Certificati

Il ruolo dei certificati digitali si è rapidamente diffuso in computer singoli e reti, nonché su Internet. Sebbene i certificati possano essere utilizzati senza necessità di intervento da parte dell'utente, è tuttavia importante esaminare e comprendere i contenuti dei certificati, nonché apprendere come gestirne l'utilizzo. A tale scopo, è possibile utilizzare lo snap-in certificati.

  • Che cos'è lo snap-in certificati?

  • Panoramica dei certificati

  • Aggiungere lo snap-in certificati a una console MMC

  • Gestire i certificati

  • Risolvere i problemi relativi ai certificati

  • Risorse relative ai certificati


Che cos'è lo snap-in certificati?

Lo snap-in certificati è lo strumento principale che consente a utenti e amministratori di visualizzare e gestire certificati per utenti, computer e servizi.

Lo snap-in certificati consente all'utente di richiedere, rinnovare, trovare, visualizzare, spostar, copiare ed eliminare i certificati.

Perché utilizzare lo snap-in certificati

Lo snap-in certificati è uno strumento versatile per la gestione di certificati per utenti, computer o servizi. È possibile utilizzarlo per individuare i certificati archiviati in un computer, la relativa posizione oppure le opzioni di configurazione ad essi applicate.

L'utilizzo dello snap-in certificati consente inoltre di avviare procedure guidate che semplificano le attività di:

  • Registrazione di nuovi certificati

  • Rinnovo di certificati esistenti

  • Ricerca di certificati

  • importazione di certificati

  • Esportazione o backup di certificati

Nella maggior parte dei casi gli utenti non devono gestire personalmente i propri certificati e i relativi archivi. Questa operazione può essere eseguita dagli amministratori, tramite le impostazioni dei criteri e mediante programmi che utilizzano i certificati.

Gli amministratori sono gli utenti primari dello snap-in certificati e, in quanto tali, sono in grado di svolgere numerose operazioni di gestione dei certificati nei relativi archivi personali e negli archivi certificati dei computer o dei servizi che amministrano. Gli utenti possono soltanto gestire certificati inclusi nel relativo archivio personale.

Per informazioni sui certificati e su come utilizzare lo snap-in certificati, vedere gli argomenti seguenti:

  • Panoramica dei certificati

  • Aggiungere lo snap-in certificati a una console MMC

  • Gestire i certificati

  • Risolvere i problemi relativi ai certificati

  • Risorse relative ai certificati


Panoramica dei certificati

Un certificato di chiave pubblica, denominato in genere solo certificato, è una dichiarazione con firma digitale che associa il valore di una chiave pubblica all'identità di una persona, di un dispositivo o di un servizio che detiene la chiave privata corrispondente. Uno dei principali vantaggi dei certificati è rappresentato dal fatto che non è più necessario che gli host gestiscano un gruppo di password dei singoli soggetti che devono essere autenticati come condizione preliminare per l'accesso. Sarà sufficiente che gli host considerino attendibile un'autorità di certificazione.

La maggior parte dei certificati comunemente utilizzati si basa sullo standard X.509 v3.

In genere i certificati contengono le informazioni seguenti:

  • il valore della chiave pubblica del soggetto

  • informazioni di identificazione del soggetto, quali il nome e l'indirizzo di posta elettronica

  • il periodo di validità (il periodo nel quale il certificato è considerato valido)

  • informazioni di identificazione dell'autorità di certificazione

  • La firma digitale dell'autorità di certificazione, che attesta la validità del binding tra la chiave pubblica e le informazioni di identificazione del soggetto.

Un certificato è valido esclusivamente per il periodo specificato e tutti i certificati contengono la data di inizio e la data di fine della validità, che rappresentano i limiti del periodo di validità. Trascorso il periodo di validità del certificato, il soggetto del certificato scaduto dovrà richiederne uno nuovo.

  • Utilizzare i certificati

  • Chiavi pubblica e privata

  • Formati di file dei certificati


Utilizzare i certificati

I certificati possono essere utilizzati ai fini di:

  • Autenticazione, ovvero la verifica dell'identità di persone o entità.

  • Privacy, ovvero per assicurare che le informazioni siano disponibili solo per i destinatari previsti.

  • Crittografia, ovvero l'alterazione delle informazioni in modo da impedire che vengano decifrate da parte di persone o entità non autorizzate.

  • Firme digitali, ovvero per garantire che i messaggi non vengano ripudiati e conservino l'integrità.

Questi servizi possono rivelarsi molto utili per la sicurezza delle comunicazioni. Inoltre, i certificati sono utilizzati in molte applicazioni, ad esempio applicazioni di gestione della posta elettronica e Web browser.

Autenticazione

L'autenticazione è un fattore di importanza cruciale per la sicurezza delle comunicazioni. Gli utenti devono essere in grado di provare la propria identità a coloro con cui comunicano e devono inoltre poter verificare l'identità di altri utenti. L'autenticazione dell'identità su una rete è un processo complesso poiché in questo tipo di comunicazione non esiste un riscontro fisico tra i partecipanti. Ciò potrebbe dar modo a soggetti malintenzionati di intercettare i messaggi o assumere l'identità di un'altra persona o entità.

Privacy

Se si trasmettono informazioni di carattere riservato tra sistemi di elaborazione su qualunque tipo di rete, è consigliabile utilizzare una forma di crittografia per mantenere segreti i dati.

Crittografia

Il concetto di crittografia può essere paragonato all'azione di riporre un oggetto di valore in una cassaforte chiusa a chiave. Viceversa, la decrittografia può essere paragonata all'apertura della cassaforte per recuperare l'oggetto di valore. I dati riservati memorizzati nei computer come messaggi di posta elettronica, file su disco e file trasmessi in rete possono essere crittografati utilizzando una chiave. I dati crittografati e la chiave utilizzata per crittografarli risulteranno entrambi illeggibili.

Per ulteriori informazioni sulla crittografia e i certificati, vedere Risorse relative ai certificati.

Firme digitali

Una firma digitale è un mezzo per garantire l'integrità e l'origine dei dati. La firma digitale costituisce la prova che i dati non sono stati alterati dal momento in cui è stata apposta e conferma l'identità della persona o dell'entità che ha firmato i dati. Ciò consente di implementare importanti funzionalità di sicurezza, quali l'integrità e il non ripudio, essenziali per garantire transazioni sicure nell'ambito del commercio elettronico.

Le firme digitali in genere sono utilizzate quando i dati vengono distribuiti in testo normale, ovvero in forma non crittografata. In questi casi, benché il messaggio di per sé non contenga informazioni riservate tali da giustificare l'utilizzo della crittografia, vi possono comunque essere validi motivi per assicurarsi che i dati vengano ricevuti nella forma originale e non siano stati inviati da un impostore poiché, in un ambiente di elaborazione distribuito, il testo normale può ovviamente essere letto o alterato da chiunque abbia accesso alla rete, autorizzato o meno.

Ulteriori riferimenti

  • Panoramica dei certificati


Chiavi pubblica e privata

Nella crittografia a chiave pubblica vengono utilizzate due chiavi diverse per crittografare e decrittografare le informazioni. La chiave privata è nota solo al proprietario, mentre la chiave pubblica può essere resa nota e disponibile ad altre entità presenti in rete.

Le due chiavi sono diverse ma complementari dal punto di vista della loro funzione. La chiave pubblica di un utente può ad esempio essere pubblicata in un certificato all'interno di una cartella, in modo che altri utenti dell'organizzazione possano accedervi. Il mittente di un messaggio può recuperare il certificato dell'utente da Servizi di dominio Active Directory, ottenere la chiave pubblica dal certificato e quindi crittografare il messaggio utilizzando la chiave pubblica del destinatario. Le informazioni crittografate con la chiave pubblica possono essere decrittografate solo mediante la chiave privata corrispondente della coppia, la quale è disponibile solo al proprietario, ovvero il destinatario del messaggio.

Ulteriori riferimenti

  • Panoramica dei certificati

  • Provider del servizio di crittografia


Formati di file dei certificati

Le operazioni di importazione ed esportazione di certificati supportano quattro formati di file. Scegliere il formato che soddisfa i requisiti specifici.

  • Scambio di informazioni personali (PKCS #12)

    Il formato Scambio di informazioni personali, o PKCS #12, con estensione pfx, supporta l'archiviazione sicura di certificati e chiavi private e di tutti i certificati in un percorso di certificazione.

    Il formato PKCS #12 è l'unico formato di file che è possibile utilizzare per l'esportazione di un certificato e della relativa chiave privata.

  • Standard di sintassi dei messaggi crittografati (PKCS #7)

    Il formato PKCS #7 supporta l'archiviazione di certificati e tutti i certificati nel percorso di certificazione.

  • Binario codificato DER X.509

    Il formato DER (Distinguished Encoding Rules) supporta l'archiviazione di un unico certificato. Questo formato non supporta l'archiviazione della chiave privata o del percorso di certificazione.

  • Codificato Base64 X.509

    Il formato Base64 supporta l'archiviazione di un unico certificato. Questo formato non supporta l'archiviazione della chiave privata o del percorso di certificazione.

Ulteriori riferimenti

  • Panoramica dei certificati

  • Importare un certificato

  • Esportare un certificato

  • Esportare un certificato con la chiave privata

  • Visualizzare i certificati in un file PKCS #7


Aggiungere lo snap-in certificati a una console MMC

È possibile utilizzare lo snap-in certificati per gestire certificati per account utenti, computer o servizi. Per passare dalla gestione dei certificati dell'account utente alla gestione dei certificati di un computer o di un servizio, è necessario aggiungere alla console istanze separate dello snap-in certificati.

  • Per un account utente

  • Per un account computer

  • Per un servizio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per aggiungere lo snap-in certificati a una console MMC per un account utente

  1. Fare clic sul pulsante Start, digitare mmc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare doppio clic su Certificati e quindi:

    • Se si è effettuato l'accesso al sistema come amministratore, selezionare Account dell'utente e quindi scegliere Fine.

    • Se si è effettuato l'accesso al sistema come utente, lo snap-in Certificati verrà caricato automaticamente.

  4. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  5. Per salvare la console, scegliere Salva dal menu File.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per aggiungere lo snap-in certificati a una console MMC per un account computer

  1. Fare clic sul pulsante Start, digitare mmc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare doppio clic su Certificati.

  4. Selezionare Account del computer e quindi fare clic su Avanti.

  5. Eseguire una delle operazioni seguenti:

    • Per gestire i certificati del computer locale, fare clic su Computer locale e quindi scegliere Fine.

    • Per gestire certificati per un computer remoto, fare clic su Altro computer e quindi digitare il nome del computer oppure fare clic su Sfoglia per selezionarne il nome e quindi fare clic su Fine.

  6. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  7. Per salvare la console, scegliere Salva dal menu File.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Per gestire i certificati di un altro computer, è possibile creare un'altra istanza dello snap-in Certificati oppure fare clic con il pulsante destro del mouse su Certificati (nome computer) e quindi scegliere Connetti a un altro computer.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per aggiungere lo snap-in certificati a una console MMC per un servizio

  1. Fare clic sul pulsante Start, digitare mmc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare doppio clic su Certificati.

  4. Selezionare Account del servizio e quindi fare clic su Avanti.

  5. Eseguire una delle operazioni seguenti:

    • Per gestire certificati di servizi sul computer locale, fare clic su Computer locale e quindi scegliere Avanti.

    • Per gestire certificati per un servizio per un computer remoto, fare clic su Altro computer e quindi digitare il nome del computer oppure fare clic su Sfoglia per selezionarne il nome e quindi fare clic su Fine.

  6. Selezionare il servizio per il quale si gestiscono i certificati.

  7. Fare clic su Fine e quindi su Chiudi.

  8. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  9. Per salvare la console, scegliere Salva dal menu File.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario essere membri del gruppo Administrators nel computer locale oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire questa procedura. Per una sicurezza ottimale, è consigliabile eseguire questa procedura tramite la funzionalità Esegui come.

  • Per gestire i certificati di un servizio su un altro computer, è possibile creare un'altra istanza dello snap-in Certificati oppure fare clic con il pulsante destro del mouse su Certificati – Servizio (nome servizio) su Nome computer e quindi scegliere Connetti a un altro computer.


