Planowanie certyfikatów PKI w programie Configuration Manager

Dotyczy: programu Configuration Manager (bieżąca gałąź)

Program Configuration Manager używa certyfikatów cyfrowych opartych na infrastrukturze kluczy publicznych (PKI, Public Key Infrastructure), jeśli są dostępne. Korzystanie z tych certyfikatów jest zalecane w celu zwiększenia bezpieczeństwa, ale nie jest wymagane w większości scenariuszy. Te certyfikaty należy wdrażać i zarządzać nimi niezależnie od programu Configuration Manager.

Ten artykuł zawiera informacje o certyfikatach PKI w programie Configuration Manager, które ułatwiają zaplanowanie implementacji. Aby uzyskać więcej ogólnych informacji o używaniu certyfikatów w programie Configuration Manager, zobacz Certyfikaty w programie Configuration Manager.

Odwołanie certyfikatu PKI

W przypadku używania certyfikatów PKI w programie Configuration Manager należy zaplanować użycie listy odwołania certyfikatów (CRL). Urządzenia używają listy CRL do weryfikowania certyfikatu na łączącym się komputerze. Lista CRL to plik tworzony i podpisywany przez urząd certyfikacji. Zawiera listę certyfikatów, które zostały wydane, ale odwołane przez urząd certyfikacji. Gdy administrator certyfikatu odwoła certyfikaty, odcisk palca użytkownika jest dodawany do listy CRL. Jeśli na przykład wiadomo lub podejrzewa się, że wystawiony certyfikat został naruszony.

Usługi IIS zawsze sprawdzają listę CRL pod kątem certyfikatów klientów i nie można zmienić tej konfiguracji w programie Configuration Manager. Domyślnie klienci programu Configuration Manager zawsze sprawdzają listę CRL dla systemów lokacji. To ustawienie można wyłączyć, określając właściwość witryny i określając właściwość CCMSetup.

Komputery, które używają funkcji sprawdzania odwołań certyfikatów, ale nie mogą zlokalizować listy CRL, zachowują się tak, jakby wszystkie certyfikaty w łańcuchu certyfikacji zostały odwołane. Jest to spowodowane tym, że nie mogą sprawdzić, czy certyfikaty znajdują się na liście odwołań certyfikatów. W tym scenariuszu wszystkie połączenia wymagające certyfikatów i obejmujące sprawdzanie listy CRL kończą się niepowodzeniem. Podczas sprawdzania, czy lista CRL jest dostępna, przechodząc do jej lokalizacji HTTP, należy pamiętać, że klient programu Configuration Manager działa jako SYSTEM LOKALNY. Testowanie ułatwień dostępu listy CRL w przeglądarce internetowej w kontekście użytkownika może zakończyć się powodzeniem, ale konto komputera może zostać zablokowane podczas próby nawiązania połączenia HTTP z tym samym adresem URL listy CRL. Na przykład może zostać zablokowany przez wewnętrzne rozwiązanie filtrujące sieć web, takie jak serwer proxy. Dodaj adres URL listy CRL do listy zatwierdzonych dla dowolnych rozwiązań filtrowania sieci Web.

Sprawdzanie listy CRL za każdym razem, gdy jest używany certyfikat, zapewnia większe zabezpieczenie przed użyciem odwołanego certyfikatu. Powoduje to opóźnienie połączenia i więcej przetwarzania na kliencie. Twoja organizacja może wymagać tego sprawdzania zabezpieczeń dla klientów w Internecie lub niezaufanej sieci.

Przed podjęciem decyzji, czy klienci programu Configuration Manager muszą sprawdzać listę CRL, skonsultuj się z administratorami infrastruktury kluczy publicznych. Jeśli są spełnione oba poniższe warunki, rozważ pozostawienie tej opcji włączonej w programie Configuration Manager:

• Infrastruktura infrastruktury PKI obsługuje listę CRL i jest publikowana w miejscach, gdzie wszyscy klienci programu Configuration Manager mogą ją zlokalizować. Klientami tymi mogą być urządzenia w Internecie i te w niezaufanych lasach.

