Planen von PKI-Zertifikaten im Configuration Manager

Gilt für: Configuration Manager (Current Branch)

Configuration Manager verwendet digitale Zertifikate auf Basis der Public Key-Infrastruktur (PKI), sofern verfügbar. Die Verwendung dieser Zertifikate wird zur Erhöhung der Sicherheit empfohlen, ist jedoch für die meisten Szenarien nicht erforderlich. Sie müssen diese Zertifikate unabhängig vom Configuration Manager bereitstellen und verwalten.

Dieser Artikel enthält Informationen zu PKI-Zertifikaten im Configuration Manager, die Sie bei der Planung Ihrer Implementierung unterstützen. Allgemeinere Informationen zur Verwendung von Zertifikaten in Configuration Manager finden Sie unter Zertifikate in Configuration Manager.

Sperrung von PKI-Zertifikaten

Wenn Sie PKI-Zertifikate mit dem Configuration Manager verwenden, sollten Sie die Verwendung einer Zertifikatsperrliste (Certificate Revocation List, CRL) einplanen. Geräte verwenden die Zertifikatssperrliste zum Überprüfen des Zertifikats auf dem Computer, mit dem die Verbindung hergestellt wird. Die Zertifikatssperrliste ist eine Datei, die von einer Zertifizierungsstelle erstellt und signiert wird. Sie enthält eine Liste der Zertifikate, die die Zertifizierungsstelle ausgestellt, aber widerrufen hat. Wenn ein Zertifikatsadministrator Zertifikate widerruft, wird sein Fingerabdruck der Zertifikatsperrliste hinzugefügt. Beispielsweise, wenn bekannt ist oder vermutet wird, dass ein ausgestelltes Zertifikat kompromittiert ist.

IIS überprüft die CRL immer auf Clientzertifikate, und Sie können diese Konfiguration im Configuration Manager nicht ändern. Standardmäßig überprüfen Configuration Manager-Clients immer die CRL für Standortsysteme. Deaktivieren Sie diese Einstellung, indem Sie eine Websiteeigenschaft und eine CCMSetup-Eigenschaft angeben.

Computer, die die Zertifikatsperrüberprüfung verwenden, aber die Zertifikatsperrliste nicht finden können, verhalten sich so, als wären alle Zertifikate in der Zertifizierungskette gesperrt. Das Verhalten liegt daran, dass sie nicht überprüfen können, ob sich die Zertifikate in der Zertifikatsperrliste befinden. In diesem Szenario schlagen alle Verbindungen fehl, für die Zertifikate erforderlich sind und die CRL-Überprüfung enthalten. Wenn Sie überprüfen, ob auf Ihre CRL zugegriffen werden kann, indem Sie zu ihrem HTTP-Speicherort navigieren, ist es wichtig zu beachten, dass der Configuration Manager-Client als LOKALES SYSTEM ausgeführt wird. Das Testen der CRL-Barrierefreiheit mit einem Webbrowser in einem Benutzerkontext kann erfolgreich sein, aber das Computerkonto wird möglicherweise blockiert, wenn versucht wird, eine HTTP-Verbindung mit derselben CRL-URL herzustellen. Beispielsweise kann es aufgrund einer internen Webfilterlösung wie z. B. eines Proxys blockiert werden. Fügen Sie die CRL-URL zur Liste genehmigter Webfilterlösungen hinzu.

Die CRL jedes Mal, wenn ein Zertifikat verwendet wird, bietet mehr Sicherheit gegen die Verwendung eines gesperrten Zertifikats. Dies führt zu einer Verbindungsverzögerung und mehr Verarbeitung auf dem Client. Ihre organization erfordert diese Sicherheitsüberprüfung möglicherweise für Clients im Internet oder in einem nicht vertrauenswürdigen Netzwerk.

Konsultieren Sie Ihre PKI-Administratoren, bevor Sie entscheiden, ob Configuration Manager-Clients die CRL überprüfen müssen. Wenn beide der folgenden Bedingungen zutreffen, sollten Sie diese Option im Configuration Manager aktiviert lassen:

• Ihre PKI-Infrastruktur unterstützt eine CRL, und sie wird dort veröffentlicht, wo alle Configuration Manager-Clients sie finden können. Zu diesen Clients können Geräte im Internet und solche in nicht vertrauenswürdigen Gesamtstrukturen gehören.