Gestire i certificati

I certificati vengono in genere rilasciati a un determinato computer, utente o servizio, con scopi e durate specifiche e sono spesso emessi per destinatari specifici. Di conseguenza, potrebbe essere talvolta necessario ottenere certificati aggiuntivi, rinnovare quelli esistenti, esaminare o modificare le proprietà di un certificato oppure spostare i certificati. Sebbene molte di queste attività possano essere eseguite per un singolo computer, utente o servizio, altre consentono di ottenere risultati ottimali se eseguite in modo automatico da un amministratore su un server. Nelle sezioni seguenti vengono descritte attività comuni di gestione dei certificati e le procedure necessarie per completarle.

  • Ottenere un certificato

  • Rinnovare un certificato

  • Visualizzare i certificati

  • Modificare le proprietà di un certificato

  • Eliminare un certificato

  • Trovare certificati

  • Spostare certificati

  • Automatizzare la gestione dei certificati


Ottenere un certificato

Per registrare un certificato, è necessario che l'utente, il computer o il servizio provvisto di accesso alla chiave privata associata alla chiave pubblica che farà parte del certificato crei una richiesta. A seconda dei Criteri chiave pubblica stabiliti dall'amministratore di sistema, gli utenti, i computer e i servizi possono eseguire la registrazione automatica di certificati senza alcun intervento da parte dell'utente.

Gli utenti possono inoltre ottenere i certificati nei modi seguenti:

  • Avviando la registrazione automatica dallo snap-in certificati.

  • Richiedendo i certificati mediante la Richiesta guidata certificato.

  • Richiedendo un certificato sul Web.

Gli amministratori possono inoltre richiedere certificati per utenti di servizi smart card e certificati di servizi smart card per accedere al sistema per conto di altri utenti utilizzando il proprio certificato di agente di registrazione.

Negli argomenti seguenti vengono illustrate le procedure da utilizzare per ottenere i certificati:

  • Registrare automaticamente un certificato mediante lo snap-in certificati

  • Richiedere certificati utilizzando la Richiesta guidata certificato

  • Richiedere un certificato sul Web

  • Registrare certificati per conto di altri utenti

Ulteriori riferimenti

  • Gestire i certificati


Registrare automaticamente un certificato mediante lo snap-in certificati

In molte organizzazioni viene utilizzato Criteri di gruppo per registrare automaticamente certificati per utenti, computer e servizi. Con la registrazione automatica, è possibile inviare agli utenti promemoria che richiedono il completamento della registrazione. Potrebbero tuttavia verificarsi casi in cui un utente o un amministratore desideri verificare che tutte le richieste di registrazione automatica in sospeso vengano elaborate. Nella procedura seguente viene descritto come completare questa attività.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per eseguire la registrazione automatica di un certificato mediante lo snap-in Certificati

  1. Aprire lo snap-in certificati per un utente o un computer.

  2. Nell'albero della console fare clic su Certificati - Utente corrente oppure su Certificati (computer locale).

  3. Scegliere Tutte le attività dal menu Azione, quindi fare clic su Registra i certificati automaticamente.

  4. Fare clic su Avanti. Selezionare i certificati che si desidera ottenere e quindi fare clic su Registrazione. Al termine del processo di registrazione, fare clic su Fine.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

Ulteriori riferimenti

  • Ottenere un certificato


Richiedere certificati utilizzando la Richiesta guidata certificato

Quando si richiede un certificato a un'autorità di certificazione dell'organizzazione (enterprise) Windows Server 2003, è possibile utilizzare la Richiesta guidata certificato disponibile nello snap-in certificati. Questa procedura consente di eseguire in modo semplificato i passaggi descritti di seguito.

  • Selezione dell'autorità di certificazione a cui inviare la richiesta.

  • Selezione del modello di certificato appropriato da utilizzare per il nuovo certificato.

    I modelli di certificato sono configurazioni predefinite che forniscono impostazioni comuni per la richiesta di certificati e definiscono lo scopo per cui il certificato richiesto verrà utilizzato. L'elenco di modelli di certificato a disposizione dell'utente è determinato dai tipi di certificato che l'autorità di certificazione può rilasciare in base alla configurazione e dai diritti di accesso al modello di certificato che l'amministratore di sistema ha eventualmente concesso all'utente.

  • (Facoltativo) Utilizzo delle Opzioni avanzate della Richiesta guidata certificato per selezionare il provider del servizio di crittografia (CSP) che genererà la coppia di chiavi associata alla richiesta di certificato.

Per istruzioni sull'avvio e sull'utilizzo della Richiesta guidata certificato, vedere Richiedere un certificato.

È inoltre possibile utilizzare la Richiesta guidata certificato per richiedere un nuovo certificato a un'autorità di certificazione dell'organizzazione (enterprise) utilizzando una coppia di chiavi esistente già associata a un altro certificato.

Ulteriori riferimenti

  • Richiedere un certificato

  • Creare una richiesta certificato personalizzata

  • Salvare una richiesta certificato in un file

  • Firmare richieste certificato

  • Ottenere un certificato


Richiedere un certificato

Per richiedere certificati è possibile utilizzare lo snap-in Certificati. È possibile richiedere qualsiasi tipo di certificato preconfigurato e reso disponibile da un amministratore dell'autorità di certificazione (CA) che elaborerà la richiesta.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per richiedere un certificato

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console fare clic su Certificati - Utente corrente oppure su Certificati (computer locale). Selezionare l'archivio certificati Personale.

  3. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Richiedi nuovo certificato per avviare la procedura guidata Registrazione certificato. Fare clic su Avanti.

  4. Selezionare i tipi di certificati che si desidera richiedere.

  5. È possibile fare clic su Dettagli per esaminare ulteriori informazioni su ogni certificato.

    Se viene visualizzato un simbolo di attenzione sotto il certificato, potrebbe essere necessario specificare ulteriori informazioni prima di richiedere tale tipo di certificato. Fare clic sul messaggio Sono necessarie ulteriori informazioni per registrare il certificato. Per configurare le impostazioni, fare clic qui e specificare le informazioni richieste, ad esempio il nome soggetto o il percorso di un certificato di firma valido.

  6. Per completare la procedura, fare clic su Registrazione.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • È possibile utilizzare questa procedura solo per richiedere certificati a un'autorità di certificazione dell'organizzazione (enterprise). Per richiedere certificati a un'autorità di certificazione autonoma, è necessario utilizzare le pagine Web. La pagina Web per una CA basata su Windows si trova all'indirizzo http://servername/certsrv, dove servername rappresenta il nome del server che ospita la CA.

  • Se per il tipo di certificato richiesto è necessaria l'approvazione prima dell'emissione, occorre recuperare il certificato completo mediante le pagine Web.

  • Per richiedere un certificato DSS (Digital Signature Standard) a un'autorità di certificazione dell'organizzazione (enterprise), nella Richiesta guidata certificato è necessario selezionare il modello di certificato Solo firma digitale utente.

Ulteriori riferimenti

  • Nomi soggetto

  • Estensioni certificato

  • Provider del servizio di crittografia

  • Linee guida per l'utilizzo di formati di firma alternativi


Nomi soggetto

Il possessore della chiave privata associata a un certificato è noto come soggetto. Può trattarsi di un utente, un programma o, virtualmente, di qualsiasi oggetto, computer o servizio.

Poiché il nome del soggetto può variare enormemente in base alla propria natura, è necessaria una certa flessibilità nel fornire il nome del soggetto nella richiesta di certificato. È possibile generare il nome del soggetto automaticamente dalle informazioni sul soggetto archiviate in Servizi di dominio Active Directory. In alternativa, il soggetto può specificare il nome manualmente, ad esempio mediante la creazione e l'invio di una richiesta di certificato tramite le pagine Web di registrazione dei certificati.

Le autorità di certificazione dell'organizzazione (enterprise) includono lo snap-in Modelli di certificato per la configurazione di modelli di certificato. Utilizzare la scheda Nome soggetto nella pagina delle proprietà del modello di certificato per configurare le opzioni relative ai nomi di soggetto.

Inserire nella richiesta

Quando l'opzione Inserisci nella richiesta è selezionata, è disponibile l'opzione Utilizza le informazioni del soggetto dei certificati esistenti per le richieste di rinnovo della registrazione automatica che semplifica l'attività di aggiunta del nome del soggetto alla richiesta di rinnovo del certificato e consente il rinnovo automatico dei certificati computer. Per il rinnovo automatico dei certificati utente non vengono utilizzate le informazioni relative al soggetto presenti nei certificati esistenti.

Se l'opzione Utilizza le informazioni del soggetto dei certificati esistenti per le richieste di rinnovo della registrazione automatica è selezionata, durante la creazione automatica di richieste di rinnovo o l'utilizzo dello snap-in Certificati il client di registrazione dei certificati legge il nome e il nome alternativo del soggetto da un certificato computer esistente basato sullo stesso modello di certificato. Questo vale per i certificati computer scaduti, revocati o nel periodo di rinnovo.

Creare in base alle informazioni di Servizi di dominio Active Directory

Quando l'opzione Crea in base alle informazioni di Active Directory è selezionata, è possibile configurare le opzioni aggiuntive seguenti.

Formato del nome soggetto

Impostazione | Descrizione
Nome comune | Il nome del soggetto viene creato dall'autorità di certificazione in base al nome comune ottenuto da Servizi di dominio Active Directory. Tale nome deve essere univoco all'interno di un dominio, tuttavia potrebbe non esserlo nell'ambito di un'organizzazione.
Nome distinto completo (DN) | Il nome del soggetto viene creato dall'autorità di certificazione in base al nome distinto completo ottenuto da Servizi di dominio Active Directory. Ciò garantisce l'univocità del nome all'interno dell'organizzazione.
Includi nome posta elettronica nel nome soggetto. | Se il campo Nome posta elettronica non è vuoto nell'oggetto utente di Active Directory, questo verrà incluso insieme al nome comune o al nome distinto completo nel nome del soggetto.
Nessuno | Non è necessario un valore di nome per il certificato.

Includere le informazioni nel nome soggetto alternativo

Impostazione | Descrizione
Nome posta elettronica | Se il campo Nome posta elettronica non è vuoto nell'oggetto utente di Active Directory, tale nome verrà utilizzato.
Nome DNS | Nome di dominio completo (FQDN) del soggetto che ha richiesto il certificato. Viene principalmente utilizzato nei certificati per i computer.
Nome entità utente (UPN) | Il nome dell'entità utente fa parte dell'oggetto utente di Active Directory e verrà utilizzato.
Nome principale servizio (SPN, Service Principal Name) | Il nome dell'entità servizio fa parte dell'oggetto computer di Active Directory e verrà utilizzato.


Estensioni certificato

La scheda Estensioni consente agli amministratori di definire criteri specifici relativi ad applicazione, rilascio, tipi di soggetto dei certificati e attributi di utilizzo delle chiavi per un modello di certificato.

Criteri di applicazione

I criteri di applicazione sono impostazioni con le quali si comunica a una destinazione che il soggetto possiede un certificato che può essere utilizzato per eseguire una specifica operazione. Queste impostazioni sono rappresentate in un certificato da un identificatore di oggetto definito per una determinata applicazione. L'identificatore di oggetto è incluso nel certificato emesso. Quando un soggetto presenta il proprio certificato, questo può essere esaminato dalla destinazione per verificare il criterio di applicazione e determinare se è possibile eseguire l'operazione richiesta.

Criteri di rilascio

I criteri di rilascio, noti inoltre come criteri certificati, definiscono le misure utilizzate per identificare il soggetto del certificato e quindi il livello di garanzia di un certificato rilasciato. L'organizzazione potrebbe ad esempio richiedere un incontro di persona prima di rilasciare il certificato in modo da offrire un libello maggiore di garanzia.

Tipo di soggetto del certificato

Il tipo di soggetto del certificato, ovvero l'insieme di informazioni del modello di certificato, definisce lo scopo di un certificato o di un modello di certificato.

Non è possibile modificare l'estensione del tipo di soggetto del certificato. Se è necessario applicare a un certificato un tipo di soggetto specifico, l'amministratore deve duplicarlo da un modello di certificato che lo include.