• Wymaganie sprawdzenia listy CRL dla każdego połączenia z systemem lokacji skonfigurowanym do używania certyfikatu PKI jest większe niż następujące wymagania:

  • Szybsze połączenia
  • Sprawne przetwarzanie na kliencie
  • Ryzyko, że klienci nie będą mogli połączyć się z serwerami, jeśli nie będą mogli zlokalizować listy CRL

Zaufane certyfikaty główne infrastruktury kluczy publicznych

Jeśli systemy lokacji usług IIS używają certyfikatów klienta PKI do uwierzytelniania klienta za pośrednictwem protokołu HTTP lub do uwierzytelniania klienta i szyfrowania za pośrednictwem protokołu HTTPS, może być konieczne zaimportowanie certyfikatów głównego urzędu certyfikacji jako właściwości witryny. Oto dwa scenariusze:

• Systemy operacyjne są wdrażane przy użyciu programu Configuration Manager, a punkty zarządzania akceptują tylko połączenia klienckie HTTPS.

• Używasz certyfikatów klienta PKI, które nie są połączone z certyfikatem głównym zaufanym punktom zarządzania.

  Uwaga

  W przypadku wystawiania certyfikatów infrastruktury kluczy publicznych klienta z tej samej hierarchii urzędów certyfikacji, która wystawia certyfikaty serwera używane na potrzeby punktów zarządzania, nie trzeba określać tego certyfikatu głównego urzędu certyfikacji. Jeśli jednak używasz wielu hierarchii urzędów certyfikacji i nie masz pewności, czy ufają sobie nawzajem, zaimportuj główny urząd certyfikacji dla hierarchii urzędów certyfikacji klientów.

Jeśli musisz zaimportować certyfikaty głównego urzędu certyfikacji dla programu Configuration Manager, wyeksportuj je z wystawiającego urzędu certyfikacji lub z komputera klienckiego. Jeśli eksportujesz certyfikat z wystawiającego urzędu certyfikacji, który jest również głównym urzędem certyfikacji, nie eksportuj klucza prywatnego. Wyeksportowany plik certyfikatu należy przechowywać w bezpiecznym miejscu, aby zapobiec naruszeniom. Dostęp do pliku jest potrzebny podczas konfigurowania witryny. W przypadku uzyskiwania dostępu do pliku przez sieć upewnij się, że komunikacja jest chroniona przed naruszeniami przy użyciu protokołu IPsec.

Jeśli którykolwiek z importowanych certyfikatów głównego urzędu certyfikacji zostanie odnowiony, zaimportuj odnowiony certyfikat.

Te zaimportowane certyfikaty głównego urzędu certyfikacji i certyfikat głównego urzędu certyfikacji każdego punktu zarządzania tworzą listę wystawców certyfikatów. Komputery z programem Configuration Manager używają tej listy w następujący sposób:

• Gdy klienci łączą się z punktami zarządzania, punkt zarządzania sprawdza, czy certyfikat klienta jest połączony z zaufanym certyfikatem głównym na liście wystawców certyfikatów lokacji. W przeciwnym razie certyfikat zostanie odrzucony, a połączenie PKI zakończy się niepowodzeniem.

• Gdy klienci wybierają certyfikat PKI i mają listę wystawców certyfikatów, wybierają certyfikat połączony z zaufanym certyfikatem głównym na liście wystawców certyfikatów. W przypadku braku dopasowania klient nie wybiera certyfikatu PKI. Aby uzyskać więcej informacji, zobacz Wybieranie certyfikatu klienta PKI.

Wybieranie certyfikatu klienta PKI

Jeśli systemy lokacji usług IIS używają certyfikatów klienta PKI do uwierzytelniania klienta za pośrednictwem protokołu HTTP lub uwierzytelniania klienta i szyfrowania za pośrednictwem protokołu HTTPS, należy zaplanować, w jaki sposób klienci systemu Windows wybierają certyfikat do użycia w programie Configuration Manager.

W wielu przypadkach wystarcza domyślna konfiguracja i zachowanie. Klient programu Configuration Manager na komputerach z systemem Windows filtruje wiele certyfikatów przy użyciu następujących kryteriów w następującej kolejności:

1. Lista wystawców certyfikatów: certyfikat jest połączony z głównym urzędem certyfikacji, który jest zaufany przez punkt zarządzania.

