PKI-certificaten plannen in Configuration Manager

Van toepassing op: Configuration Manager (current branch)

Configuration Manager maakt gebruik van op PKI (Public Key Infrastructure) gebaseerde digitale certificaten indien beschikbaar. Het gebruik van deze certificaten wordt aanbevolen voor een betere beveiliging, maar is in de meeste gevallen niet vereist. U moet deze certificaten onafhankelijk van Configuration Manager implementeren en beheren.

Dit artikel bevat informatie over PKI-certificaten in Configuration Manager om u te helpen bij het plannen van de implementatie. Zie Certificaten in Configuration Manager voor meer algemene informatie over het gebruik van certificaten in Configuration Manager.

Intrekking van PKI-certificaat

Wanneer u PKI-certificaten gebruikt met Configuration Manager, plan dan het gebruik van een certificaatintrekkingslijst (CRL). Apparaten gebruiken de CRL om het certificaat op de verbindende computer te verifiëren. De CRL is een bestand dat een certificeringsinstantie (CA) maakt en ondertekent. Het bevat een lijst met certificaten die de certificeringsinstantie heeft uitgegeven maar ingetrokken. Wanneer een certificaatbeheerder certificaten intrekt, wordt de vingerafdruk toegevoegd aan de CRL. Bijvoorbeeld als een uitgegeven certificaat bekend is of vermoed wordt dat het is aangetast.

IIS controleert altijd de CRL op clientcertificaten en u kunt deze configuratie niet wijzigen in Configuration Manager. Standaard controleren Configuration Manager-clients altijd de CRL voor sitesystemen. Schakel deze instelling uit door een site-eigenschap op te geven en een eigenschap CCMSetup op te geven.

Computers die de geldigheidscontrole voor certificaten gebruiken, maar de CRL niet kunnen vinden, gedragen zich alsof alle certificaten in de certificeringsketen zijn ingetrokken. Dit gedrag komt doordat ze niet kunnen controleren of de certificaten in de certificaatintrekkingslijst staan. In dit scenario mislukken alle verbindingen waarvoor certificaten zijn vereist en is CRL-controle vereist. Als u wilt valideren of uw CRL toegankelijk is door te bladeren naar de HTTP-locatie, is het belangrijk te weten dat de Configuration Manager-client wordt uitgevoerd als LOKAAL SYSTEEM. Het testen van CRL-toegankelijkheid met een webbrowser onder een gebruikerscontext kan slagen, maar het computeraccount wordt mogelijk geblokkeerd wanneer er een HTTP-verbinding tot stand wordt gebracht met dezelfde CRL-URL. Het kan bijvoorbeeld worden geblokkeerd vanwege een interne webfilteroplossing, zoals een proxy. Voeg de CRL-URL toe aan de lijst met goedgekeurde webfilteroplossingen.

Het altijd controleren van de CRL wanneer een certificaat wordt gebruikt, biedt betere beveiliging tegen het gebruik van een ingetrokken certificaat. Het introduceert wel een verbindingsvertraging en meer verwerking op de client. Uw organisatie kan deze beveiligingscontrole vereisen voor clients op internet of een niet-vertrouwd netwerk.

Raadpleeg uw PKI-beheerders voordat u beslist of Configuration Manager-clients de CRL moeten controleren. Als aan beide van de volgende voorwaarden wordt voldaan, kunt u overwegen deze optie ingeschakeld te houden in Configuration Manager:

• Uw PKI-infrastructuur ondersteunt een CRL en deze wordt gepubliceerd waar alle Configuration Manager-clients deze kunnen vinden. Deze clients kunnen apparaten op internet en apparaten in niet-vertrouwde forests zijn.

• De CRL moet worden gecontroleerd voor elke verbinding met een sitesysteem dat is geconfigureerd voor gebruik van een PKI-certificaat, is strenger dan de volgende vereisten:

  • Snellere verbindingen
  • Efficiënte verwerking op de klant
  • Het risico dat clients geen verbinding met servers kunnen maken als ze de CRL niet kunnen vinden

Vertrouwde PKI-basiscertificaten

Als uw IIS-sitesystemen PKI-clientcertificaten gebruiken voor clientverificatie via HTTP, of voor clientverificatie en versleuteling via HTTPS, moet u mogelijk certificaten van basiscertificeringsinstanties importeren als een site-eigenschap. Dit zijn de twee scenario's:

• U implementeert besturingssystemen met behulp van Configuration Manager en de beheerpunten accepteren alleen HTTPS-clientverbindingen.

• U gebruikt PKI-clientcertificaten die niet zijn gekoppeld aan een basiscertificaat dat door de beheerpunten wordt vertrouwd.