Utilizzo di chiavi

Con un certificato, il soggetto è in grado di eseguire una specifica operazione. Per poter controllare l'utilizzo di un certificato al di là dello scopo previsto, vengono applicate automaticamente restrizioni ai certificati. L'utilizzo di chiavi è un metodo di restrizione che stabilisce il tipo di utilizzo di un certificato. L'amministratore potrà emettere certificati che possono essere utilizzati solo per specifiche operazioni oppure per una vasta gamma di funzioni. Se non viene specificato un determinato utilizzo, sarà possibile utilizzare il certificato per qualsiasi scopo.

Per le firme, l'utilizzo delle chiavi può essere limitato a uno o più degli scopi seguenti:

  • Firma digitale

  • Firma come prova dell'origine (non ripudio)

  • Firma certificato

  • Firma CRL

Per l'utilizzo delle chiavi di crittografia, sono disponibili le opzioni seguenti:

  • Scambio chiave senza crittografia

  • Scambio chiave soltanto con crittografia

Attributi

Oltre alle informazioni necessarie all'autorità di certificazione (CA) per costruire il certificato richiesto, una richiesta di certificato include inoltre gli attributi che descrivono la modalità di creazione della richiesta stessa. Gli attributi della richiesta di certificato includono, tra l'altro, la versione del sistema operativo e l'applicazione utilizzati per creare la richiesta, il provider del servizio di crittografia utilizzato per generare la coppia di chiavi e il modello di certificato su cui si basa la richiesta.

Gli attributi vengono aggiunti automaticamente alle richieste di certificato create mediante lo snap-in Certificati e vengono archiviati nel database della CA con ogni richiesta di certificato.

Ulteriori riferimenti

  • Richiedere un certificato


Provider del servizio di crittografia

Un provider del servizio di crittografia (CSP) è un programma che esegue servizi di autenticazione, codifica e crittografia a cui le applicazioni basate su Windows accedono tramite l'interfaccia Microsoft Cryptography Application Programming Interface (CryptoAPI). Ogni CSP offre un'implementazione diversa dell'interfaccia CryptoAPI. Alcuni forniscono algoritmi di crittografia più avanzati, mentre altri utilizzano componenti hardware, ad esempio le smart card.

Quando si crea una richiesta per un nuovo certificato, le informazioni immesse vengono innanzitutto inviate dal programma di richiesta a CryptoAPI. CryptoAPI fornisce i dati appropriati a un CSP installato nel computer oppure a un dispositivo accessibile da quest'ultimo. Se il CSP è basato su software, genererà nel computer una chiave pubblica e una chiave privata, a cui si fa spesso riferimento come coppia di chiavi. Se il CSP è basato su hardware, ad esempio un CSP di servizi smart card, questo invierà istruzioni a un componente hardware affinché generi la coppia di chiavi.

Dopo avere generato le chiavi, il CSP di tipo software crittograferà e quindi proteggerà la chiave privata, mentre quello di servizi smart card archivierà la chiave privata su una smart card. La smart card controllerà quindi l'accesso alla chiave.

La chiave pubblica verrà invece inviata all'autorità di certificazione (CA), insieme alle informazioni relative al richiedente del certificato. Dopo avere verificato la richiesta in base ai criteri stabiliti, l'autorità di certificazione utilizzerà la propria chiave privata per creare una firma digitale nel certificato e lo rilascerà al richiedente. L'autorità di certificazione presenta il certificato al richiedente insieme all'opzione di installazione nell'archivio certificati appropriato nel computer o nel dispositivo hardware.

Per ulteriori informazioni, vedere Richiedere un certificato e Linee guida per l'utilizzo di formati di firma alternativi.


Creare una richiesta certificato personalizzata

Gli amministratori configurano in genere in anticipo modelli che possano essere utilizzati per richiedere o registrare certificati. Le richieste personalizzate possono essere utilizzate per modificare un modello di certificato in modo che soddisfi requisiti particolari oppure per creare un nuovo certificato non basato su un modello. È inoltre possibile utilizzarle per salvare una richiesta certificato in un file affinché venga elaborata successivamente o su un altro computer.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per creare una richiesta certificato personalizzata

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console fare doppio clic su Personale e quindi fare clic su Certificati.

  3. Scegliere Tutte le attività dal menu Azione, scegliere Operazioni avanzate e quindi fare clic su Create richiesta personalizzata per avviare la Registrazione guidata certificato. Fare clic su Avanti.

  4. Nell'elenco Modelli della pagina Richiesta personalizzata eseguire una delle operazioni seguenti:

    • Se si conosce il tipo di certificato da richiedere e si desidera accettare le opzioni di configurazione predefinite, selezionare il modello di certificato appropriato.

    • Se è necessario un certificato completamente personalizzato, selezionare (Nessun modello) Chiave CNG o (Nessun modello) Chiave legacy.

    Nota

    Le chiavi CNG potrebbero non essere compatibili con tutte le applicazioni.

  5. Ogni modello di certificato include un gruppo standard di estensioni che indicano ulteriori informazioni di identificazione del soggetto oppure relative all'utilizzo della chiave, ovvero le attività, ad esempio firma o crittografia, per le quali la chiave può essere utilizzata. Se si desidera utilizzare solo le estensioni personalizzate specificate, selezionare la casella di controllo Elimina estensioni predefinite.

  6. Selezionare il formato di file che si desidera utilizzare per la richiesta certificato:

    • PKCS #10 è un formato alquanto diffuso per le richieste certificato.

    • CMC può essere utilizzato per preparare richieste da inviare a un'autorità di certificazione non Microsoft.

  7. Fare clic su Avanti.

  8. Fare clic su Dettagli per visualizzare i dettagli della richiesta certificato. Se si desidera personalizzare ulteriormente la richiesta, fare clic su Proprietà e impostare le opzioni desiderate. Al termine, fare clic su OK per chiudere Proprietà certificato e quindi fare clic su Avanti.

  9. Immettere un nome e un percorso per il file e fare clic su Fine.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

Ulteriori riferimenti

  • Richiedere certificati utilizzando la Richiesta guidata certificato


Salvare una richiesta certificato in un file

È possibile preparare una richiesta certificato da utilizzare successivamente oppure mantenere una copia della richiesta anche se elaborata contemporaneamente al salvataggio.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per salvare una richiesta di certificato in un file PKCS #10 o CMC

  1. Aprire un Web browser.

  2. Passare all'indirizzo http://servername/certsrv, dove servername è il nome del server Web che ospita le pagine di registrazione Web dell'autorità di certificazione (CA).

  3. Fare clic su Richiedi un certificato e in Richiesta avanzata di certificati fare clic su Creare e inviare una richiesta a questa CA.

  4. Immettere le informazioni di identificazione richieste e le altre opzioni necessarie.

  5. In Opzioni aggiuntive selezionare il formato di file da utilizzare.

  6. Nel campo Nome percorso completo digitare un percorso e un nome file.

  7. Fare clic su Invia. Il file verrà salvato sul desktop del computer.

  8. Al termine dell'utilizzo delle pagine di registrazione Web, chiudere il Web browser.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Il componente che consente la registrazione Web in questa versione di Windows è diverso da quello disponibile in Windows Server 2003 e Windows XP. Le pagine di registrazione Web della CA di Windows Server 2003 devono essere aggiornate per supportare i client che eseguono Microsoft Windows Vista o Windows 7. Per ulteriori informazioni, visitare il sito Web Guida e supporto tecnico Microsoft (http://go.microsoft.com/fwlink/?LinkId=85331).

Ulteriori riferimenti

  • Richiedere certificati utilizzando la Richiesta guidata certificato


Firmare richieste certificato

In alcuni casi, le richieste certificato devono essere firmate digitalmente mediante un certificato di firma o un agente di registrazione valido affinché possano essere elaborate da un'autorità di certificazione.

Importante

Se si dispone di un certificato Agente di autorizzazione, è possibile registrare un certificato e generare una smart card per conto di qualsiasi utente nell'organizzazione. La smart card risultante può essere utilizzata ad esempio per accedere alla rete e rappresentare l'utente reale. Poiché le funzionalità dei certificati di tipo Agente di registrazione sono estremamente potenti, è consigliabile adottare severi criteri di sicurezza relativamente a tali certificati.

Una possibilità di ridurre al minimo il rischio di utilizzo improprio del certificato Agente di registrazione consiste nel disporre di una autorità di certificazione subordinata con controlli amministrativi molto severi utilizzata nell'organizzazione solo allo scopo di rilasciare certificati Agente di registrazione. Dopo il rilascio dei certificati Agente di registrazione, l'amministratore dell'autorità di certificazione può disabilitare il rilascio di questo tipo di certificato finché non risulti nuovamente necessario consentirne il rilascio.

Limitando gli amministratori a cui è consentito utilizzare il servizio dell'autorità di certificazione subordinata, è possibile mantenere online il servizio per la generazione e la distribuzione di elenchi di revoche di certificati, se necessario.

Altre autorità di certificazione nella gerarchia potranno comunque rilasciare certificati Agente di registrazione se le rispettive impostazioni dei criteri vengono modificate, tuttavia l'utente può determinare se vengono rilasciati certificati Agente di distribuzione inappropriati controllando regolarmente il registro dei certificati rilasciati per ogni autorità di certificazione.

Ulteriori riferimenti

  • Richiedere certificati utilizzando la Richiesta guidata certificato


Panoramica di Servizio Web di informazioni sulle registrazioni di certificati

Servizio Web di informazioni sulle registrazioni di certificati è un servizio ruolo di Servizi certificati Active Directory che consente a utenti e computer di ottenere informazioni sui criteri di registrazione dei certificati. Insieme a Servizio Web di registrazione certificati, questo servizio consente la registrazione di certificati basata su criteri quando il computer client non è un membro di un dominio o quando un membro del dominio non è connesso al dominio.

Per comunicare le informazioni sui criteri dei certificati ai computer client della rete, Servizio Web di registrazione certificati utilizza il protocollo HTTPS. Il servizio Web utilizza il protocollo LDAP per recuperare i criteri dei certificati da Servizi di dominio Active Directory e memorizza nella cache le informazioni sui criteri per soddisfare le richieste client. Nelle versioni precedenti di Servizi certificati Active Directory le informazioni sui criteri dei certificati sono accessibili solo per i computer client del dominio che utilizzano il protocollo LDAP. In tale modo l'emissione di certificati basati su criteri viene limitata ai limiti di trust stabiliti dalle foreste di Servizi di dominio Active Directory.

La pubblicazione di criteri di registrazione su HTTPS consente i nuovi scenari di distribuzione seguenti:

  • Registrazione di certificati oltre i limiti delle foreste, per ridurre il numero di Autorità di certificazione (CA) presenti in un'organizzazione.

  • Distribuzione Extranet per l'emissione di certificati per utenti mobili e partner commerciali.

Ulteriori riferimenti

  • Panoramica di Servizio Web di registrazione certificati


Panoramica di Servizio Web di registrazione certificati

Servizio Web di registrazione certificati è un servizio ruolo di Servizi certificati Active Directory che consente a utenti e computer di eseguire la registrazione di certificati tramite il protocollo HTTPS. Insieme a Servizio Web di informazioni sulle registrazioni di certificati, questo servizio consente la registrazione di certificati basata su criteri quando il computer client non è un membro di un dominio o quando un membro del dominio non è connesso al dominio.

Servizio Web di registrazione certificati utilizza il protocollo HTTPS per accettare richieste di certificati dai computer client della rete e restituire certificati emessi. Servizio Web di registrazione certificati si connette all'autorità di certificazione (CA) ed esegue la registrazione di certificati per conto del richiedente mediante il protocollo DCOM. Nelle versioni precedenti di Servizi certificati Active Directory, la registrazione di certificati basata su criteri può essere eseguita solo da computer client membri del dominio che utilizzano il protocollo DCOM. In tale modo l'emissione di certificati viene limitata ai limiti di trust stabiliti dai domini e dalle foreste di Servizi di dominio Active Directory.

La registrazione di certificati su HTTPS consente i nuovi scenari di distribuzione seguenti:

  • Registrazione di certificati oltre i limiti delle foreste, per ridurre il numero di CA presenti in un'organizzazione.

  • Distribuzione Extranet per l'emissione di certificati per utenti mobili e partner commerciali.