• Die Anforderung, die CRL für jede Verbindung mit einem Standortsystem zu überprüfen, das für die Verwendung eines PKI-Zertifikats konfiguriert ist, ist größer als die folgenden Anforderungen:

  • Schnellere Verbindungen
  • Effiziente Verarbeitung auf dem Client
  • Das Risiko, dass Clients keine Verbindung mit Servern herstellen können, wenn sie die Zertifikatsperrliste nicht finden können

Vertrauenswürdige PKI-Stammzertifikate

Wenn Ihre IIS-Standortsysteme PKI-Clientzertifikate für die Clientauthentifizierung über HTTP oder für die Clientauthentifizierung und -verschlüsselung über HTTPS verwenden, müssen Sie möglicherweise Stammzertifizierungsstellenzertifikate als Standorteigenschaft importieren. Dies sind die beiden Szenarien:

• Sie stellen Betriebssysteme mithilfe von Configuration Manager bereit, und die Verwaltungspunkte akzeptieren nur HTTPS-Clientverbindungen.

• Sie verwenden PKI-Clientzertifikate, die nicht mit einem Stammzertifikat verkettet sind, dem die Verwaltungspunkte vertrauen.

  Hinweis

  Wenn Sie Client-PKI-Zertifikate aus derselben CA-Hierarchie ausstellen, die auch die Serverzertifikate ausstellt, die Sie für Verwaltungspunkte verwenden, müssen Sie dieses Zertifikat der Stammzertifizierungsstelle nicht angeben. Wenn Sie jedoch mehrere Zertifizierungsstellenhierarchien verwenden und nicht sicher sind, ob sie sich gegenseitig vertrauen, importieren Sie die Stammzertifizierungsstelle für die Zertifizierungsstellenhierarchie der Kunden.

Wenn Sie Stammzertifizierungsstellenzertifikate für Configuration Manager importieren müssen, exportieren Sie diese von der ausstellenden Zertifizierungsstelle oder vom Clientcomputer. Wenn Sie das Zertifikat von der ausstellenden Zertifizierungsstelle exportieren, die gleichzeitig die Stammzertifizierungsstelle ist, exportieren Sie nicht den privaten Schlüssel. Speichern Sie die exportierte Zertifikatdatei an einem sicheren Ort, um Manipulationen zu verhindern. Sie benötigen Zugriff auf die Datei, wenn Sie die Website einrichten. Wenn Sie über das Netzwerk auf die Datei zugreifen, stellen Sie sicher, dass die Kommunikation mit IPsec vor Manipulationen geschützt ist.

Wenn ein importiertes Zertifikat der Stammzertifizierungsstelle erneuert wurde, importieren Sie das erneuerte Zertifikat.

Diese importierten Stammzertifizierungsstellenzertifikate und das Zertifikat der Stammzertifizierungsstelle jedes Verwaltungspunkts erstellen die Liste der Zertifikataussteller. Configuration Manager-Computer verwenden diese Liste auf folgende Weise:

• Wenn Clients eine Verbindung mit Verwaltungspunkten herstellen, überprüft der Verwaltungspunkt, ob das Clientzertifikat mit einem vertrauenswürdigen Stammzertifikat in der Zertifikatausstellerliste des Standorts verkettet ist. Ist dies nicht der Fall, wird das Zertifikat abgelehnt, und die PKI-Verbindung schlägt fehl.

• Wenn Clients ein PKI-Zertifikat auswählen und über eine Liste von Zertifikatausstellern verfügen, wählen sie ein Zertifikat aus, das mit einem vertrauenswürdigen Stammzertifikat in der Liste der Zertifikataussteller verkettet ist. Wenn es keine Übereinstimmung gibt, wählt der Client kein PKI-Zertifikat aus. Weitere Informationen finden Sie unter Auswahl von PKI-Clientzertifikaten.

Auswahl des PKI-Clientzertifikats

Wenn Ihre IIS-Standortsysteme PKI-Clientzertifikate für die Clientauthentifizierung über HTTP oder für die Clientauthentifizierung und -verschlüsselung über HTTPS verwenden, planen Sie, wie Windows-Clients das Zertifikat auswählen, das für den Configuration Manager verwendet werden soll.

In vielen Fällen sind die Standardkonfiguration und das Standardverhalten ausreichend. Der Configuration Manager Client auf Windows-Computern filtert mehrere Zertifikate anhand der folgenden Kriterien in dieser Reihenfolge:

1. Liste der Zertifikataussteller: Das Zertifikat ist mit einer Stammzertifizierungsstelle verknüpft, der vom Verwaltungspunkt vertraut wird.

