Basisprincipes van PKI voor Microsoft Cloud

Microsoft Cloud PKI is een functie van Intune Suite waarmee u als IT-professional uw PKI (Public Key Infrastructure) in de cloud kunt beheren. U kunt uw eigen certificeringsinstanties en certificaten maken, configureren en beheren zonder dat u een on-premises infrastructuur hoeft te installeren en onderhouden. De Microsoft Cloud PKI-service kan worden geïntegreerd met Microsoft Entra ID en Microsoft Intune om identiteits- en apparaatbeheer te bieden voor uw cloudgebaseerde apparaten en apps.

In dit artikel worden de basisprincipes en concepten van PKI beschreven die u moet weten wanneer u PKI voor de cloud configureert. We raden u aan alle informatie door te nemen voordat u de Microsoft Cloud PKI-service in uw Intune tenant configureert.

Typen certificeringsinstanties

Een certificeringsinstantie voert de volgende taken uit:

• De identiteit van de aanvrager van een certificaat verifiëren
• Geeft certificaten uit aan aanvragers
• Beheert het intrekken van certificaten

Microsoft Cloud PKI ondersteunt deze typen certificeringsinstanties:

• Basiscertificeringsinstantie
• Uitgevende certificeringsinstantie

Basiscertificeringsinstantie

Een basiscertificeringsinstantie is de hoogste certificeringsinstantie in de CA-hiërarchie. In een PKI fungeert de basiscertificeringsinstantie als het vertrouwenspunt voor certificaten die zijn uitgegeven door certificeringsinstanties in de hiërarchie. Het certificaat wordt als vertrouwd beschouwd als het via de CA-hiërarchie kan worden herleid tot een basiscertificeringsinstantie die wordt vertrouwd door een gebruiker, computer, netwerkapparaat of service.

Een basiscertificeringsinstantie is in zoverre uniek dat het certificaat zichzelf uitgeeft, wat betekent dat de naam van de uitgever en de naam van het onderwerp van het certificaat dezelfde voorname naam bevatten. De enige manier om te controleren of een basiscertificaat geldig is, is door het basiscertificaat van de certificeringsinstantie op te nemen in een vertrouwd basisarchief. Het vertrouwde basisarchief bevat het certificaat van de basiscertificeringsinstantie om aan te geven dat het certificaat wordt vertrouwd.

De basiscertificeringsinstantie kan certificaten verlenen aan andere certificeringsinstanties of aan gebruikers, computers, netwerkapparaten of services in het netwerk. Wanneer de basiscertificeringsinstantie een certificaat uitgeeft aan een andere entiteit, wordt met het basiscertificaat van de certificeringsinstantie het certificaat ondertekend met de bijbehorende persoonlijke sleutel. De ondertekening beschermt tegen wijzigingen van de inhoud en geeft aan dat de basiscertificeringsinstantie het certificaat heeft verstrekt.

Verlenende certificeringsinstantie

Een uitgevende certificeringsinstantie is een certificeringsinstantie die ondergeschikt is aan een andere certificeringsinstantie en die:

• Certificaten verlenen aan andere certificeringsinstanties in de CA-hiërarchie.
• Leaf-certificaten uitgeven aan een eindentiteit, zoals een server, service, client of apparaat.

De uitgevende certificeringsinstantie kan bestaan op elk niveau in de hiërarchie van de certificeringsinstantie, behalve op het niveau van de hoofdcertificeringsinstantie.

Ketenen

Chaining is het proces waarbij wordt bepaald wat het beste vertrouwenspad is voor een bepaald certificaat dat moet worden geverifieerd en vertrouwd. Elk besturingssysteem of elke service voert dit rekenproces uit, dat doorgaans de certificaatketenengine wordt genoemd.

Het ketenbouwproces bestaat uit:

• Certificaatdetectie: het uitgevende CA-certificaat van een leaf-certificaat van een eindentiteit opzoeken tot aan het vertrouwende basiscertificeringscertificaat.
• Certificaatvalidatie: Alle mogelijke certificaatketens worden gemaakt. Hiermee valideert elk certificaat in de keten met betrekking tot verschillende parameters, zoals naam, tijd, handtekening, intrekking en mogelijk andere gedefinieerde beperkingen.
• Retourneert de ketting van de beste kwaliteit.

Wanneer een certificaat ter verificatie wordt aangeboden, loopt een certificaatketenengine door het certificeringsarchief en selecteert de kandidaten voor het tussenliggende en basiscertificaat. Er kan meer dan één tussentijds certificaat nodig zijn om een volledige keten te vormen.

De certificaatketen-engine probeert certificaten te selecteren met behulp van de onderwerpsleutel-id (SKI) en de autoriteit sleutel-id (AKI). Een eindentiteitscertificaat dat is uitgegeven door een Microsoft-CA bevat de AKI, dus de certificaatketenengine moet een tussenliggend certificaat selecteren met een bijbehorende SKI. Het proces herhaalt zich totdat een zelfondertekend certificaat wordt geïnventariseerd.