Ulteriori riferimenti

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati


Server delle informazioni sulle registrazioni di certificati

Nei criteri di registrazione certificato sono specificati i percorsi delle autorità di certificazione (CA) e i tipi di certificato che è possibile richiedere. Nelle organizzazioni che utilizzano Servizi di Dominio Active Directory è possibile utilizzare Criteri di gruppo per fornire criteri di registrazione certificato ai membri del dominio. A tale scopo, utilizzare la Console Gestione Criteri di gruppo per configurare le impostazioni dei criteri di registrazione certificato. Lo snap-in Certificati può essere utilizzato per configurare le impostazioni dei criteri di registrazione certificato per computer client singoli, a meno che l'impostazione di Criteri di gruppo non consenta di disattivare i criteri di registrazione configurati dall'utente.

Per configurare le impostazioni dei criteri di registrazione certificato, utilizzare le procedure seguenti:

  • Gestire i criteri di registrazione dei certificati mediante Criteri di gruppo

  • Gestire i criteri di registrazione dei certificati mediante lo snap-in Certificati

Ulteriori riferimenti

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati


Gestire i criteri di registrazione dei certificati mediante Criteri di gruppo

In questo argomento sono descritte le procedure e le applicazioni utilizzate per configurare le impostazioni dei criteri di registrazione dei certificati.

Configurare le impostazioni dei criteri di registrazione dei certificati utilizzando Criteri di gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per configurare le impostazioni dei criteri di registrazione dei certificati in Criteri di gruppo

  1. Fare clic sul pulsante Start, digitare gpmc.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console espandere la foresta e il dominio contenenti i criteri che si desidera modificare e fare clic su Oggetti Criteri di gruppo.

  3. Fare clic con il pulsante destro del mouse sui criteri che si desidera modificare e quindi scegliere Modifica.

  4. Nell'albero della console, in Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  5. Fare doppio clic su Client Servizi certificati - Criteri di registrazione certificato. Per ulteriori informazioni sulle impostazioni presenti in questa finestra di dialogo, vedere la tabella "Client Servizi certificati - Criteri di registrazione certificato" più avanti in questo argomento.

  6. Fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Server delle informazioni sulle registrazioni di certificati. Per ulteriori informazioni sulle impostazioni presenti in questa finestra di dialogo, vedere la tabella "Finestra di dialogo Server delle informazioni sulle registrazioni di certificati" più avanti in questo argomento.

  7. Eseguire una delle operazioni seguenti:

    • Per aggiungere i criteri di registrazione forniti da Servizi di dominio Active Directory, selezionare la casella di controllo Usa URI del controller di dominio Active Directory predefinito.

    • Nella casella Immettere l'URI del server dei criteri di registrazione digitare l'URI di un server dei criteri di registrazione.

  8. Nell'elenco Tipo di autenticazione selezionare il tipo di autenticazione richiesto dal server dei criteri di registrazione.

  9. Fare clic su Convalida ed esaminare i messaggi nell'area Proprietà del server dei criteri di registrazione dei certificati. Il pulsante Aggiungi è disponibile solo se l'URI del server dei criteri di registrazione e il tipo di autenticazione sono validi.

  10. Fare clic su Aggiungi.
Nota

Se il server dei criteri di registrazione aggiunto supporta criteri di registrazione già visualizzati in Elenco dei criteri di registrazione dei certificati, il server aggiunto non viene visualizzato separatamente. Fare clic su Proprietà per verificare che il server dei criteri di registrazione aggiunto sia visualizzato nell'elenco Server dei criteri di registrazione. Per ulteriori informazioni sulle impostazioni presenti in questa finestra di dialogo, vedere la tabella "Finestra di dialogo Proprietà del server dei criteri di registrazione dei certificati" più avanti in questo argomento.

Riferimento per l'interfaccia utente

Nelle tabelle seguenti sono descritte le impostazioni disponibili nelle finestre di dialogo Proprietà Client Servizi certificati - Criteri di registrazione certificato, Server delle informazioni sulle registrazioni di certificati e Proprietà del server dei criteri di registrazione dei certificati.

Finestra di dialogo Proprietà Client Servizi certificati - Criteri di registrazione certificato

Impostazione | Descrizione
Modello configurazione | Specifica se l'impostazione dei criteri è attivata in Criteri di gruppo.
Elenco dei criteri di registrazione dei certificati | Visualizza l'elenco dei criteri di registrazione inclusi nell'impostazione dei criteri. Uno dei criteri visualizzati deve essere specificato selezionando la casella di controllo Predefinito.
Aggiungi | Apre la finestra di dialogo Server delle informazioni sulle registrazioni di certificati, utilizzata per aggiungere un server dei criteri di registrazione.
Rimuovi | Rimuove dall'elenco i criteri di registrazione selezionati e tutti i server dei criteri di registrazione associati.
Proprietà | Apre la finestra di dialogo Proprietà del server dei criteri di registrazione dei certificati, in cui sono visualizzati i dettagli dei criteri e l'elenco dei server dei criteri di registrazione per i criteri di registrazione selezionati.
Disabilita criteri di registrazione configurati dall'utente | Disabilita i criteri di registrazione configurati da utenti e applicazioni. Vengono utilizzati solo criteri di registrazione configurati in Criteri di gruppo.

Finestra di dialogo Server delle informazioni sulle registrazioni di certificati

Impostazione Descrizione

Usa URI del controller di dominio Active Directory predefinito

Consente di specificare l'URI LDAP del server dei criteri di registrazione predefinito e il tipo di autenticazione Integrata di Windows.

Configura nome descrittivo

Questo pulsante è disponibile solo quando è selezionata l'opzione Usa URI del controller di dominio Active Directory predefinito.

Viene utilizzato per configurare il nome dei criteri di registrazione visualizzati al posto del nome dei criteri predefinito o dell'identificatore dei criteri di registrazione. Il nome specificato è visibile nella procedura guidata Registrazione certificato e in altre applicazioni.

Nota

Se gli stessi criteri di registrazione sono supportati da più server dei criteri di registrazione, è consigliabile configurare ogni server perché utilizza lo stesso nome descrittivo dei criteri di registrazione. Nei servizi Web dei criteri di registrazione il valore relativo al nome descrittivo corrisponde a un'impostazione di applicazione configurata mediante Server Manager. Se l'impostazione relativa al nome descrittivo è già configurata in ogni servizio Web dei criteri di registrazione, aggiungere gli URI dei servizi Web dei criteri di registrazione prima di aggiungere l'URI LDAP del controller di dominio. Ciò garantisce che i valori relativi al nome descrittivo siano gli stessi.

Immettere l'URI del server dei criteri di registrazione

Specifica l'URI di Servizio Web di informazioni sulle registrazioni di certificati. L'URI deve utilizzare il protocollo HTTPS.

Tipo di autenticazione

Specifica il tipo di autenticazione utilizzato per connettersi all'URI specificato. Il tipo di autenticazione specificato deve corrispondere al tipo di autenticazione richiesto da Servizio Web di informazioni sulle registrazioni di certificati.

Sono disponibili i tipi di autenticazione seguenti:

  • Anonima. Per la connessione al server delle informazioni sulle registrazioni di certificati non vengono fornite credenziali.

  • Integrata di Windows. L'autenticazione integrata di Windows utilizza il protocollo Kerberos ed è appropriata per i membri di domini Servizi di dominio Active Directory.

  • Nome utente/password. Durante la registrazione del certificato viene richiesta l'immissione di un nome utente e di una password.

  • Certificato X.509. Durante la registrazione del certificato viene richiesta la selezione di un certificato per l'autenticazione.

Convalida

Consente la connessione all'URI specificato mediante il tipo di autenticazione indicato per la verifica dei dettagli seguenti:

  • Una connessione SSL al server dei criteri di registrazione esiste.

  • Criteri di registrazione validi vengono restituiti dal server dei criteri di registrazione.

  • I criteri di registrazione non sono già inclusi nelle impostazioni di Criteri di gruppo.

Per aggiungere un URI del server dei criteri di registrazione la convalida dell'URI è obbligatoria. Se l'URI e il tipo di autenticazione sono validi, vengono visualizzati l'identificatore e il nome descrittivo dei criteri di registrazione. In caso di problemi di convalida, vengono visualizzati messaggi di avviso o di errore.

Aggiungi

Aggiunge l'URI del server dei criteri di registrazione e i criteri di registrazione convalidati all'impostazione di Criteri di gruppo. Il pulsante Aggiungi è disponibile solo dopo la convalida dell'URI del server dei criteri di registrazione e del tipo di autenticazione.

Finestra di dialogo Proprietà del server dei criteri di registrazione dei certificati

Impostazione Descrizione

Elenco Server dei criteri di registrazione

Visualizza l'elenco dei server dei criteri di registrazione che supportano i criteri di registrazione.

Rimuovi

Rimuove il server dei criteri di registrazione selezionato. Se tutti i server dei criteri di registrazione vengono rimossi, vengono rimossi anche i criteri di registrazione.

Attiva per registrazione e rinnovo automatici

Specifica che i criteri di registrazione vengono utilizzati per la registrazione automatica quando quest'ultima è attivata.

Nei computer che eseguono Windows 7 e non sono membri di un dominio, la registrazione automatica è attivata per impostazione predefinita. Nei computer membri di un dominio è necessario attivare la registrazione automatica in Criteri di gruppo. Per le procedure di configurazione della registrazione automatica, vedere la pagina relativa alla gestione delle registrazioni dei certificati (http://go.microsoft.com/fwlink/?LinkId=143282).

Richiedi convalida avanzata durante la registrazione

Specifica che durante la registrazione i client di registrazione devono richiedere la convalida del percorso di certificazione dell'autorità di rilascio.

Ulteriori riferimenti

  • Server delle informazioni sulle registrazioni di certificati

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati

  • Gestire i criteri di registrazione dei certificati mediante lo snap-in Certificati

  • Gestire le registrazioni dei certificati (http://go.microsoft.com/fwlink/?LinkId=143282)


Gestire i criteri di registrazione dei certificati mediante lo snap-in Certificati

In questo argomento sono descritte le procedure e le applicazioni utilizzate per aggiungere server dei criteri di registrazione mediante lo snap-in Certificati. È possibile utilizzare queste procedure per configurare criteri di registrazione che consentano di richiedere certificati alle autorità di certificazione (CA) commerciali che offrono servizi di registrazione dei certificati via Internet o alle CA aziendali all'interno di un'organizzazione.

Configurare le impostazioni dei criteri di registrazione dei certificati

La finestra di dialogo Server delle informazioni sulle registrazioni di certificati viene utilizzata per aggiungere server dei criteri di registrazione utilizzando la finestra di dialogo Gestisci criteri di registrazione o la procedura guidata Registrazione certificato.

Per configurare le impostazioni dei criteri di registrazione dei certificati

  1. Fare clic sul pulsante Start, digitare certmgr.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console fare clic su Personale.

  3. Eseguire una delle operazioni seguenti:

    • Scegliere Tutte le attività dal menu Azione, scegliere Operazioni avanzate e quindi fare clic su Gestisci criteri di registrazione. In Elenco dei criteri di registrazione dei certificati fare clic su Aggiungi. Per ulteriori informazioni sulle impostazioni presenti in questa finestra di dialogo, vedere la tabella "Finestra di dialogo Gestisci criteri di registrazione" più avanti in questo argomento.

    • Scegliere Tutte le attività dal menu Azione e quindi fare clic su Richiedi nuovo certificato per avviare la procedura guidata Registrazione certificato. Fare clic su Avanti e quindi nella pagina Seleziona criteri di registrazione dei certificati fare clic su Aggiungi nuovo. Per ulteriori informazioni sulle impostazioni presenti in questa finestra di dialogo, vedere la tabella "Finestra di dialogo Server delle informazioni sulle registrazioni di certificati" più avanti in questo argomento.

  4. Nella casella Immettere l'URI del server dei criteri di registrazione digitare l'URI di un server dei criteri di registrazione.

  5. Nell'elenco Tipo di autenticazione selezionare il tipo di autenticazione richiesto dal server dei criteri di registrazione.

  6. Fare clic su Convalida e quindi esaminare i messaggi nell'area Proprietà del server dei criteri di registrazione dei certificati. Il pulsante Aggiungi è disponibile solo dopo la convalida dell'URI del server dei criteri di registrazione e del tipo di autenticazione.