  Opmerking

  Wanneer u PKI-clientcertificaten uitgeeft vanuit dezelfde CA-hiërarchie die de servercertificaten uitgeeft die u gebruikt voor beheerpunten, hoeft u dit basiscertificaat niet op te geven. Als u echter meerdere CA-hiërarchieën gebruikt en u niet zeker weet of ze elkaar vertrouwen, importeert u de basiscertificeringsinstantie voor de CA-hiërarchie van de clients.

Als u certificaten van basiscertificeringsinstanties voor Configuration Manager moet importeren, exporteert u deze van de verlenende certificeringsinstantie of van de clientcomputer. Als u het certificaat van de uitgevende certificeringsinstantie exporteert die ook de basiscertificeringsinstantie is, moet u de persoonlijke sleutel niet exporteren. Bewaar het geëxporteerde certificaatbestand op een veilige locatie om manipulatie te voorkomen. U hebt toegang tot het bestand nodig wanneer u de site instelt. Als u het bestand via het netwerk opent, moet u ervoor zorgen dat de communicatie is beveiligd tegen manipulatie door IPsec te gebruiken.

Als een basiscertificeringsinstantie die u importeert wordt vernieuwd, importeert u het vernieuwde certificaat.

Met deze geïmporteerde basiscertificaten van certificeringsinstanties en het basiscertificaat van elk beheerpunt wordt de lijst met certificaatverleners gemaakt. Configuration Manager-computers gebruiken deze lijst op de volgende manieren:

• Wanneer clients verbinding maken met beheerpunten, controleert het management point of het clientcertificaat is gekoppeld aan een vertrouwd basiscertificaat in de lijst met certificaatverleners van de site. Als dit niet het geval is, wordt het certificaat geweigerd en mislukt de PKI-verbinding.

• Wanneer clients een PKI-certificaat selecteren en een lijst met certificaatuitgevers hebben, selecteren ze een certificaat dat is gekoppeld aan een vertrouwd basiscertificaat in de lijst met certificaatverleners. Als er geen overeenkomst wordt gevonden, selecteert de client geen PKI-certificaat. Zie PKI-clientcertificaatselectie voor meer informatie.

PKI-clientcertificaat selecteren

Als uw IIS-sitesystemen PKI-clientcertificaten gebruiken voor clientverificatie via HTTP of voor clientverificatie en versleuteling via HTTPS, moet u plannen hoe Windows-clients het certificaat selecteren dat voor Configuration Manager moet worden gebruikt.

In veel gevallen zijn de standaardconfiguratie en het standaardgedrag voldoende. De Configuration Manager-client op Windows-computers filtert meerdere certificaten op basis van de volgende criteria in deze volgorde:

1. De lijst met certificaatverleners: Het certificaat wordt gekoppeld aan een basiscertificeringsinstantie die wordt vertrouwd door het beheerpunt.

2. Het certificaat is opgeslagen in het standaardcertificaatarchief van Persoonlijk.

3. Het certificaat is geldig, niet ingetrokken en niet verlopen. Bij de geldigheidscontrole wordt ook gecontroleerd of de persoonlijke sleutel toegankelijk is.

4. Het certificaat heeft de mogelijkheid voor clientverificatie.

5. De onderwerpnaam van het certificaat bevat de naam van de lokale computer als een subtekenreeks.

6. Het certificaat heeft de langste geldigheidsduur.

Configureer clients met behulp van de volgende mechanismen voor het gebruik van de lijst met certificaatverleners:

• Publiceer het met sitegegevens van Configuration Manager naar Active Directory Domain Services.

• Clients installeren met behulp van client push.

• Klanten downloaden de app vanaf het beheerpunt nadat ze zijn toegewezen aan de site.

• Geef dit tijdens de installatie van de client op als CCMSetup client.msi eigenschap van CCMCERTISSUERS.

Als clients niet over de lijst met certificaatuitgevers beschikken wanneer ze voor het eerst worden geïnstalleerd en nog niet zijn toegewezen aan de site, wordt deze controle overgeslagen. Wanneer clients wel de lijst met certificaatuitgevers hebben en geen PKI-certificaat dat is gekoppeld aan een vertrouwd basiscertificaat in de lijst met certificaatverleners, mislukt de certificaatselectie. Klanten gaan niet verder met de andere certificaatselectiecriteria.

