contoso-PKI-Issuing-CA (V3.0)

Das Versionssuffix wird zum Erneuerungszeitpunkt angewendet und wird zum CA-Objektnamen, der in Intune verwendet wird.

Überprüfen der Details einer Zertifizierungsstelle

So überprüfen Sie die Details einer Zertifizierungsstelle in Cloud PKI:

1. Wählen Sie im Microsoft Intune Admin CenterCloud-PKI für die Mandantenverwaltung> aus.
   • In der Liste der Zertifizierungsstellen gibt das Feld Erneuerung an, ob eine Aktion erforderlich ist oder der aktuelle Status der CA-Erneuerung.
2. Wählen Sie eine Zertifizierungsstelle aus.
   • Die Registerkarte "Überwachen " bietet eine Übersicht über die Aktivität einer ausstellenden Zertifizierungsstelle, einschließlich der Anzahl aktiver, abgelaufener und widerrufener Zertifikate.
   • Die Registerkarte Eigenschaften zeigt den aktuellen Status, die aktive Version und die Einstellungen der Zertifizierungsstelle an. Zu den Details auf dieser Registerkarte gehören:
     • Name
     • Beschreibung
     • Status
     • CA-Version
     • Seriennummer
     • Thumbprint
     • CA-Typ
     • CA-Schlüssel
     • Erweiterte Schlüsselverwendungen
     • Gültigkeitsdauer
     • Ablauf
     • Common Name (CN)
     • Organisation (O)
     • Organisationseinheit
     • Land (C)
     • State or province (ST)
     • Ortschaft (L)
     • Schlüsselgröße und Algorithmus
     • CRL-Verteilungspunkt
     • SCEP-URI
     • Zertifikat herunterladen (öffentlicher Schlüssel)
   • Die Registerkarte "Versionen " zum Nachverfolgen und Verwalten von bereitgestellten und früheren CA-Versionen. Zu den Details auf dieser Registerkarte gehören:
     • Eine Liste der aktuellen und früheren CA-Versionen
     • Ein dedizierter Bereich mit Details zu jeder CA-Version, einschließlich der Optionen zum Aktivieren oder Widerrufen einer gestaffelten CA.

Erneuern einer Zertifizierungsstelle

Zum Erneuern einer Zertifizierungsstelle in Cloud PKI unterscheiden sich die Schritte, je nachdem, ob Sie eine von Intune verwaltete Zertifizierungsstelle oder eine Bring-Your-Own-CA-Bereitstellung verwenden. Wählen Sie die Registerkarte für Ihr Szenario aus:

Verwenden Sie die gestaffelte Zertifizierungsstelle (CA) und ihren temporären SCEP-URI, um die Zertifikatsausstellung vor der Aktivierung zu überprüfen. Erstellen Sie ein SCEP-Profil und weisen Sie es Testgruppen mithilfe des bereitgestellten SCEP-URI zu. Entfernen Sie nach Abschluss der Überprüfung das SCEP-Testprofil.

Die gestaffelte Zertifizierungsstelle ist bis zu 90 Tage lang verfügbar. Wenn sie nicht innerhalb dieses Zeitraums aktiviert wird, wird sie inaktiv und nach einer weiteren 30-tägigen Nachfrist gelöscht.

Aktivieren einer gestaffelten Zertifizierungsstelle

Der letzte Schritt im Erneuerungsprozess besteht darin, die gestaffelte Zertifizierungsstelle zu aktivieren.

So aktivieren Sie eine Zertifizierungsstelle in Cloud PKI:

1. Wählen Sie im Microsoft Intune Admin CenterCloud-PKI für die Mandantenverwaltung> aus.
2. Wählen Sie die bereitgestellte Zertifizierungsstelle aus, die Sie aktivieren möchten.
3. Wählen Sie die Registerkarte "Versionen " aus.
4. Wählen Sie in der Liste der CA-Versionen die Zertifizierungsstelle mit dem gestaffelten status aus.
5. Wählen Sie im Detailbereich "Aktivieren" aus.

