Vad är stödet för ML-DSA i AD CS?

služba Active Directory Certificate Services (AD CS) stöder Module-Lattice-Based Digital Signature Algorithm (ML-DSA), en av National Institute of Standards and Technology (NIST) standardiserad post-kvantalgoritm för digitala signaturer som är utformad för att motstå attacker med kvantdatorer. ML-DSA är en algoritm med endast signaturer och stöder inte kryptering eller nyckelutbyte. Du kan konfigurera certifikatutfärdare (CA), certifikatmallar och onlinesvarare (OCSP) för att använda ML-DSA för signeringsåtgärder.

ML-DSA parameteruppsättningar som stöds

AD CS stöder alla tre ML-DSA parameteruppsättningar, alla i rent läge.

Högre parameteruppsättningar ger större säkerhetsmarginaler men ger större nycklar och signaturer. Välj den parameteruppsättning som matchar dina säkerhetskrav och bandbreddsbegränsningar.

ML-DSA-scenarier som stöds

AD CS stöder ML-DSA i certifikatets livscykel – konfiguration av CA-hierarki, utfärdande av lövcertifikat och OCSP-svarssignering. Varje scenario länkar till motsvarande konfigurationsguide.

CA-hierarki

AD CS stöder ML-DSA som signaturalgoritm för rot-, underordnade, företags- och fristående certifikatutfärdare. Fullständigt post-kvantskydd kräver ML-DSA-signaturer genom hela certifikatkedjan. Mer information finns i Konfigurera en certifikatutfärdare att använda ML-DSA.

Kodsignering

Konfigurera certifikatmallar på certifikatutfärdare för att utfärda ML-DSA kodsigneringscertifikat. Mer information finns i Konfigurera certifikatmallar för ML-DSA.

TLS och autentisering

Konfigurera webbserver-, användar- och datormallar för att utfärda ML-DSA certifikat som autentiserar servrar och klienter med hjälp av post-quantum-signaturer. Mer information finns i Konfigurera certifikatmallar för ML-DSA.

signering av OCSP-svar

Konfigurera onlinesvarare med ML-DSA OCSP-svarssigneringscertifikat. Mer information finns i Konfigurera onlinesvarare (OCSP) för användning av ML-DSA.

Plattformskrav

ML-DSA support kräver lägsta operativsystemversioner för både CA-servrar och -klienter.

Krav för certifikatmall

Alla ML-DSA lövcertifikatmallar – kodsignering, TLS, användare/dator och OCSP-svarssignering – måste uppfylla följande krav. Konfigurationssteg finns i Konfigurera certifikatmallar för ML-DSA.

Relaterat innehåll

• Översikt över kryptografi efter kvantkryptering i AD CS
• Konfigurera en certifikatutfärdare att använda ML-DSA
• Konfigurera certifikatmallar för ML-DSA
• Konfigurera onlinesvarare (OCSP) för att använda ML-DSA