  7. Fare clic su Aggiungi.
Nota

Se il server dei criteri di registrazione aggiunto supporta criteri di registrazione già visualizzati in Elenco dei criteri di registrazione dei certificati, il server aggiunto non viene visualizzato separatamente. Fare clic su Proprietà per verificare che il server dei criteri di registrazione aggiunto sia visualizzato nell'elenco Server dei criteri di registrazione. Per ulteriori informazioni sulle impostazioni presenti in questa finestra di dialogo, vedere la tabella "Finestra di dialogo Proprietà del server dei criteri di registrazione dei certificati" più avanti in questo argomento.

Riferimento per l'interfaccia utente

Nelle tabelle seguenti sono descritte le impostazioni disponibili nelle finestre di dialogo Gestisci criteri di registrazione, Server delle informazioni sulle registrazioni di certificati e Proprietà del server dei criteri di registrazione dei certificati.

Finestra di dialogo Gestisci criteri di registrazione

Impostazione | Descrizione
Elenco dei criteri di registrazione dei certificati | Visualizza l'elenco dei criteri di registrazione inclusi nell'impostazione dei criteri. Uno dei criteri visualizzati deve essere specificato selezionando la casella di controllo Predefinito.
Aggiungi | Apre la finestra di dialogo Server delle informazioni sulle registrazioni di certificati, utilizzata per aggiungere un server dei criteri di registrazione.
Rimuovi | Rimuove dall'elenco i criteri di registrazione selezionati e tutti i server dei criteri di registrazione associati.
Proprietà | Apre la finestra di dialogo Proprietà del server dei criteri di registrazione dei certificati, in cui sono visualizzati i dettagli dei criteri e l'elenco dei server dei criteri di registrazione per i criteri di registrazione selezionati.

Finestra di dialogo Server delle informazioni sulle registrazioni di certificati

Impostazione Descrizione

Immettere l'URI del server dei criteri di registrazione

Specifica l'URI di Servizio Web di informazioni sulle registrazioni di certificati. L'URI deve utilizzare il protocollo HTTPS.

Tipo di autenticazione

Specifica il tipo di autenticazione utilizzato per connettersi all'URI specificato. Il tipo di autenticazione specificato deve corrispondere al tipo di autenticazione richiesto da Servizio Web di informazioni sulle registrazioni di certificati.

Sono disponibili i tipi di autenticazione seguenti:

  • Anonima. Per la connessione al server delle informazioni sulle registrazioni di certificati non vengono fornite credenziali.

  • Integrata di Windows. L'autenticazione integrata di Windows utilizza il protocollo Kerberos ed è appropriata per i membri di domini Servizi di dominio Active Directory.

  • Nome utente/password. Durante la registrazione del certificato viene richiesta l'immissione di un nome utente e di una password.

  • Certificato X.509. Durante la registrazione del certificato viene richiesta la selezione di un certificato per l'autenticazione.

Convalida

Consente la connessione all'URI specificato mediante il tipo di autenticazione indicato per la verifica dei dettagli seguenti:

  • È possibile effettuare una connessione SSL al server dei criteri di registrazione.

  • Criteri di registrazione validi vengono restituiti dal server dei criteri di registrazione.

  • I criteri di registrazione non sono già inclusi nelle impostazioni di Criteri di gruppo.

Per aggiungere un URI del server dei criteri di registrazione la convalida dell'URI è obbligatoria. Se l'URI e il tipo di autenticazione sono validi, vengono visualizzati l'identificatore e il nome descrittivo dei criteri di registrazione. In caso di problemi di convalida, vengono visualizzati messaggi di avviso o di errore.

Aggiungi

Aggiunge l'URI del server dei criteri di registrazione e i criteri di registrazione convalidati all'impostazione di Criteri di gruppo. Il pulsante Aggiungi è disponibile solo dopo la convalida dell'URI del server dei criteri di registrazione e del tipo di autenticazione.

Finestra di dialogo Proprietà del server dei criteri di registrazione dei certificati

Impostazione Descrizione

Elenco Server dei criteri di registrazione

Visualizza l'elenco dei server dei criteri di registrazione che supportano i criteri di registrazione.

Rimuovi

Rimuove il server dei criteri di registrazione selezionato. Se tutti i server dei criteri di registrazione vengono rimossi, vengono rimossi anche i criteri di registrazione.

Attiva per registrazione e rinnovo automatici

Specifica che i criteri di registrazione vengono utilizzati per la registrazione automatica quando quest'ultima è attivata.

Nei computer che eseguono Windows 7 e non sono membri di un dominio, la registrazione automatica è attivata per impostazione predefinita. Nei computer membri di un dominio è necessario attivare la registrazione automatica in Criteri di gruppo. Per le procedure di configurazione della registrazione automatica, vedere la pagina relativa alla gestione delle registrazioni dei certificati (http://go.microsoft.com/fwlink/?LinkID=143282).

Richiedi convalida avanzata durante la registrazione

Specifica che durante la registrazione i client di registrazione devono richiedere la convalida del percorso di certificazione dell'autorità di emissione.

Ulteriori riferimenti

  • Server delle informazioni sulle registrazioni di certificati

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati

  • Gestire i criteri di registrazione dei certificati mediante Criteri di gruppo

  • Gestire le registrazioni dei certificati (http://go.microsoft.com/fwlink/?LinkID=143282)


Richiedere un certificato sul Web

È possibile accedere alle autorità di certificazione (CA) mediante le pagine di registrazione Web delle CA, utilizzabili per eseguire attività diverse correlate alla richiesta di certificati. Il percorso predefinito delle pagine di registrazione Web di una CA è http://servername/certsrv, dove servername è il nome del server Web che ospita le pagine di registrazione Web della CA.

Ulteriori riferimenti

  • Inviare una richiesta certificato utente sul Web

  • Inviare una richiesta avanzata di certificati sul Web

  • Richiedere un certificato utilizzando un file PKCS #10 o PKCS #7

  • Controllare una richiesta certificato in sospeso

  • Ottenere un certificato


Inviare una richiesta certificato utente sul Web

Quando si richiede un certificato a un'autorità di certificazione (CA) autonoma basata su Windows, è necessario utilizzare le pagine di registrazione Web della CA. È inoltre possibile utilizzare le pagine di registrazione Web per richiedere certificati ad autorità di certificazione dell'organizzazione (enterprise), nel caso in cui si desideri impostare funzionalità di richiesta facoltative che non sono disponibili nella Richiesta guidata certificato, ad esempio contrassegnare le chiavi come esportabili, impostare la lunghezza delle chiavi, scegliere l'algoritmo hash o salvare la richiesta in un file.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per inviare una richiesta certificato utente sul Web

  1. Aprire un Web browser.

  2. Passare all'indirizzo https://servername/certsrv, dove servername è il nome del server che ospita le pagine di registrazione Web della CA.

  3. Fare clic su Richiedi un certificato.

  4. In Richiedi un certificato selezionare il tipo di certificato desiderato:

    1. Nel caso di un'autorità di certificazione dell'organizzazione (enterprise), fare clic su Certificato utente.

    2. In caso di autorità di certificazione autonoma, selezionare Certificato browser Web o Certificato di protezione posta elettronica.

  5. Nella pagina Informazioni di identificazione specificare le informazioni di identificazione per la richiesta certificato, se necessario.

  6. (Facoltativo) Fare clic su Altre opzioni per specificare il provider del servizio di crittografia (CSP) e se si desidera abilitare la protezione avanzata per la chiave privata. Verrà visualizzata una richiesta ogni volta che viene utilizzata la chiave privata.

  7. Fare clic su Invia.

  8. Eseguire una delle operazioni seguenti:

    • Se viene visualizzata la pagina Web Certificato in sospeso, vedere Controllare una richiesta certificato in sospeso per informazioni sull'apposita procedura.

    • Se viene visualizzata la pagina Web Certificato emesso, fare clic su Installa questo certificato.

Ulteriori considerazioni

  • Affinché un utente possa ottenere un certificato tramite la registrazione Web, è necessario che un amministratore imposti le autorizzazioni appropriate sui modelli di certificato su cui si basa il certificato richiesto.

Ulteriori riferimenti

  • Richiedere un certificato sul Web

  • Controllare una richiesta certificato in sospeso


Inviare una richiesta avanzata di certificati sul Web

I criteri di un'autorità di certificazione determinato i tipi di certificati che possono essere richiesti da un utente e le relative opzioni configurabili. Se abilitata, è possibile utilizzare la pagina Web Richiesta avanzata di certificati per impostare le opzioni seguenti per ogni certificato richiesto:

  • Modello di certificato (di un'autorità di certificazione dell'organizzazione) oppure Tipo di certificato richiesto (di un'autorità di certificazione autonoma). Indica le applicazioni per le quali è possibile utilizzare la chiave pubblica nel certificato, ad esempio l'autenticazione client o la posta elettronica.

  • Provider del servizio di crittografia (CSP). Un provider CSP è responsabile per la creazione e l'eliminazione di chiavi e per l'utilizzo delle chiavi al fine di eseguire varie operazioni di crittografia. Ogni CSP offre un'implementazione diversa dell'interfaccia CryptoAPI. Alcuni forniscono algoritmi di crittografia più avanzati, mentre altri utilizzano componenti hardware, ad esempio le smart card.

  • Dimensioni chiave. Specifica la lunghezza, in bit, della chiave pubblica del certificato. Chiavi di lunghezza maggiore offrono in genere un livello di protezione più elevato contro eventuali utenti malintenzionati.

  • Algoritmo hash. Un buon algoritmo hash non consente, dal punto di vista computazionale, la creazione di due input indipendenti con lo stesso hash. Alcuni degli algoritmi hash più diffusi sono MD2, MD4, MD5 e SHA-1.

  • Utilizzo chiave. Specifica in che modo è possibile utilizzare la chiave privata. Scambio indica che la chiave privata può essere utilizzata per abilitare lo scambio di informazioni riservate. Firma indica che la chiave privata può essere utilizzata esclusivamente per creare una firma digitale. Entrambe indica che è possibile utilizzare la chiave per entrambe le funzioni di scambio e di firma.

  • Crea nuovo set di chiavi o Utilizza il set di chiavi esistente. È possibile utilizzare una coppia di chiavi pubblica e privata esistente archiviata nel computer oppure creare una nuova coppia di chiavi per un certificato.

  • Abilita protezione avanzata chiave privata. Quando si abilita la protezione avanzata per la chiave privata, verrà richiesta una password ogni volta che sarà necessario utilizzare la chiave.

  • Contrassegna le chiavi come esportabili. Quando le chiavi vengono contrassegnate come esportabili, sarà possibile salvare la chiave pubblica e quella privata in un file PKCS #12. Questa opzione risulta utile se si cambia computer e si desidera spostare la coppia di chiavi oppure se si desidera rimuovere la coppia di chiavi per depositarle altrove.

  • Memorizza i certificati nell'archivio certificati del computer locale. Selezionare questa opzione se il computer dovrà accedere alla chiave privata associata al certificato quando sono connessi altri utenti. Selezionare questa opzione quando si richiedono certificati che dovranno essere emessi per computer, ad esempio server Web, anziché certificati emessi per utenti.

  • Formato richiesta. In questa sezione è possibile selezionare il formato PKCS#10 o CMC. Se si desidera inviare la richiesta successivamente, è inoltre possibile selezionare Salva richiesta su file.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per inviare una richiesta avanzata di certificati sul Web

  1. Aprire un Web browser.

  2. Passare all'indirizzo https://servername/certsrv, dove servername è il nome del server Web che ospita le pagine di registrazione Web della CA.

  3. Fare clic su Richiedi un certificato.

  4. Fare clic su Richiesta avanzata di certificati.

  5. Fare clic su Creare e inviare una richiesta a questa CA.

  6. Immettere le informazioni di identificazione richieste e le altre opzioni necessarie.

  7. Fare clic su Invia.

  8. Eseguire una delle operazioni seguenti:

    • Se viene visualizzata la pagina Web Certificato in sospeso, vedere Controllare una richiesta certificato in sospeso per informazioni sull'apposita procedura.

    • Se viene visualizzata la pagina Web Certificato emesso, fare clic su Installa questo certificato.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Affinché un utente possa ottenere un certificato tramite la registrazione Web, è necessario che un amministratore imposti le autorizzazioni appropriate sui modelli di certificato su cui si basa il certificato richiesto.