2. Das Zertifikat befindet sich im Standardzertifikatspeicher von Persönlich.

3. Das Zertifikat ist gültig, nicht gesperrt und nicht abgelaufen. Die Gültigkeitsprüfung überprüft auch, ob auf den privaten Schlüssel zugegriffen werden kann.

4. Das Zertifikat verfügt über eine Clientauthentifizierungsfunktion.

5. Der Antragstellername des Zertifikats enthält den Namen des lokalen Computers als Teilzeichenfolge.

6. Das Zertifikat hat die längste Gültigkeitsdauer.

Konfigurieren Sie Clients mithilfe der folgenden Mechanismen für die Verwendung der Liste der Zertifikataussteller:

• Veröffentlichen Sie es mit Configuration Manager-Standortinformationen in Active Directory Domain Services.

• Installieren von Clients mithilfe von Clientpush

• Clients laden sie vom Verwaltungspunkt herunter, nachdem sie ihrer Website erfolgreich zugewiesen wurden.

• Geben Sie es bei der Clientinstallation als CCMSetup client.msi Eigenschaft von CCMCERTISSUERS an.

Wenn Clients bei der Erstinstallation nicht über die Liste der Zertifikataussteller verfügen und der Website noch nicht zugewiesen sind, überspringen sie diese Überprüfung. Wenn Clients über die Liste der Zertifikataussteller und nicht über ein PKI-Zertifikat verfügen, das mit einem vertrauenswürdigen Stammzertifikat in der Liste der Zertifikataussteller verkettet ist, schlägt die Zertifikatauswahl fehl. Clients fahren nicht mit den anderen Zertifikatauswahlkriterien fort.

In den meisten Fällen identifiziert der Configuration Manager Client ein eindeutiges und geeignetes PKI-Zertifikat ordnungsgemäß. Wenn dieses Verhalten nicht der Fall ist, können Sie zwei alternative Auswahlmethoden einrichten, anstatt das Zertifikat basierend auf der Clientauthentifizierungsfunktion auszuwählen:

• Eine partielle Zeichenfolgenübereinstimmung für den Antragstellernamen des Clientzertifikats. Bei dieser Methode wird die Groß-/Kleinschreibung nicht beachtet. Dies ist sinnvoll, wenn Sie den vollqualifizierten Domänennamen (FQDN) eines Computers im Feld "Betreff" verwenden und die Zertifikatauswahl auf dem Domänensuffix basieren soll, z. B. contoso.com. Sie können diese Auswahlmethode verwenden, um eine beliebige Zeichenfolge sequenzieller Zeichen im Namen des Zertifikatantragstellers zu identifizieren, die das Zertifikat von anderen im Clientzertifikatspeicher unterscheidet.

  Hinweis

  Sie können die partielle Zeichenfolgenübereinstimmung mit dem alternativen Antragstellernamen (SAN) nicht als Standorteinstellung verwenden. Sie können zwar eine partielle Zeichenfolgenübereinstimmung für das SAN mithilfe von CCMSetup angeben, diese wird jedoch in den folgenden Szenarien von den Standorteigenschaften überschrieben:

  • Clients rufen Standortinformationen ab, die in Active Directory Domain Services veröffentlicht wurden.
  • Clients werden mithilfe der Clientpushinstallation installiert.

  Verwenden Sie eine partielle Zeichenfolgenübereinstimmung im SAN nur, wenn Sie Clients manuell installieren und wenn diese keine Standortinformationen aus Active Directory Domain Services abrufen. Diese Bedingungen gelten beispielsweise für Nur-Internet-Clients.

• Eine Übereinstimmung mit den Attributwerten für den Antragstellernamen des Clientzertifikats oder dem SAN-Attribut (Subject Alternative Name). Bei dieser Methode wird die Groß-/Kleinschreibung beachtet. Dies ist sinnvoll, wenn Sie einen X500 Distinguished Name oder gleichwertige Objektbezeichner (OIDs) gemäß RFC 3280 verwenden und die Zertifikatauswahl auf den Attributwerten basieren soll. Sie können nur die Attribute und deren Werte angeben, die Sie benötigen, um das Zertifikat eindeutig zu identifizieren oder zu validieren und das Zertifikat von anderen Zertifikaten im Zertifikatspeicher zu unterscheiden.