Keten validatieproces

In Windows zijn er drie kettingvalidatieprocessen: exacte overeenkomst, sleutelovereenkomst en naamovereenkomst.

• Exacte overeenkomst: Als de AKI-extensie het onderwerp van de uitgever, het serienummer van de uitgever en KeyID bevat, worden alleen bovenliggende certificaten gekozen die overeenkomen met hun onderwerp, serienummer en KeyID in het ketenopbouwproces.

• Sleutelovereenkomst: Als de AKI-extensie alleen de KeyID bevat, worden alleen certificaten die een overeenkomende KeyID in de Subject Key Identifier (SKI)-extensie bevatten, gekozen als geldige uitgevers.

• Naamovereenkomst: naamovereenkomsten vinden plaats wanneer er geen informatie bestaat in de AKI of als de AKI-extensie niet in het certificaat staat. In dit geval moet de onderwerpnaam van het verlenerscertificaat overeenkomen met het kenmerk verlener van het huidige certificaat.

Voor certificaten die geen SKI- en AKI-velden bevatten, probeert de chaining-engine naammatching te gebruiken om een keten te bouwen. Als u twee certificaten met dezelfde naam hebt, wordt het nieuwste certificaat geselecteerd.

Certificaatdetectie wordt geïnitieerd wanneer de directe bovenliggende site zich niet lokaal op de computer bevindt. De client gebruikt dit proces om ontbrekende bovenliggende certificaten op te halen. De URL's die worden weergegeven in het veld voor toegang tot autoriteitsinformatie van het certificaat, worden geparseerd en gebruikt om bovenliggende CA-certificaten op te halen. Het proces is vergelijkbaar met het downloaden van CRL's.

Nadat de keten is gebouwd, worden de volgende controles uitgevoerd op elk certificaat in de keten:

• Controleer of het de juiste indeling en handtekening heeft. Voer een hashcontrole van het certificaat uit.
• Controleer of de velden van en tot in het certificaat niet zijn verlopen.
• Controleer of het certificaat is ingetrokken.
• Controleer of de keten eindigt in een certificaat dat zich in het vertrouwde basisarchief bevindt.

Het certificaat en de bijbehorende keten worden als geldig beschouwd nadat alle controles zijn voltooid en met succes terugkomen.

Met een certificaatketen met een geordende lijst met certificaten kan de relying party controleren of een afzender betrouwbaar is. Het mes snijdt in twee richtingen, van client-naar-server en server-naar-client.

In het volgende diagram ziet u de validatiestroom voor de naamovereenkomende keten.

Zorg voor een vertrouwensketen

Wanneer u certificaten gebruikt om verificatie op basis van certificaten uit te voeren, moet u ervoor zorgen dat beide relying parties de vertrouwensketen van het CA-certificaat (openbare sleutels) hebben. In dit geval zijn de relying party's het door Intune beheerde apparaat en het verificatietoegangspunt, zoals Wi-Fi, VPN of webservice.

De basiscertificeringsinstantie moet aanwezig zijn. Als het uitgevende CA-certificaat niet aanwezig is, kan het worden aangevraagd door de relying party met behulp van de native certificaatketen-engine voor het beoogde besturingssysteemplatform. De relying party kan het uitgevende CA-certificaat aanvragen met behulp van de toegangseigenschap voor autoriteitsinformatie van het leaf-certificaat.

Op certificaat gebaseerde verificatie

Deze sectie biedt basiskennis van de verschillende certificaten die worden gebruikt wanneer een client of apparaat op certificaten gebaseerde verificatie uitvoert.

In de volgende stappen wordt de handshake beschreven die plaatsvindt tussen een client en een relying party-service tijdens verificatie op basis van certificaten.

1. De client geeft een soort hello-pakket uit aan de relying party.
2. De relying party antwoordt met de mededeling dat deze wil communiceren via beveiligde TLS/SSL. De client en de relying party voeren de SSL-handshake uit en er wordt een beveiligd kanaal ingesteld.
3. De relying party vraagt een certificaat aan dat moet worden gebruikt voor clientverificatie.
4. De client presenteert het clientverificatiecertificaat aan de relying party voor verificatie.

In een omgeving zonder Microsoft Cloud PKI is een persoonlijke CA verantwoordelijk voor de uitgifte van zowel het TLS/SSL-certificaat dat wordt gebruikt door de relying party als het certificaat voor apparaatclientverificatie. Microsoft Cloud PKI kan worden gebruikt om het certificaat voor clientverificatie van apparaten uit te geven, waarmee de persoonlijke CA voor deze specifieke taak effectief wordt vervangen.