Podstawy infrastruktury PKI chmury firmy Microsoft

Microsoft Cloud PKI to funkcja pakietu usługi Intune, która umożliwia specjalistom IT zarządzanie infrastrukturą kluczy publicznych (PKI) w chmurze. Możesz tworzyć i konfigurować własne urzędy certyfikacji oraz certyfikaty i zarządzać nimi bez konieczności instalowania i utrzymywania infrastruktury lokalnej. Usługa infrastruktury PKI w chmurze firmy Microsoft integruje się z usługami Microsoft Entra ID i Microsoft Intune w celu zapewnienia zarządzania tożsamością i urządzeniami dla urządzeń i aplikacji opartych na chmurze.

W tym artykule opisano podstawowe informacje o infrastrukturze kluczy publicznych oraz pojęcia, które należy znać podczas konfigurowania infrastruktury kluczy publicznych Microsoft Cloud. Zalecamy zapoznanie się ze wszystkimi informacjami przed skonfigurowaniem usługi Microsoft Cloud PKI w dzierżawie usługi Intune.

Typy urzędów certyfikacji

Urząd certyfikacji wykonuje następujące zadania:

• Weryfikuje tożsamość osoby żądającej certyfikatu.
• Wystawia certyfikaty wnioskodawcom
• Zarządza odwołaniem certyfikatu

Infrastruktura PKI usługi Microsoft Cloud obsługuje następujące typy urzędów certyfikacji:

• Główny urząd certyfikacji
• Wystawiający urząd certyfikacji

Główny urząd certyfikacji

Główny urząd certyfikacji to najwyższy urząd certyfikacji w hierarchii urzędów certyfikacji. W infrastrukturze kluczy publicznych główny urząd certyfikacji pełni rolę punktu zaufania dla certyfikatów wystawionych przez urzędy certyfikacji w hierarchii. Certyfikat jest uznawany za zaufany , jeśli można go prześledzić w hierarchii urzędów certyfikacji do głównego urzędu certyfikacji, który jest zaufany przez użytkownika, komputer, urządzenie sieciowe lub usługę.

Główny urząd certyfikacji jest unikatowy w tym sensie, że jego certyfikat jest wystawiany samodzielnie, co oznacza, że nazwa wystawcy certyfikatu i nazwa podmiotu zawierają tę samą nazwę wyróżniającą. Jedynym sposobem sprawdzenia, czy certyfikat główny jest prawidłowy, jest dołączenie certyfikatu głównego urzędu certyfikacji do zaufanego magazynu głównego. Zaufany magazyn główny zawiera rzeczywisty certyfikat głównego urzędu certyfikacji określający certyfikat jako zaufany.

Główny urząd certyfikacji może wystawiać certyfikaty innym urzędom certyfikacji lub użytkownikom, komputerom, urządzeniom sieciowym lub usługom w sieci. Gdy główny urząd certyfikacji wystawia certyfikat innemu podmiotowi, certyfikat głównego urzędu certyfikacji podpisuje certyfikat przy użyciu klucza prywatnego. Podpisanie chroni przed modyfikacją zawartości i wskazuje, że certyfikat został wystawiony przez główny urząd certyfikacji.

Wystawiający urząd certyfikacji

Wystawiający urząd certyfikacji to urząd certyfikacji podlegający innemu urzędowi certyfikacji, który może:

• Wystawiaj certyfikaty innym urzędom certyfikacji w hierarchii urzędów certyfikacji.
• Wystaw certyfikaty liścia do jednostki końcowej, takiej jak serwer, usługa, klient lub urządzenie.

Wystawiający urząd certyfikacji może istnieć na dowolnym poziomie hierarchii urzędów certyfikacji, z wyjątkiem poziomu głównego urzędu certyfikacji.

Łączenie łańcuchowe

Łączenie łańcuchowe to proces ustalania, jaka jest najlepsza ścieżka zaufania dla każdego danego certyfikatu, który musi zostać zweryfikowany i uznany za zaufany. Każdy system operacyjny lub każda usługa wykonuje ten proces obliczeniowy, ogólnie nazywany aparatem łańcucha certyfikatów.

Proces budowania łańcucha składa się z:

• Odnajdywanie certyfikatu: wyszukiwanie certyfikatu wystawiającego urząd certyfikacji certyfikatu liścia jednostki końcowej aż do zaufanego certyfikatu głównego urzędu certyfikacji.
• Sprawdzanie poprawności certyfikatu: tworzy wszystkie możliwe łańcuchy certyfikatów. Weryfikuje każdy certyfikat w łańcuchu w odniesieniu do różnych parametrów, takich jak nazwa, godzina, podpis, odwołanie i potencjalnie inne zdefiniowane ograniczenia.
• Zwraca łańcuch o najlepszej jakości.

Gdy certyfikat jest przedstawiany do weryfikacji, aparat łańcucha certyfikatów przechodzi przez swój magazyn certyfikatów i wybiera kandydatów certyfikatów pośrednich i głównych. Może to wymagać więcej niż jednego certyfikatu pośredniego, aby utworzyć kompletny łańcuch.

Aparat łańcucha certyfikatów próbuje wybrać certyfikaty przy użyciu identyfikatora klucza podmiotu (SKI) i identyfikatora klucza urzędu certyfikacji (AKI). Certyfikat jednostki końcowej wystawiony przez urząd certyfikacji Microsoft zawiera AKI, więc aparat łańcucha certyfikatów musi wybrać certyfikat pośredni z pasującym SKI. Proces jest powtarzany do momentu wyliczenia certyfikatu z podpisem własnym.