Die folgende Tabelle zeigt die Attributwerte, die Configuration Manager für die Auswahlkriterien des Clientzertifikats unterstützt:

Wenn nach der Anwendung der Auswahlkriterien mehr als ein entsprechendes Zertifikat gefunden wird, können Sie die Standardkonfiguration außer Kraft setzen, um das Zertifikat mit der längsten Gültigkeitsdauer auszuwählen. Stattdessen können Sie angeben, dass kein Zertifikat ausgewählt ist. In diesem Szenario kann der Client nicht mit einem PKI-Zertifikat mit IIS-Standortsystemen kommunizieren. Der Client sendet eine Fehlermeldung an den ihm zugewiesenen Fallback status Punkt, um Sie über den Fehler bei der Zertifikatauswahl zu informieren. Anschließend können Sie die Kriterien für die Zertifikatauswahl ändern oder verfeinern.

Das Clientverhalten hängt dann davon ab, ob die fehlerhafte Verbindung über HTTPS oder HTTP erfolgte:

• Wenn die fehlerhafte Verbindung über HTTPS erfolgte: Der Client versucht, eine Verbindung über HTTP herzustellen, und verwendet dabei das selbstsignierte Clientzertifikat.

• Wenn die fehlerhafte Verbindung über HTTP erfolgte: Der Client versucht, mithilfe des selbstsignierten Clientzertifikats erneut eine Verbindung über HTTP herzustellen.

Um ein eindeutiges PKI-Clientzertifikat zu identifizieren, können Sie auch einen anderen benutzerdefinierten Speicher als den Standardspeichertyp "Persönlich " im Computerspeicher angeben. Erstellen Sie einen benutzerdefinierten Zertifikatspeicher außerhalb von Configuration Manager. Sie müssen in der Lage sein, Zertifikate für diesen benutzerdefinierten Speicher bereitzustellen und zu erneuern, bevor der Gültigkeitszeitraum abläuft.

Weitere Informationen finden Sie unter Konfigurieren von Einstellungen für Client-PKI-Zertifikate.

Übergangsstrategie für PKI-Zertifikate

Mithilfe der flexiblen Konfigurationsoptionen im Configuration Manager können Sie Clients und den Standort schrittweise auf die Verwendung von PKI-Zertifikaten umstellen, um Client-Endpunkte zu schützen. PKI-Zertifikate bieten mehr Sicherheit und ermöglichen Ihnen die Verwaltung von Internetclients.

Dieser Plan führt zuerst PKI-Zertifikate nur für die Authentifizierung über HTTP und dann für die Authentifizierung und Verschlüsselung über HTTPS ein. Wenn Sie diesem Plan zur schrittweisen Einführung dieser Zertifikate folgen, verringern Sie das Risiko, dass Clients nicht mehr verwaltet werden. Sie profitieren außerdem von der höchsten Sicherheit, die der Configuration Manager unterstützt.

Aufgrund der zahlreichen Konfigurationsoptionen und Auswahlmöglichkeiten im Configuration Manager gibt es keine einzige Möglichkeit, einen Standort so umzustellen, dass alle Clients HTTPS-Verbindungen verwenden. Die folgenden Schritte bieten allgemeine Orientierungshilfen:

1. Installieren Sie den Configuration Manager-Standort und konfigurieren Sie ihn so, dass die Standortsysteme Clientverbindungen über HTTPS und HTTP akzeptieren.

2. Konfigurieren Sie die Registerkarte Kommunikationssicherheit in den Websiteeigenschaften. Legen Sie die Standortsystemeinstellungen auf HTTP oder HTTPS fest, und wählen Sie PKI-Clientzertifikat verwenden (Clientauthentifizierungsfunktion) aus, sofern verfügbar. Weitere Informationen finden Sie unter Konfigurieren von Einstellungen für Client-PKI-Zertifikate.

3. Pilotbereitstellung für den PKI-Rollout für Clientzertifikate. Eine Beispielbereitstellung finden Sie unter Bereitstellen des Clientzertifikats für Windows-Computer.

4. Installieren Sie Clients mithilfe der Clientpushinstallationsmethode. Weitere Informationen finden Sie unter Installieren von Configuration Manager-Clients mithilfe von Clientpush.

5. Überwachen Sie die Clientbereitstellung und den Status mithilfe der Berichte und Informationen in der Configuration Manager-Konsole.