2. Certyfikat znajduje się w domyślnym magazynie certyfikatów Personal.

3. Certyfikat jest ważny, nie został odwołany i nie wygasł. Sprawdzenie poprawności sprawdza również, czy klucz prywatny jest dostępny.

4. Certyfikat obsługuje uwierzytelnianie klienta.

5. Nazwa podmiotu certyfikatu zawiera nazwę komputera lokalnego w postaci podciągu.

6. Certyfikat ma najdłuższy okres ważności.

Skonfiguruj klientów tak, aby korzystali z listy wystawców certyfikatów, korzystając z następujących mechanizmów:

• Opublikuj ją z informacjami o lokacji programu Configuration Manager w usługach Active Directory Domain Services.

• Zainstaluj klientów za pomocą wypychania klienta.

• Klienci pobierają ją z punktu zarządzania po pomyślnym przypisaniu ich do witryny.

• Określ ją podczas instalacji klienta jako właściwość client.msi CCMSetup CCMCERTISSUERS.

Jeśli klienci nie mają listy wystawców certyfikatów przy pierwszej instalacji i nie są jeszcze przypisani do witryny, pomijają to sprawdzanie. Jeśli klienci mają listę wystawców certyfikatów, a nie mają certyfikatu PKI powiązanego z zaufanym certyfikatem głównym na liście wystawców certyfikatów, wybór certyfikatu kończy się niepowodzeniem. Klienci nie przechodzą do innych kryteriów wyboru certyfikatu.

W większości przypadków klient programu Configuration Manager poprawnie identyfikuje unikatowy i odpowiedni certyfikat infrastruktury kluczy publicznych. Jeśli to zachowanie nie ma miejsca, zamiast wybierać certyfikat na podstawie możliwości uwierzytelniania klienta, możesz skonfigurować dwie alternatywne metody wyboru:

• Częściowe dopasowanie ciągu w nazwie podmiotu certyfikatu klienta. W tej metodzie jest uwzględniana wielkość liter. Jest to odpowiednie, jeśli używasz w pełni kwalifikowanej nazwy domeny (FQDN) komputera w polu podmiotu i chcesz, aby wybór certyfikatu był oparty na sufiksie domeny, na przykład contoso.com. Za pomocą tej metody wyboru można zidentyfikować dowolny ciąg kolejnych znaków w nazwie podmiotu certyfikatu, który odróżnia ten certyfikat od innych w magazynie certyfikatów klienta.

  Uwaga

  Nie możesz użyć częściowego dopasowania ciągu z alternatywną nazwą podmiotu (SAN) jako ustawienia witryny. Mimo że można określić częściowe dopasowanie ciągu dla sieci SAN przy użyciu funkcji CCMSetup, zostanie ono zastąpione przez właściwości lokacji w następujących scenariuszach:

  • Klienci pobierają informacje o lokacjach, które są publikowane w usługach Active Directory Domain Services.
  • Klienci są instalowani za pomocą instalacji wypychanej klienta.

  Częściowego dopasowania ciągu w sieci SAN należy używać tylko wtedy, gdy klienci są instalowani ręcznie i nie pobierają oni informacji o lokacjach z usług Active Directory Domain Services. Te warunki dotyczą na przykład klientów tylko internetowych.

• Zgodność wartości atrybutów nazwy podmiotu certyfikatu klienta lub wartości atrybutów alternatywnej nazwy podmiotu (SAN). W tej metodzie jest uwzględniana wielkość liter. Jest to odpowiednie, jeśli używasz nazwy wyróżniającej X500 lub równoważnych identyfikatorów obiektów (OID) zgodnych ze standardem RFC 3280 i chcesz, aby wybór certyfikatu był oparty na wartościach atrybutów. Można określić tylko atrybuty i ich wartości wymagane do unikatowego zidentyfikowania lub sprawdzenia poprawności certyfikatu oraz odróżnienia go od innych certyfikatów w magazynie certyfikatów.