Ulteriori riferimenti

  • Controllare una richiesta certificato in sospeso

  • Richiedere un certificato sul Web


Richiedere un certificato utilizzando un file PKCS #10 o PKCS #7

Non è sempre possibile inviare una richiesta di certificato online a un'autorità di certificazione (CA). In questi casi, potrebbe essere comunque possibile inviare la richiesta certificato nel formato di file PKCS #7 o PKCS #10. I file PKCS #10 vengono in genere utilizzati per inviare una richiesta per un nuovo certificato, mentre i file PKCS #7 vengono utilizzati per inviare una richiesta di rinnovo di un certificato esistente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per richiedere un certificato utilizzando un file PKCS #10 o PKCS #7

  1. Aprire un Web browser.

  2. Passare all'indirizzo https://servername/certsrv, dove servername è il nome del server Web che ospita le pagine di registrazione Web della CA.

  3. Fare clic su Richiedi un certificato e quindi su Richiesta avanzata di certificati.

  4. Fare clic su Inviare una richiesta di certificato utilizzando un file CMC o PKCS #10 codificato in base 64 o una richiesta di rinnovo utilizzando un file PKCS #7 codificato in base 64.

  5. Nel Blocco note scegliere Apri dal menu File, selezionare il file PKCS #10 o PKCS #7, scegliere Seleziona tutto dal menu Modifica e quindi scegliere Copia dal menu Modifica. Nella pagina Web fare clic sulla casella Richiesta salvata. Scegliere Incolla dal menu Modifica per incollare il contenuto della richiesta di certificato nella casella.

  6. Se si è connessi a un'autorità di certificazione dell'organizzazione (enterprise), scegliere il modello di certificato che si desidera utilizzare.

  7. Se si dispone di attributi da aggiungere alla richiesta di certificato, immetterli nel campo Attributi aggiuntivi.

  8. Fare clic su Invia.

  9. Eseguire una delle operazioni seguenti:

    • Se viene visualizzata la pagina Web Certificato in sospeso, vedere Controllare una richiesta certificato in sospeso.

    • Se viene visualizzata la pagina Web Certificato emesso, fare clic su Esegui download della catena di certificati. Salvare il file sul disco rigido e quindi importare il certificato nell'archivio certificati. Per informazioni sulla procedura di importazione di un certificato, vedere Importare un certificato.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • È necessario configurare il server Web dell'autorità di certificazione per l'utilizzo dell'autenticazione HTTPS.

  • Se all'invio della richiesta viene immediatamente visualizzato un messaggio in cui viene chiesto se si desidera inviare la richiesta anche se non contiene un tag BEGIN o END, fare clic su OK.

Ulteriori riferimenti

  • Controllare una richiesta certificato in sospeso

  • Importare un certificato

  • Esportare un certificato

  • Salvare una richiesta certificato in un file

  • Richiedere un certificato sul Web


Controllare una richiesta certificato in sospeso

Le richieste certificato inviate a un'autorità di certificazione dell'organizzazione (enterprise) basata su Windows vengono immediatamente elaborate e ne verrà subito indicato l'esito, a meno che il modello di certificato non sia configurato per attendere l'approvazione da parte di un gestore dei certificati.

Le richieste certificato inviate a un'autorità di certificazione autonoma basata su Windows vengono immediatamente elaborate oppure, per impostazione predefinita, vengono considerate in sospeso finché l'amministratore dell'autorità di certificazione non la approva o la rifiuta. Nel caso di una richiesta in sospeso, il richiedente del certificato dovrà utilizzare le pagine di registrazione Web della CA per controllare lo stato dei certificati in sospeso.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per controllare una richiesta di certificato in sospeso

  1. Aprire un Web browser.

  2. Passare all'indirizzo https://servername/certsrv, dove servername è il nome del server Web che ospita le pagine di registrazione Web della CA.

  3. Selezionare Visualizza lo stato di una richiesta di certificato in sospeso.

  4. Se non vi sono richieste di certificato in sospeso, verrà visualizzato un messaggio per notificarlo. In caso contrario, selezionare la richiesta certificato che si desidera controllare e quindi fare clic su Avanti.

  5. Controllare le richieste di certificato in sospeso:

    • Certificato in sospeso. È necessario attendere che l'amministratore dell'autorità di certificazione rilasci il certificato. Per rimuovere la richiesta di certificato, fare clic su Rimuovi.

    • Certificato emesso. Per installare il certificato, fare clic su Installa questo certificato.

    • Richiesta di certificato negata. Contattare l'amministratore dell'autorità di certificazione per ulteriori informazioni.

  6. Al termine dell'utilizzo delle pagine di registrazione Web della CA, chiudere il Web browser.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

Ulteriori riferimenti

  • Richiedere un certificato sul Web


Registrare certificati per conto di altri utenti

Non è sempre possibile per gli utenti registrare un certificato per proprio conto. Si tratta ad esempio del caso dei certificati smart card. Per impostazione predefinita, solo gli amministratori di dominio dispongono delle autorizzazioni necessarie per richiedere un certificato per conto di un altro utente. Agli utenti che non sono amministratori di dominio possono tuttavia essere concesse le autorizzazioni necessarie per diventare agenti di registrazione. A tale scopo, è necessario registrare un certificato Agente di registrazione.

Importante

Se si dispone di un certificato Agente di autorizzazione, è possibile registrare un certificato e generare una smart card per conto di qualsiasi utente nell'organizzazione. La smart card risultante può essere utilizzata ad esempio per accedere alla rete e rappresentare l'utente reale. Poiché le funzionalità dei certificati di tipo Agente di registrazione sono estremamente potenti, è consigliabile adottare severi criteri di sicurezza relativamente a tali certificati.

Per eseguire questa procedura è necessaria almeno l'appartenenza al gruppo Users e la disponibilità di un certificato Agente di registrazione. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per registrare un certificato per contro di altri utenti

  1. Aprire lo snap-in certificati per un utente.

  2. Nell'albero della console espandere l'archivio Personale e quindi fare clic su Certificati.

  3. Scegliere Tutte le attività dal menu Azione, scegliere Operazioni avanzate e quindi fare clic su Registra per conto di per aprire la Registrazione guidata certificato. Fare clic su Avanti.

  4. Selezionare il certificato Agente di registrazione da utilizzare per firmare la richiesta certificato in elaborazione. Fare clic su Avanti.

  5. Selezionare il tipo di certificato che si desidera registrare. Dopo aver completato la richiesta, fare clic su Registrazione.

  6. Al termine del Rinnovo guidato certificati, fare clic su Chiudi.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

Ulteriori riferimenti

  • Ottenere un certificato

  • Autorità di registrazione


Autorità di registrazione

Un'autorità di registrazione è un computer configurato per consentire a un amministratore di richiedere e recuperare certificati emessi per conto di altri utenti.

L'autorità di registrazione non deve essere installata nello stesso computer dell'autorità di certificazione per la quale elabora le richieste di certificato.

Ulteriori riferimenti

  • Registrare certificati per conto di altri utenti


Rinnovare un certificato

Ogni certificato è dotato di un periodo di validità. Alla scadenza di tale periodo, il certificato non è più considerato valido né accettabile o utilizzabile come credenziale. Lo snap-in certificati consente di rinnovare un certificato rilasciato da un'autorità di certificazione dell'organizzazione (enterprise) di Windows prima o dopo la scadenza del periodo di validità mediante il Rinnovo guidato certificati.

È possibile rinnovare il certificato con la stessa coppia di chiavi utilizzata in precedenza oppure con una nuova coppia di chiavi. La scelta dipende da diversi fattori, tra cui la durata del certificato, la lunghezza della chiave esistente o futura, il valore dei dati protetti dalla coppia di chiavi e la possibilità che la chiave privata sia stata ottenuta da un utente malintenzionato.

Prima di rinnovare un certificato è necessario disporre delle informazioni seguenti:

  • La CA di emissione.

  • (Facoltativo) Se si desidera una nuova coppia di chiavi pubblica e privata per il certificato, il provider del servizio di crittografia (CSP) che dovrà essere utilizzato per generare la coppia di chiavi.

Windows invia una notifica relativa indicante che i certificati di utenti o computer specifici sono scaduti o in procinto di scadere. Nella maggior parte dei casi, la registrazione automatica consente di rinnovare tali certificati alla successiva connessione alla rete o al successivo accesso al computer.

Negli argomenti seguenti vengono illustrate le procedure da utilizzare per rinnovare i certificati:

  • Rinnovare un certificato con una nuova chiave

  • Rinnovare un certificato con la stessa chiave

È inoltre possibile rinnovare i certificati emessi sia da autorità di certificazione dell'organizzazione (enterprise) che da autorità di certificazione autonome di Windows mediante le pagine di registrazione Web della CA incollando il contenuto di un file PKCS #7. Per ulteriori informazioni, vedere gli argomenti seguenti:

  • Richiedere un certificato utilizzando un file PKCS #10 o PKCS #7

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.


Rinnovare un certificato con la stessa chiave

Il rinnovo di un certificato con la stessa chiave offre la massima compatibilità con utenti precedenti della coppia di chiavi collegata, tuttavia non determina alcun miglioramento in termini di protezione del certificato o della coppia di chiavi.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per rinnovare un certificato con la stessa chiave

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console espandere l'archivio Personale e quindi fare clic su Certificati.

  3. Nel riquadro dei dettagli selezionare il certificato da rinnovare.

  4. Scegliere Tutte le attività dal menu Azione, selezionare Operazioni avanzate e quindi fare clic su Rinnova questo certificato con la stessa chiave per avviare il Rinnovo guidato certificati.

  5. Se nella finestra Richiedi certificati sono elencati più certificati, selezionare quello che si desidera rinnovare. Eseguire una delle operazioni seguenti:

    • Utilizzare i valori predefiniti per rinnovare il certificato.

    • Fare clic su Dettagli e quindi su Proprietà per specificare impostazioni di rinnovo personalizzate. A tale scopo, è necessario conoscere l'autorità di certificazione (CA) che emette il certificato.

  6. Fare clic sul pulsante Registrazione. Al termine del Rinnovo guidato certificati, fare clic su Fine.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • Dopo aver rinnovato il certificato, la versione originale del certificato stesso verrà archiviata.

  • È possibile utilizzare questa procedura solo per richiedere certificati a un'autorità di certificazione dell'organizzazione (enterprise). Per richiedere certificati a un'autorità di certificazione autonoma, è necessario utilizzare le pagine Web. Le pagine Web per una CA basata su Windows si trovano all'indirizzo http://servername/certsrv, dove servername rappresenta il nome del server che ospita la CA.


Rinnovare un certificato con una nuova chiave

Il rinnovo di un certificato con una nuova chiave consente di continuare a utilizzare un certificato esistente e i dati ad esso associati e migliorare allo stesso tempo la protezione della chiave associata al certificato. Ciò può essere consigliabile se l'utilizzo di un nuovo certificato determinerebbe interruzioni del servizio e il certificato esistente non è stato compromesso.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per rinnovare un certificato con una nuova chiave

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console espandere l'archivio Personale e quindi fare clic su Certificati.

  3. Nel riquadro dei dettagli selezionare il certificato da rinnovare.

  4. Scegliere Tutte le attività dal menu Azione, quindi Rinnova certificato con chiave nuova per avviare il Rinnovo guidato certificati.

  5. In Rinnovo guidato certificati eseguire una delle operazioni seguenti:

    • Utilizzare i valori predefiniti per rinnovare il certificato.

    • (Solo per utenti avanzati) Fare clic su Dettagli e quindi su Proprietà per specificare impostazioni di rinnovo personalizzate. A tale scopo, è necessario conoscere il provider del servizio di crittografia (CSP) e l'autorità di certificazione (CA) che rilascia il certificato.

      È necessario selezionare la lunghezza in bit della chiave pubblica associata al certificato.

      È inoltre possibile scegliere se abilitare la protezione avanzata per la chiave privata. Se si abilita la protezione avanzata della chiave privata, verrà richiesta una password ogni volta che si utilizzerà la chiave privata. Questa opzione risulta utile se si desidera assicurarsi che altri utenti non utilizzino la chiave privata senza autorizzazione.

  6. Dopo aver completato la richiesta, fare clic su Registrazione. Al termine del Rinnovo guidato certificati, fare clic su Chiudi.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • Dopo aver rinnovato il certificato, la versione originale del certificato e la chiave verranno archiviati.