Proces walidacji łańcucha

W systemie Windows istnieją trzy procesy weryfikacji łańcucha: dopasowanie ścisłe, dopasowanie klucza i dopasowanie nazwy.

• Dokładne dopasowanie: Jeśli rozszerzenie AKI zawiera podmiot wystawcy, numer seryjny wystawcy i identyfikator klucza, w procesie tworzenia łańcucha wybierane są tylko certyfikaty nadrzędne zgodne z tematem, numerem seryjnym i identyfikatorem klucza.

• Dopasowanie klucza: jeśli rozszerzenie AKI zawiera tylko identyfikator klucza, tylko certyfikaty zawierające zgodny identyfikator klucza w rozszerzeniu identyfikatora klucza podmiotu (SKI) są wybierane jako prawidłowe wystawcy.

• Dopasowanie nazwy: Dopasowywanie nazw ma miejsce, gdy w AKI nie ma żadnych informacji lub jeśli rozszerzenie AKI nie znajduje się w certyfikacie. W takim przypadku nazwa podmiotu certyfikatu wystawcy musi być zgodna z atrybutem wystawcy bieżącego certyfikatu.

W przypadku certyfikatów, które nie zawierają pól SKI i AKI, aparat łańcuchowy próbuje użyć dopasowywania nazw, aby utworzyć łańcuch. Jeśli masz dwa certyfikaty o tej samej nazwie, jest wybierany nowszy.

Odnajdowanie certyfikatu jest inicjowane, gdy bezpośredni element nadrzędny nie znajduje się lokalnie na komputerze. Klient używa tego procesu do pobierania brakujących certyfikatów nadrzędnych. Adresy URL wyświetlane w polu dostępu do informacji o urzędach certyfikacji są analizowane i używane do pobierania certyfikatów nadrzędnego urzędu certyfikacji. Ten proces jest podobny do pobierania listy CRL.

Po zbudowaniu łańcucha wykonywane są następujące testy na każdym certyfikacie w łańcuchu:

• Sprawdź, czy adres jest prawidłowo sformatowany i podpisany. Sprawdź, czy mają skróty certyfikatu.
• Sprawdź pola Od i Do w certyfikacie, aby upewnić się, że nie wygasł.
• Sprawdź, czy certyfikat został odwołany.
• Sprawdź, czy łańcuch kończy się certyfikatem znajdującym się w zaufanym magazynie głównym.

Certyfikat i jego łańcuch są uznawane za ważne po zakończeniu wszystkich kontroli i kończą się powodzeniem.

Łańcuch certyfikatów z uporządkowaną listą certyfikatów umożliwia jednostce uzależnionej zweryfikowanie, czy nadawca jest godny zaufania. Działa to w obie strony, z klient-serwer i serwer-klient.

Poniższy diagram ilustruje przepływ weryfikacji łańcucha dopasowywania nazw .

Zapewnienie łańcucha zaufania

W przypadku korzystania z certyfikatów w celu przeprowadzania uwierzytelniania opartego na certyfikatach należy upewnić się, że obie jednostki uzależnione mają łańcuch zaufania certyfikatu urzędu certyfikacji (kluczy publicznych). W tym przypadku jednostkami uzależnionymi są urządzenie zarządzane przez usługę Intune i punkt dostępu uwierzytelniania, taki jak sieć Wi-Fi, sieć VPN lub usługa sieci Web.

Główny urząd certyfikacji musi być obecny. Jeśli brakuje certyfikatu wystawiającego urząd certyfikacji, jednostka uzależniona może zażądać go przy użyciu natywnego aparatu łańcucha certyfikatów dla docelowej platformy systemu operacyjnego. Jednostka uzależniona może zażądać certyfikatu wystawiającego urząd certyfikacji, korzystając z właściwości dostępu do informacji o urzędzie certyfikacji certyfikatu liścia.

Uwierzytelnianie oparte na certyfikatach

Ta sekcja zawiera podstawowe informacje na temat różnych certyfikatów używanych przez klienta lub urządzenie uwierzytelniające oparte na certyfikatach.

Poniżej opisano uzgadnianie zachodzące między klientem a usługą jednostki uzależnionej podczas uwierzytelniania opartego na certyfikatach.

1. Klient wysyła pewną formę pakietu powitalnego do jednostki uzależnionej.
2. Jednostka uzależniona odpowiada, że chce komunikować się za pośrednictwem bezpiecznego protokołu TLS/SSL. Klient i jednostka uzależniona wykonują uzgadnianie SSL i ustanawiany jest bezpieczny kanał.
3. Jednostka uzależniona żąda certyfikatu, który ma być używany do uwierzytelniania klientów.
4. Klient przedstawia swój certyfikat uwierzytelnienia klienta jednostce uzależnionej w celu uwierzytelnienia.

W środowisku bez infrastruktury kluczy publicznych Microsoft Cloud prywatny urząd certyfikacji jest odpowiedzialny za wystawienie certyfikatu TLS/SSL używanego przez jednostkę uzależnioną oraz certyfikatu uwierzytelniania klienta urządzenia. Infrastruktura PKI usługi Microsoft Cloud może służyć do wystawiania certyfikatu uwierzytelniania klienta urządzenia, skutecznie zastępując prywatny urząd certyfikacji dla tego konkretnego zadania.