W poniższej tabeli przedstawiono wartości atrybutów obsługiwane przez program Configuration Manager dla kryteriów wyboru certyfikatu klienta:

Jeśli po zastosowaniu kryteriów wyboru znajduje się więcej niż jeden odpowiedni certyfikat, można zastąpić konfigurację domyślną i wybrać certyfikat o najdłuższym okresie ważności. Zamiast tego możesz określić, że nie jest wybrany żaden certyfikat. W tym scenariuszu klient nie może komunikować się z systemami lokacji usług IIS za pomocą certyfikatu PKI. Klient wysyła komunikat o błędzie do przypisanego rezerwowego punktu stanu w celu poinformowania Cię o błędzie wyboru certyfikatu. Następnie możesz zmienić lub doprecyzować kryteria wyboru certyfikatu.

Zachowanie klienta zależy wtedy od tego, czy połączenie nie powiodło się za pośrednictwem protokołu HTTPS, czy HTTP:

• Jeśli połączenie nie powiodło się za pośrednictwem protokołu HTTPS: klient próbuje nawiązać połączenie za pośrednictwem protokołu HTTP i używa certyfikatu z podpisem własnym klienta.

• Jeśli połączenie nie powiodło się za pośrednictwem protokołu HTTP: klient próbuje ponownie nawiązać połączenie za pośrednictwem protokołu HTTP, używając certyfikatu klienta z podpisem własnym.

Aby ułatwić identyfikację unikatowego certyfikatu klienta PKI, można również określić magazyn niestandardowy, inny niż domyślny magazyn Osobisty w magazynie Komputer . Utwórz niestandardowy magazyn certyfikatów poza programem Configuration Manager. Musisz mieć możliwość wdrożenia certyfikatów w tym magazynie niestandardowym i odnowienia ich przed upływem okresu ważności.

Aby uzyskać więcej informacji, zobacz Konfigurowanie ustawień certyfikatów infrastruktury kluczy publicznych.

Strategia przejścia dla certyfikatów infrastruktury kluczy publicznych

Elastyczne opcje konfiguracji w programie Configuration Manager umożliwiają stopniowe przechodzenie klientów i lokacji do korzystania z certyfikatów PKI w celu zabezpieczenia punktów końcowych klienta. Certyfikaty PKI zapewniają większe bezpieczeństwo i umożliwiają zarządzanie klientami internetowymi.

W tym planie najpierw wprowadzono certyfikaty infrastruktury kluczy publicznych służące do uwierzytelniania tylko za pośrednictwem protokołu HTTP, a następnie do uwierzytelniania i szyfrowania za pośrednictwem protokołu HTTPS. Zastosowanie się do tego planu stopniowego wprowadzania certyfikatów pozwala zmniejszyć ryzyko, że klienci staną się niezarządzani. Skorzystasz również z najwyższych zabezpieczeń obsługiwanych przez program Configuration Manager.

Ze względu na liczbę opcji konfiguracji i opcji w programie Configuration Manager nie ma jednego sposobu przeniesienia lokacji tak, aby wszyscy klienci korzystali z połączeń HTTPS. Poniższe kroki zawierają ogólne wskazówki:

1. Zainstaluj lokację programu Configuration Manager i skonfiguruj ją tak, aby systemy lokacji akceptowały połączenia klientów za pośrednictwem protokołu HTTPS i HTTP.

2. Skonfiguruj kartę Zabezpieczenia komunikacji we właściwościach witryny. Skonfiguruj ustawienia systemu lokacji na HTTP lub HTTPS i wybierz pozycję Użyj certyfikatu klienta PKI (możliwość uwierzytelniania klienta), gdy jest dostępny. Aby uzyskać więcej informacji, zobacz Konfigurowanie ustawień certyfikatów infrastruktury kluczy publicznych.

3. Pilotażowe wdrożenie infrastruktury kluczy publicznych dla certyfikatów klientów. Aby zapoznać się z przykładowym wdrożeniem, zobacz Wdrażanie certyfikatu klienta dla komputerów z systemem Windows.

4. Zainstaluj klientów przy użyciu metody wypychanej instalacji klienta. Aby uzyskać więcej informacji, zobacz Jak zainstalować klientów programu Configuration Manager przy użyciu wypychania klienta.

5. Monitorowanie wdrażania i stanu klientów przy użyciu raportów i informacji w konsoli programu Configuration Manager.

6. Monitoruj, ilu klientów korzysta z certyfikatu PKI klienta, wyświetlając kolumnę Certyfikat klienta w obszarze roboczym Zasoby i zgodność w węźle Urządzenia .