  • È possibile utilizzare questa procedura solo per richiedere certificati a un'autorità di certificazione dell'organizzazione (enterprise). Per richiedere certificati a un'autorità di certificazione autonoma, è necessario utilizzare le pagine Web. Le pagine Web per una CA basata su Windows si trovano all'indirizzo http://servername/Certsrv, dove servername rappresenta il nome del server che ospita la CA.


Visualizzare i certificati

I certificati possono essere rilasciati e utilizzati per diversi scopi. Può risultare utile esaminare gli archivi certificati, le informazioni e le proprietà di questi ultimi, nonché le informazioni sui certificati archiviati e revocati.

  • Visualizzare gli archivi certificati

  • Visualizzare le informazioni relative a un certificato

  • Visualizzare le proprietà di un certificato

  • Visualizzare i certificati in un file PKCS #7

  • Visualizzare i certificati archiviati

  • Visualizzare i dettagli dell'elenco di revoche di certificati


Visualizzare gli archivi certificati

Lo snap-in certificati consente di visualizzare l'archivio certificati di un utente, di un computer o di un servizio, in base allo scopo per cui i certificati sono stati rilasciati o in base alle categorie di archiviazione logica degli stessi. Quando si visualizzano i certificati per categorie di archiviazione, è inoltre possibile scegliere di visualizzare gli archivi fisici, rendendo in tal modo visibile la gerarchia di archiviazione dei certificati. L'utilizzo di questa opzione è tuttavia consigliato solo a utenti esperti.

Un utente che dispone dei diritti appropriati, sarà in grado di importare o esportare certificati da qualsiasi cartella dell'archivio certificati. Se la chiave privata associata a un certificato è contrassegnata come esportabile, sarà inoltre possibile esportare entrambi in un file PKCS #12.

È inoltre possibile pubblicare certificati in Servizi di dominio Active Directory. La pubblicazione di un certificato in Servizi di dominio Active Directory consente agli utenti o ai computer che dispongono delle autorizzazioni adeguate di recuperare il certificato a seconda delle necessità.

Archivi certificati

I certificati possono essere visualizzati in base allo scopo o in base agli archivi logici, come illustrato nella tabella seguente. Nello snap-in Certificati la modalità di visualizzazione in base agli archivi logici è l'impostazione predefinita.

Nota

L'elenco degli archivi certificati organizzati in base allo scopo non sono inclusi tutti i possibili archivi.

Visualizzazione per Nome cartella Contenuto

Archivio logico

Personale

Certificati associati a chiavi private alle quali è possibile accedere. Si tratta dei certificati emessi per l'utente o il computer o il servizio per il quale si stanno gestendo i certificati.

Autorità di certificazione radice attendibili

Autorità di certificazione (CA) implicitamente attendibili. Include tutti i certificati nell'archivio delle autorità di certificazione di terze parti e i certificati radice della propria organizzazione e di Microsoft.

Se un amministratore desidera aggiungere certificati di CA non Microsoft nell'archivio per tutti i computer di un dominio di Active Directory, è possibile utilizzare Criteri di gruppo per distribuire i certificati principali attendibili all'organizzazione.

Attendibilità per l'organizzazione

Un contenitore per elenchi di certificati attendibili. Un elenco di certificati attendibili fornisce un meccanismo per determinare l'attendibilità di certificati radice autenticati automaticamente provenienti da altre organizzazioni e limitarne gli scopi.

Autorità di certificazione intermedie

Certificati rilasciati a CA subordinate. In qualità di amministratore è possibile utilizzare Criteri di gruppo per distribuire certificati nell'archivio delle autorità di certificazione intermedie.

Utenti attendibili

Certificati rilasciati a utenti o entità impostati come attendibili in modo esplicito. Si tratta spesso di certificati autofirmati o impostati in modo esplicito come attendibili in un'applicazione come Microsoft Outlook. In qualità di amministratore di dominio, è possibile utilizzare Criteri di gruppo per distribuire certificati nell'archivio Utenti attendibili.

Altri utenti

Certificati rilasciati a utenti o entità impostati come attendibili in modo implicito. Questi certificati devono fare parte di una gerarchia di certificati attendibili. Si tratta in genere di certificati memorizzati nella cache per servizi quali Crittografia file system, in cui i certificati vengono utilizzati per creare l'autorizzazione di decrittografia di un file crittografato.

Autori attendibili

Certificati di autorità di certificazione attendibili in base ai criteri di restrizione software. In qualità di amministratore di dominio, è possibile utilizzare Criteri di gruppo per distribuire certificati nell'archivio Produttori attendibili.

Certificati non attendibili

Si tratta di certificati impostati in modo esplicito come non attendibili tramite i criteri di restrizione software o tramite la scelta di non impostare un certificato come attendibile quando viene visualizzato il messaggio di accettazione nel programma di posta elettronica o nel Web browser. In qualità di amministratore di dominio, è possibile utilizzare Criteri di gruppo per distribuire certificati nell'archivio Certificati non attendibili.

Autorità di certificazione radice di terze parti

Certificati radice attendibili rilasciati da CA diverse da Microsoft e dall'organizzazione dell'utente. Non è possibile utilizzare Criteri di gruppo per distribuire certificati nell'archivio Autorità di certificazione radice di terze parti.

Richieste di registrazione dei certificati

Richieste di certificati in sospeso o rifiutate.

Oggetto utente Active Directory

Certificati associati al proprio oggetto utente e pubblicati in Servizi di dominio Active Directory.

Scopo

Autenticazione server

Certificati utilizzati dai programmi server per autenticarsi nei computer client.

Autenticazione client

Certificati utilizzati dai programmi client per autenticarsi nei server.

Firma codice

Certificati associati a coppie di chiavi utilizzate per firmare contenuti attivi.

Posta elettronica sicura

Certificati associati a coppie di chiavi utilizzate per firmare messaggi di posta elettronica.

Crittografica file system

Certificati associati a coppie di chiavi per la crittografia e la decrittografia della chiave simmetrica utilizzata da EFS per crittografare e decrittografare dati.

Recupero file

Certificati associati a coppie di chiavi per la crittografia e la decrittografia della chiave simmetrica utilizzata da EFS per il ripristino di dati crittografati.

Quando i certificati vengono visualizzati per archivio logico, talvolta sembra che nell'archivio siano presenti due copie dello stesso certificato. Questa situazione si verifica perché lo stesso certificato è memorizzato in archivi fisici separati di un archivio logico. Quando i contenuti di diversi archivi fisici di certificati sono combinati in unico archivio logico, vengono visualizzate entrambe le istanze dello stesso certificato.

È possibile verificarlo impostando la visualizzazione di Archivi fisici di certificati nelle Opzioni di visualizzazione. In questo modo, è possibile notare che il certificato è contenuto in archivi fisici diversi appartenenti allo stesso archivio logico. Per assicurarsi che si tratti dello stesso certificato, è sufficiente confrontare i numeri di serie.

Ulteriori riferimenti

  • Ulteriori informazioni sugli archivi certificati

  • Visualizzare certificati per archivi certificati logici

  • Visualizzare certificati per scopo

  • Visualizzare i certificati archiviati

  • Spostare certificati


Ulteriori informazioni sugli archivi certificati

In Windows un certificato viene archiviato localmente sul computer o sul dispositivo che lo ha richiesto oppure, nel caso di un utente, nel computer o nel dispositivo utilizzato dall'utente per richiederlo. Il percorso di archiviazione viene definito archivio certificati. In un archivio certificati sono spesso presenti diversi certificati, che possono essere rilasciati da autorità di certificazione diverse.

È possibile visualizzare i certificati in base allo scopo, ad esempio Autenticazione client e Firma codice, oppure in base ai ruoli logici, ad esempio Personale, Autori attendibili e Autorità di certificazione radice attendibili.

È inoltre possibile utilizzare le opzioni degli archivi certificati per visualizzare i certificati archiviati e la struttura di archiviazione.

Ulteriori riferimenti

  • Visualizzare certificati per archivi certificati logici

  • Visualizzare certificati per scopo


Visualizzare certificati per archivi certificati logici

Gli archivi certificati logici organizzano i certificati in categorie funzionali logiche per utenti, computer e servizi. Se si utilizzano gli archivi certificati logici non sarà più necessario archiviare duplicati di oggetti di chiave pubblica comuni, ad esempio certificati radice attendibili, elenchi scopi consentiti ai certificati (CTL) ed elenchi di revoche di certificati (CRL) per utenti, computer e servizi.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per visualizzare i certificati in archivi logici

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console fare clic su Certificati - Utente corrente, Certificati - (Computer locale) o Certificati - Servizio.

  3. Scegliere Opzioni dal menu Visualizza.

  4. In Visualizza per fare clic su Archivi logici di certificati e quindi su OK. Nel riquadro dei dettagli verrà visualizzata l'intestazione della colonna Nome archivio logico.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • Quando i certificati vengono visualizzati per archivio logico, talvolta sembra che nell'archivio siano presenti due copie dello stesso certificato. Questa situazione si verifica perché lo stesso certificato è memorizzato in archivi fisici separati di un archivio logico. Quando i contenuti di diversi archivi fisici di certificati sono combinati in unico archivio logico, vengono visualizzate entrambe le istanze dello stesso certificato.

    È possibile verificarlo impostando la visualizzazione degli archivi fisici di certificati. In questo modo, è possibile notare che il certificato è contenuto in archivi fisici diversi appartenenti allo stesso archivio logico. Per assicurarsi che si tratti dello stesso certificato, è sufficiente confrontare i numeri di serie.

Ulteriori riferimenti

  • Visualizzare gli archivi certificati


Visualizzare certificati per scopo

È possibile visualizzare ed esaminare i certificati in base allo scopo per il quale vengono utilizzati, ad esempio l'autenticazione client o il recupero di chiavi, anziché in base ai rispettivi ruoli logici.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per visualizzare i certificati per scopo

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console fare clic su Certificati - Utente corrente, Certificati - (Computer locale) o Certificati - Servizio.

  3. Scegliere Opzioni dal menu Visualizza.

  4. In Visualizza per fare clic su Scopo certificato e quindi su OK. Nel riquadro dei dettagli verrà visualizzata l'intestazione della colonna Scopi designati.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

Ulteriori riferimenti

  • Visualizzare gli archivi certificati


Visualizzare le informazioni relative a un certificato

Fare doppio clic su un certificato per visualizzarne le proprietà e gli utilizzi designati. Tali informazioni sono visualizzate all'interno di tre schede, ovvero Generale, Dettagli e Percorso certificazione.

  • Scheda Generale

  • Scheda Dettagli

  • Scheda Percorso certificazione


Scheda Generale

È possibile visualizzare informazioni sui campi, le estensioni e le proprietà che definiscono un certificato emesso facendo doppio clic su qualsiasi certificato visualizzato nell'archivio certificati.

Nella scheda Generale è disponibile una panoramica generale del certificato, la quale include le informazioni seguenti:

  • Utilizzi del certificato supportati. Informazioni di riepilogo relative ad esempio ad applicazioni, firma, crittografia o autenticazione per cui il certificato viene utilizzato. In questa sezione viene inoltre indicato se il certificato è scaduto o non valido.

  • Entità a cui è stato rilasciato il certificato. Il nome del destinatario del certificato. I destinatari possono essere utenti finali, computer o entità quali le autorità di certificazione (CA).

  • Autorità di certificazione del certificato. Il nome dell'autorità di certificazione che ha emesso il certificato.

  • Periodo di validità del certificato. Include la data di inizio e di fine della validità del certificato.

  • Dichiarazione emittente. Fare clic sul pulsante Dichiarazione emittente per aprire un'altra finestra contenente ulteriori informazioni sul certificato oppure un URL con il quale è possibile ottenere ulteriori informazioni.

Ulteriori riferimenti

  • Visualizzare le informazioni relative a un certificato


Scheda Dettagli

Nella scheda Dettagli sono disponibili le informazioni seguenti relative al certificato:

  • Versione. numero di versione X.509.

  • Numero di serie. numero di serie univoco assegnato al certificato dall'autorità di certificazione (CA). Il numero di serie è univoco per ogni certificato rilasciato da una determinata CA.

  • Algoritmo di firma elettronica. L'algoritmo hash che la CA utilizza per apporre la firma digitale al certificato.