In de meeste gevallen identificeert de Configuration Manager-client correct een uniek en geschikt PKI-certificaat. Wanneer dit gedrag niet het geval is, kunt u, in plaats van het certificaat te selecteren op basis van de clientverificatiemogelijkheid, twee alternatieve selectiemethoden instellen:

• Een gedeeltelijke overeenkomst van een tekenreeks met de naam van het certificaatonderwerp van de client. Deze methode is een niet-hoofdlettergevoelige overeenkomst. Deze optie is geschikt als u de FQDN (Fully Qualified Domain Name) van een computer gebruikt in het onderwerpveld en u wilt dat het certificaat wordt geselecteerd op basis van het domeinachtervoegsel, bijvoorbeeld contoso.com. U kunt deze selectiemethode gebruiken om een willekeurige reeks opeenvolgende tekens in de certificaatonderwerpnaam te identificeren die het certificaat onderscheiden van andere certificaten in het clientcertificaatarchief.

  Opmerking

  U kunt de gedeeltelijke overeenkomst van een tekenreeks met de alternatieve naam van het onderwerp (SAN) niet gebruiken als een site-instelling. Hoewel u met CCMSetup een gedeeltelijke overeenkomst van een tekenreeks voor de SAN kunt opgeven, wordt deze in de volgende scenario's overschreven door de site-eigenschappen:

  • Door cliënten worden sitegegevens opgehaald die zijn gepubliceerd naar Active Directory Domain Services.
  • Clients worden geïnstalleerd via clientpushinstallatie.

  Gebruik een gedeeltelijke overeenkomst van een tekenreeks in het SAN alleen wanneer u clients handmatig installeert en geen sitegegevens uit Active Directory Domain Services ophalen. Deze voorwaarden zijn bijvoorbeeld van toepassing op clients die alleen internet gebruiken.

• Een overeenkomst tussen de kenmerknaamwaarden van het clientcertificaat of de SAN-waarden (Subject Alternative Name). Deze methode is een hoofdlettergevoelige overeenkomst. Dit is geschikt als u een X500 DN-naam of equivalente object-id's (OID's) gebruikt in overeenstemming met RFC 3280 en u wilt dat de certificaatselectie plaatsvindt op basis van de kenmerkwaarden. U kunt alleen de kenmerken en bijbehorende waarden opgeven die u nodig hebt om het certificaat uniek te identificeren of te valideren en om het certificaat te onderscheiden van andere certificaten in het certificaatarchief.

De volgende tabel bevat de kenmerkwaarden die door Configuration Manager worden ondersteund voor de selectiecriteria voor clientcertificaten:

Als zich na het toepassen van de selectiecriteria meer dan één geschikt certificaat bevindt, kunt u de standaardconfiguratie negeren en het certificaat met de langste geldigheidsperiode selecteren. U kunt in plaats daarvan opgeven dat er geen certificaat wordt geselecteerd. In dit scenario kan de client niet communiceren met IIS-sitesystemen met een PKI-certificaat. De client verzendt een foutbericht naar het toegewezen terugvalstatuspunt om u te waarschuwen dat het certificaat is geselecteerd. Daarna kun je de selectiecriteria voor certificaten wijzigen of verfijnen.

Het gedrag van de client hangt er vervolgens vanaf of de mislukte verbinding via HTTPS of HTTP heeft plaatsgevonden:

• Als de mislukte verbinding via HTTPS is: De client probeert verbinding te maken via HTTP en gebruikt het zelfondertekende certificaat van de client.

• Als de mislukte verbinding via HTTP is: De client probeert opnieuw verbinding te maken via HTTP met behulp van het zelfondertekende clientcertificaat.

Voor het identificeren van een uniek PKI-clientcertificaat kunt u ook een ander aangepast archief dan het standaardarchief van Persoonlijk opgeven in het computerarchief . Maak een aangepaste certificaatopslag buiten Configuration Manager. U moet certificaten in dit aangepaste archief kunnen implementeren en ze kunnen vernieuwen voordat de geldigheidsperiode is verstreken.

Zie Instellingen configureren voor client PKI-certificaten voor meer informatie.

Overgangsstrategie voor PKI-certificaten

Met de flexibele configuratieopties in Configuration Manager kunt u clients en de site geleidelijk overzetten om PKI-certificaten te gebruiken om clienteindpunten te beveiligen. PKI-certificaten bieden betere beveiliging en maken het mogelijk om internetclients te beheren.

In dit plan worden eerst PKI-certificaten geïntroduceerd voor verificatie alleen via HTTP en vervolgens voor verificatie en versleuteling via HTTPS. Wanneer u dit plan volgt om deze certificaten geleidelijk te introduceren, vermindert u het risico dat clients onbeheerd worden. U profiteert ook van de hoogste beveiliging die door Configuration Manager wordt ondersteund.

Vanwege het aantal configuratieopties en -keuzen in Configuration Manager is er niet één manier om een site over te zetten zodat alle clients HTTPS-verbindingen gebruiken. De volgende stappen bieden algemene richtlijnen:

1. Installeer de Configuration Manager-site en configureer deze zodanig dat sitesystemen clientverbindingen via HTTPS en HTTP accepteren.