   Uwaga

   W przypadku klientów, którzy mają również certyfikat PKI, konsola programu Configuration Manager wyświetla właściwość Certyfikat klienta jako z podpisem własnym. Właściwość Certyfikat klienta w panelu sterowania klienta pokazuje klucze kluczy publicznych.

   Możesz również wdrożyć Configuration Manager narzędzie do oceny gotowości protokołu HTTPS (CMHttpsReadiness.exe) na komputerach. Następnie użyj raportów, aby zobaczyć, ile komputerów może używać certyfikatu PKI klienta z programem Configuration Manager.

   Uwaga

   Zainstalowanie klienta Configuration Manager spowoduje zainstalowanie narzędzia CMHttpsReadiness.exe w folderze%windir%\CCM. Po uruchomieniu tego narzędzia dostępne są następujące opcje wiersza polecenia:

   • /Store:<Certificate store name>: Ta opcja jest taka sama jak właściwość client.msi CCMCERTSTORE -/Issuers:<Case-sensitive issuer common name>: Ta opcja jest taka sama jak właściwość client.msi CCMCERTISSUERS
   • /Criteria:<Selection criteria>: ta opcja jest taka sama jak właściwość client.msi CCMCERTSEL
   • /SelectFirstCert: Ta opcja jest taka sama jak właściwość client.msi CCMFIRSTCERT

   Narzędzie wyprowadza informacje do CMHttpsReadiness.log w CCM\Logs katalogu.

   Aby uzyskać więcej informacji, zobacz Właściwości instalacji klienta.

7. Gdy masz pewność, że wystarczająca liczba klientów pomyślnie używa certyfikatu infrastruktury kluczy klienta na potrzeby uwierzytelniania za pośrednictwem protokołu HTTP, wykonaj następujące czynności:

   1. Wdróż certyfikat serwera sieci Web infrastruktury kluczy publicznych na serwerze członkowskim, na którym jest uruchomiony inny punkt zarządzania dla lokacji, i skonfiguruj ten certyfikat w usługach IIS. Aby uzyskać więcej informacji, zobacz Wdrażanie certyfikatu serwera sieci Web w systemach lokacji z uruchomionymi usługami IIS.

   2. Zainstaluj rolę punktu zarządzania na tym serwerze. Skonfiguruj opcję Połączenia klienta we właściwościach punktu zarządzania dla protokołu HTTPS.

8. Monitoruj i sprawdzaj, czy klienci z certyfikatem PKI używają nowego punktu zarządzania przy użyciu protokołu HTTPS. W celu weryfikacji można to sprawdzić za pomocą rejestrowania programu IIS lub liczników wydajności.

9. Skonfiguruj ponownie inne role systemu lokacji, aby używać połączeń klienckich HTTPS. Jeśli chcesz zarządzać klientami w Internecie, upewnij się, że systemy lokacji mają internetową nazwę FQDN. Skonfiguruj poszczególne punkty zarządzania i punkty dystrybucji, aby akceptowały połączenia klientów z Internetu.

   Ważna

   Przed skonfigurowaniem ról systemu lokacji w celu akceptowania połączeń z Internetu zapoznaj się z informacjami o planowaniu i wymaganiami wstępnymi dotyczącymi zarządzania klientami opartymi na Internecie. Aby uzyskać więcej informacji, zobacz Komunikacja między punktami końcowymi.

10. Rozszerz wdrożenie certyfikatu PKI dla klientów i systemów lokacji z usługami IIS. Skonfiguruj role systemu lokacji dla połączeń klienta HTTPS i połączeń internetowych zgodnie z wymaganiami.

11. Najwyższy poziom bezpieczeństwa: Gdy masz pewność, że wszyscy klienci używają certyfikatu PKI klienta na potrzeby uwierzytelniania i szyfrowania, zmień właściwości witryny, aby używać tylko protokołu HTTPS.

Następne kroki

• Konfigurowanie zabezpieczeń

• Dokumentacja techniczna kontroli kryptograficznej

• Wymagania dotyczące certyfikatów PKI