Nach der Aktivierung wird der bereitgestellte SCEP-URI entfernt, und die vorherige CA-Version wird zurückgezogen.

Widerrufen einer gestaffelten Zertifizierungsstelle

Falls Sie eine bereitgestellte Zertifizierungsstelle vor der Aktivierung kündigen müssen, können Sie sie widerrufen.

1. Wählen Sie im Microsoft Intune Admin CenterCloud-PKI für die Mandantenverwaltung> aus.
2. Wählen Sie die bereitgestellte Zertifizierungsstelle aus, die Sie aktivieren möchten.
3. Wählen Sie die Registerkarte "Versionen " aus.
4. Wählen Sie in der Liste der CA-Versionen die Zertifizierungsstelle mit dem gestaffelten status aus.
5. Wählen Sie im Detailbereich Widerrufen aus.

Benachrichtigungen bezüglich Erneuerung der Zertifizierungsstelle und Status

Das Intune Admin Center stellt Benachrichtigungen zu Verlängerungen und den Status bereit, damit Sie CAs nachverfolgen können, wenn sie sich dem Ablauf nähern.

Banner für die Zertifikaterneuerung

Eine Zertifizierungsstelle kann erneuert werden, wenn sie auf halbem Weg zum Ablauf (Halbwertszeit) ist. Die folgende Tabelle zeigt die Erneuerungsbanner, die in der Cloud-PKI-Liste der Intune-Verwaltungskonsole basierend auf der Anzahl der Tage vor Ablauf angezeigt werden.

Symbol	Banner für Erneuerungen	Beschreibung
	Auf halbem Weg zum Ablaufdatum	Die Zertifizierungsstelle läuft auf halbem Weg ab. Dies markiert den Mittelpunkt des Lebenszyklus der Zertifizierungsstelle. Überprüfen Sie Ihren Verlängerungsplan basierend auf der PKI-Richtlinie Ihrer organization.
	6 Monate verbleibend	Die Zertifizierungsstelle läuft in 6 Monaten ab. Verlängern Sie jetzt, um sicherzustellen, dass die Zertifikatsausstellung für SCEP, WLAN, VPN und E-Mail fortgesetzt wird.
	90 Tage	Die Zertifizierungsstelle läuft in 90 Tagen ab. Verlängern Sie jetzt, um sicherzustellen, dass die Zertifikatsausstellung für SCEP, WLAN, VPN und E-Mail fortgesetzt wird.
	30 Tage	Die Zertifizierungsstelle läuft in 30 Tagen ab. Ohne Verlängerung könnte die Ausstellung neuer Zertifikate fehlschlagen. Vorhandene Zertifikate bleiben gültig, bis sie ablaufen. Verlängern Sie jetzt, um die Zustellung von Gerätezertifikaten beizubehalten.
	Abgelaufen	Zertifizierungsstelle abgelaufen. Zertifikate werden nicht mehr ausgestellt. Erneuern oder erstellen Sie eine neue Zertifizierungsstelle, um die Zertifikatsausstellung wiederherzustellen.

Werte für den Status der Zertifizierungsstelle

Die Cloud-PKI-Zertifizierungsstellenliste enthält ein Feld "Status ", das den aktuellen Lebenszyklusstatus der Zertifizierungsstelle angibt.

Die Cloud-PKI-Zertifizierungsstellenliste enthält ein Feld "Erneuerung", das den Verlängerungsstatus der Zertifizierungsstelle angibt.

Wenn Sie eine Zertifizierungsstelle aus der Liste öffnen, wird auf der Registerkarte "Versionen " eine Liste der aktuellen und früheren Zertifizierungsstellen angezeigt. Das Feld Status gibt den Lebenszyklusstatus der einzelnen Elemente an.