6. Verfolgen Sie, wie viele Clients ein Client-PKI-Zertifikat verwenden, indem Sie die Spalte Clientzertifikat im Arbeitsbereich " Assets und Compliance ", Knoten "Geräte", anzeigen.

   Hinweis

   Für Clients, die auch über ein PKI-Zertifikat verfügen, zeigt die Configuration Manager-Konsole die Clientzertifikateigenschaft als selbstsigniert an. Die Clientsystemsteuerung Die Clientzertifikateigenschaft zeigt PKI an.

   Sie können das Configuration Manager HTTPS Readiness Assessment Tool (CMHttpsReadiness.exe) auch auf Computern bereitstellen. Verwenden Sie dann die Berichte, um anzuzeigen, wie viele Computer ein Client-PKI-Zertifikat mit Configuration Manager verwenden können.

   Hinweis

   Wenn Sie den Configuration Manager Client installieren, wird das ToolCMHttpsReadiness.exe in dem %windir%\CCM Ordner installiert. Die folgenden Befehlszeilenoptionen sind verfügbar, wenn Sie dieses Tool ausführen:

   • /Store:<Certificate store name>: Diese Option ist identisch mit der Eigenschaft CCMCERTSTORE client.msi -/Issuers:<Case-sensitive issuer common name>: Diese Option ist identisch mit der Eigenschaft CCMCERTISSUERS client.msi
   • /Criteria:<Selection criteria>: Diese Option ist identisch mit der Eigenschaft CCMCERTSEL client.msi
   • /SelectFirstCert: Diese Option ist identisch mit der Eigenschaft CCMFIRSTCERT client.msi

   Das Tool gibt Informationen an den CMHttpsReadiness.log im CCM\Logs Verzeichnis aus.

   Weitere Informationen finden Sie unter Informationen zu Clientinstallationseigenschaften.

7. Wenn Sie sicher sind, dass genügend Clients ihr Client-PKI-Zertifikat erfolgreich für die Authentifizierung über HTTP verwenden, führen Sie die folgenden Schritte aus:

   1. Stellen Sie ein PKI-Webserverzertifikat auf einem Mitgliedsserver bereit, auf dem ein anderer Verwaltungspunkt für den Standort ausgeführt wird, und konfigurieren Sie dieses Zertifikat in IIS. Weitere Informationen finden Sie unter Bereitstellen des Webserverzertifikats für Standortsysteme, auf denen IIS ausgeführt wird.

   2. Installieren Sie die Verwaltungspunktrolle auf diesem Server. Konfigurieren Sie die Option "Clientverbindungen" in den Verwaltungspunkteigenschaften für HTTPS.

8. Überwachen und überprüfen Sie, ob Clients mit einem PKI-Zertifikat den neuen Verwaltungspunkt mithilfe von HTTPS verwenden. Sie können dies mithilfe der IIS-Protokollierung oder der Leistungsindikatoren überprüfen.

9. Konfigurieren Sie andere Standortsystemrollen neu, um HTTPS-Clientverbindungen zu verwenden. Wenn Sie Clients im Internet verwalten möchten, stellen Sie sicher, dass die Standortsysteme über einen Internet-FQDN verfügen. Einzelne Verwaltungspunkte und Verteilungspunkte werden so konfiguriert, dass sie Clientverbindungen aus dem Internet akzeptieren.

   Wichtig

   Bevor Sie Standortsystemrollen für die Annahme von Verbindungen aus dem Internet einrichten, lesen Sie die Planungsinformationen und Voraussetzungen für die internetbasierte Clientverwaltung. Weitere Informationen finden Sie unter Kommunikation zwischen Endpunkten.

10. Erweitern Sie das Rollout von PKI-Zertifikaten auf Clients und Standortsysteme, auf denen IIS ausgeführt wird. Richten Sie nach Bedarf die Standortsystemrollen für HTTPS-Client- und Internetverbindungen ein.

11. Für höchste Sicherheit: Wenn Sie sicher sind, dass alle Clients ein Client-PKI-Zertifikat zur Authentifizierung und Verschlüsselung verwenden, ändern Sie die Websiteeigenschaften so, dass nur HTTPS verwendet wird.

Nächste Schritte

• Konfigurieren der Sicherheit

• Technische Referenz zu kryptografischen Steuerelementen

• Anforderungen für PKI-Zertifikate