2. Configureer het tabblad Communicatiebeveiliging in de site-eigenschappen. Stel Sitesysteeminstellingen in op HTTP of HTTPS en selecteer PKI-clientcertificaat gebruiken (clientverificatiemogelijkheid) indien beschikbaar. Zie Instellingen configureren voor client PKI-certificaten voor meer informatie.

3. Test een PKI-implementatie voor clientcertificaten. Zie Het clientcertificaat implementeren voor Windows-computers als voorbeeld van een implementatie.

4. Installeer clients met behulp van de installatiemethode voor push-clients. Zie voor meer informatie How to install Configuration Manager clients by using client push.

5. Controleer de implementatie en status van de client met behulp van de rapporten en informatie in de Configuration Manager-console.

6. Houd bij hoeveel clients een PKI-clientcertificaat gebruiken door de kolom Clientcertificaat in de werkruimte Activa en naleving , knooppunt Apparaten te bekijken.

   Opmerking

   Voor clients die ook een PKI-certificaat hebben, wordt in de Configuration Manager-console de eigenschap Clientcertificaat als Zelfondertekend weergegeven. In het clientconfiguratiescherm Clientcertificaateigenschap wordt PKI weergegeven.

   U kunt ook de Configuration Manager HTTPS Readiness Assessment Tool (CMHttpsReadiness.exe) implementeren op computers. Gebruik de rapporten vervolgens om te bekijken hoeveel computers een PKI-clientcertificaat met Configuration Manager kunnen gebruiken.

   Opmerking

   Wanneer u de Configuration Manager client installeert, wordt het hulpprogrammaCMHttpsReadiness.exe in de %windir%\CCM map geïnstalleerd. De volgende opdrachtregelopties zijn beschikbaar wanneer u dit hulpprogramma uitvoert:

   • /Store:<Certificate store name>: Deze optie is dezelfde als de eigenschap CCMCERTSTORE client.msi -/Issuers:<Case-sensitive issuer common name>: Deze optie is dezelfde als de eigenschap CCMCERTISSUERS client.msi
   • /Criteria:<Selection criteria>: Deze optie is dezelfde als de eigenschap CCMCERTSEL client.msi
   • /SelectFirstCert: Deze optie is dezelfde als de eigenschap CCMFIRSTCERT client.msi

   Het hulpprogramma voert gegevens uit naar de CMHttpsReadiness.log in de CCM\Logs adreslijst.

   Zie Informatie over de installatie-eigenschappen van de client voor meer informatie.

7. Als u er zeker van bent dat voldoende clients hun PKI-clientcertificaat gebruiken voor verificatie via HTTP, volgt u deze stappen:

   1. Implementeer een PKI-webservercertificaat op een lidserver waarop een ander beheerpunt voor de site wordt uitgevoerd en configureer dat certificaat in IIS. Zie Het webservercertificaat implementeren voor sitesystemen met IIS voor meer informatie.

   2. Installeer de beheerpuntfunctie op deze server. Configureer de optie Clientverbindingen in de eigenschappen van het beheerpunt voor HTTPS.

8. Controleer en verifieer dat clients met een PKI-certificaat het nieuwe beheerpunt gebruiken door HTTPS te gebruiken. U kunt IIS-logboekregistratie of prestatiemeteritems gebruiken om dit te controleren.

9. Configureer andere sitesysteemrollen opnieuw voor het gebruik van HTTPS-clientverbindingen. Als u klanten op internet wilt beheren, moet u ervoor zorgen dat sitesystemen een internet-FQDN hebben. Individuele beheerpunten en distributiepunten zodanig configureren dat clientverbindingen via internet geaccepteerd worden.

   Belangrijk

   Voordat u sitesysteemrollen instelt om internetverbindingen te accepteren, moet u de planningsinformatie en de vereisten voor op internet gebaseerd clientbeheer controleren. Zie Communicatie tussen eindpunten voor meer informatie.

10. De implementatie van PKI-certificaten uitbreiden voor clients en sitesystemen met IIS. Stel indien nodig de sitesysteemrollen in voor HTTPS-clientverbindingen en internetverbindingen.

11. Voor de hoogste beveiliging: Als u zeker weet dat alle clients een PKI-clientcertificaat gebruiken voor verificatie en versleuteling, wijzigt u de site-eigenschappen zodat ze alleen HTTPS gebruiken.

Volgende stappen

• Beveiliging configureren

• Technische naslaginformatie over cryptografische besturingselementen

• PKI-certificaatvereisten