  • Autorità di certificazione. Informazioni relative alla CA che ha rilasciato il certificato.

  • Valido da. La data di inizio del periodo di validità del certificato.

  • Valido fino al. La data di scadenza del periodo di validità del certificato.

  • Soggetto. nome della persona, del computer, del dispositivo o della CA a cui è stato rilasciato il certificato. Se la CA preposta al rilascio risiede su un server membro del dominio della propria organizzazione, sarà un nome distinto all'interno di quest'ultima. In caso contrario, può essere un nome completo e un nome di posta elettronica o un altro identificatore personale.

  • Chiave pubblica. Il tipo e la lunghezza della chiave pubblica associata al certificato.

  • Algoritmo di identificazione personale. L'algoritmo hash che genera un digest, ovvero le informazioni di identificazione personale, per le firme digitali.

  • Identificazione personale. Il digest del certificato, ovvero le informazioni di identificazione personale.

  • Nome descrittivo. (Facoltativo) Il nome visualizzato da utilizzare al posto del nome nel campo Soggetto.

  • Utilizzo chiavi avanzato. (Facoltativo) Gli scopi per cui è possibile utilizzare il certificato.

In un certificato è possibile utilizzare estensioni X.509v3 aggiuntive. Se presenti, verranno visualizzate.

Ulteriori riferimenti

  • Periodi di validità dei certificati

  • Algoritmi hash

  • Provider del servizio di crittografia

  • Linee guida per l'utilizzo di formati di firma alternativi


Periodi di validità dei certificati

Lo snap-in Certificati consente di rinnovare un certificato emesso da un'autorità di certificazione dell'organizzazione (enterprise) di Windows prima o dopo la scadenza del periodo di validità mediante il Rinnovo guidato certificati.

Informazioni sulla validità dei certificati

Ogni certificato è dotato di un periodo di validità. Alla scadenza di tale periodo, il certificato non è più considerato valido né accettabile o utilizzabile come credenziale.

È possibile rinnovare il certificato con la stessa coppia di chiavi utilizzata in precedenza oppure con una nuova coppia di chiavi.

Per poter rinnovare un certificato, è necessario conoscere la CA di emissione. (Facoltativo) Se si desidera una nuova coppia di chiavi pubblica e privata per il certificato, è necessario conoscere il provider del servizio di crittografia (CSP) che dovrà essere utilizzato per generare la coppia di chiavi.

Per ulteriori informazioni, vedere Rinnovare un certificato con una nuova chiave e Rinnovare un certificato con la stessa chiave.

È inoltre possibile rinnovare i certificati emessi sia da autorità di certificazione dell'organizzazione (enterprise) che da autorità di certificazione autonome mediante le pagine di registrazione Web della CA incollando il contenuto di un file PKCS #7. Per ulteriori informazioni, vedere Richiedere un certificato utilizzando un file PKCS #10 o PKCS #7.


Algoritmi hash

Algoritmo che genera un valore hash per un insieme di dati, ad esempio un messaggio o una chiave di sessione. Se si dispone di un algoritmo hash progettato correttamente, le modifiche apportate ai dati di input possono alterare tutti i bit nel valore di hash risultante. Gli hash sono pertanto utili per rilevare eventuali modifiche in un oggetto dati, ad esempio un messaggio. Un buon algoritmo hash non consente inoltre, dal punto di vista computazionale, la creazione di due input indipendenti con lo stesso hash. Gli algoritmi hash includono in genere MD5, SHA-1 e SHA-256.

Ulteriori riferimenti

  • Scheda Dettagli


Scheda Percorso certificazione

La scheda Percorso certificazione consente di visualizzare il percorso tra il certificato selezionato e le autorità di certificazione (CA) che lo emettono.

Prima che un certificato sia considerato attendibile, è necessario verificare che provenga da un'origine attendibile Il processo di verifica è noto come convalida percorso.

La convalida percorso prevede l'elaborazione dei certificati con chiave pubblica e dei relativi certificati delle autorità di certificazione in modo gerarchico finché il percorso di certificazione non termina con un certificato autofirmato attendibile. Si tratta in genere di un certificato di autorità di certificazione radice. Se si verifica un problema con uno dei certificati nel percorso oppure non è possibile trovare un certificato, il percorso di certificazione viene considerato non attendibile.

I percorsi di certificazione includono in genere un certificato radice e uno o più certificati intermedi. Se si fa clic su Visualizza certificato sarà possibile ottenere ulteriori informazioni sui certificati relativamente a ogni CA nel percorso.

Ulteriori riferimenti

  • Visualizzare le informazioni relative a un certificato


Visualizzare le proprietà di un certificato

Nella finestra di dialogo Proprietà certificato sono visualizzati i valori relativi alle proprietà del certificato, suddivisi in quattro schede.

  • Scheda Generale delle proprietà del certificato

  • Scheda Certificati incrociati delle proprietà del certificato

  • Scheda OCSP delle proprietà del certificato

  • Scheda Convalida estesa delle proprietà del certificato


Scheda Generale delle proprietà del certificato

La scheda Generale consente di specificare un nome visualizzato e una descrizione da utilizzare per distinguere due certificati simili, ad esempio due certificati di firma univoci.

È inoltre possibile utilizzare la scheda Generale per abilitare o disabilitare scopi e utilizzi specifici del certificato.

Nota

È possibile aggiungere solo scopi consentiti in base alle linee guida e alle limitazioni imposte al momento del primo rilascio del certificato.

Ulteriori riferimenti

  • Visualizzare le proprietà di un certificato


Scheda Certificati incrociati delle proprietà del certificato

I certificati incrociati vengono utilizzati per stabilire l'attendibilità tra gerarchie di certificazioni separate, ad esempio reti o porzioni di una rete indipendenti. In questi casi, i certificati incrociati vengono in genere configurati per:

  • Definire gli spazi dei nomi per i quali i certificati rilasciati in una gerarchia di certificazione possono essere utilizzati e accettati nella seconda gerarchia.

  • Specificare gli utilizzi accettabili dei certificati emessi da un'autorità di certificazione (CA) con certificazione incrociata.

  • Definire le procedure di emissione di un certificato da parte di un'autorità di certificazione con certificazione incrociata affinché possa essere considerato valido nell'altra gerarchia.

  • Creare un'attendibilità gestita tra gerarchie di certificazione separate

È possibile utilizzare la scheda Certificati incrociati per aggiungere percorsi di download dei certificati incrociati.

Se si utilizzano certificati incrociati, le informazioni nella scheda Certificati incrociati indicano i tipi di restrizioni, se presenti, che sono stati applicati.

I certificati incrociati possono essere utilizzati sia in ambienti Intranet che Extranet.

Ulteriori riferimenti

  • Visualizzare le proprietà di un certificato


Scheda OCSP delle proprietà del certificato

La scheda OCSP è utilizzata dagli amministratori per aggiungere URL di risponditori OCSP (Online Certificate Status Protocol) ai certificati di autorità di certificazione emittenti, distribuiti da Criteri di gruppo ai membri di domini Active Directory. In tale modo le organizzazioni sono in grado di aggiungere risponditori OCSP a un'infrastruttura a chiave pubblica (PKI) senza riemettere il certificato dell'autorità di certificazione emesso in precedenza dall'autorità di certificazione stessa. Gli URL di risponditori OCSP forniti in questo modo sono utilizzati per verificare lo stato di revoca dei certificati emessi dall'autorità di certificazione.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins.

Per aggiungere l'URL di un risponditore OCSP a un certificato dell'autorità di certificazione

  1. Fare clic sul pulsante Start e quindi scegliere Esegui. Digitare gpmc.msc e fare clic su OK. Verrà visualizzata la Console Gestione Criteri di gruppo.

  2. Nell'albero della console espandere la foresta e il dominio contenenti i criteri che si desidera modificare e quindi fare clic su Oggetti Criteri di gruppo.

  3. Fare clic con il pulsante destro del mouse sui criteri che si desidera modificare e quindi scegliere Modifica.

  4. Nell'albero della console, in Configurazione computer, espandere Criteri, Impostazioni di Windows, Impostazioni sicurezza, Criteri chiave pubblica e Autorità di certificazione intermedie.

  5. Se non sono visualizzati certificati CA, esportare il certificato CA dall'autorità di certificazione emittente e importarlo in Autorità di certificazione intermedie. Vedere Esportare un certificato.

  6. Fare clic con il pulsante destro del mouse sul certificato CA, scegliere Proprietà e quindi fare clic sulla scheda OCSP.

  7. Digitare l'URL di un risponditore OCSP e fare clic su Aggiungi URL.

  8. Se si desidera evitare che i membri del dominio effettuino il download di CRL dai percorsi dei punti di distribuzione CRL specificati nei certificati emessi, selezionare la casella di controllo Disattiva gli elenchi di revoche di certificati (CRL).

    Attenzione

    La disattivazione di CRL non è consigliata. OCSP ha la precedenza rispetto ai CRL, se per entrambi viene specificato l'URL. Il processo di verifica delle revoche, tuttavia, determina quando il download e la memorizzazione nella cache di un unico CRL sono più efficienti di più richieste OCSP.

  9. Fare clic su OK per salvare le modifiche.
Nota

Le modifiche a Criteri di gruppo vengono applicate periodicamente dai membri di un dominio in base all'intervallo di aggiornamento di Criteri di gruppo, durante l'avvio del computer e l'accesso utente. L'intervallo di aggiornamento predefinito è 90 minuti. Per aggiornare immediatamente Criteri di gruppo in un membro del dominio, eseguire il comando Gpupdate.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete (http://go.microsoft.com/fwlink/?LinkId=143098)

  • Visualizzare le proprietà di un certificato


Scheda Convalida estesa delle proprietà del certificato

La scheda Convalida estesa viene utilizzata dagli amministratori per aggiungere criteri dei certificati di convalida estesa ai certificati radice distribuiti da Criteri di gruppo. L'aggiunta di criteri dei certificati di convalida estesa ai certificati radice rilasciati a siti Web Intranet consente di identificare visivamente un sito come attendibile.

Per utilizzare certificati di convalida estesa per siti Web Intranet è necessario eseguire queste procedure.

  1. Aggiungere criteri dei certificati di convalida estesa a un modello di certificato.

  2. Aggiungere criteri dei certificati di convalida estesa a un certificato radice.

  3. Emettere certificati di convalida estesa per siti Web Intranet.

Aggiungere criteri dei certificati di convalida estesa a un modello di certificato.

Oltre che nel certificato radice, i criteri dei certificati di convalida estesa devono essere inclusi nei certificati emessi per i siti Web Intranet e in tutti i certificati di autorità di certificazione (CA) emittenti nel percorso di certificazione.

Con questa procedura è possibile modificare un modello di certificato utilizzato per emettere certificati per server Web all'interno dell'organizzazione o qualsiasi modello di certificato che soddisfa i requisiti seguenti:

  • La versione del modello di certificato corrisponde alla versione 2 o alla versione 3.

  • Lo scopo del certificato include firma e crittografia.

  • L'estensione del criterio di applicazione include l'autenticazione server.

L'autorità di certificazione emittente deve soddisfare i requisiti seguenti:

  • Il percorso di certificazione del certificato dell'autorità di certificazione emittente include un certificato radice che include a sua volta criteri dei certificati di convalida estesa.

  • Il certificato dell'autorità di certificazione emittente include i criteri di rilascio o criteri dei certificati di convalida estesa.

  • L'autorità di certificazione emittente è un'autorità di certificazione dell'organizzazione.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins.

Per aggiungere criteri dei certificati di convalida estesa a un modello di certificato

  1. Aprire Server Manager nel'autorità di certificazione emittente. Nell'albero della console espandere Ruoli, espandere Servizi certificati Active Directory e quindi fare clic su Modelli di certificato.

  2. Fare doppio clic su un modello utilizzato per emettere certificati per siti Web Intranet.

  3. Fare clic sulla scheda Estensioni.

  4. Fare clic su Criteri di applicazione e quindi su Modifica. Verrà visualizzata la finestra di dialogo Modifica estensione criteri di applicazione.

  5. Fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Aggiunta criterio di applicazione.

  6. Fare clic su Nuovo. Verrà visualizzata la finestra di dialogo Nuovo criterio di applicazione.

  7. Digitare un nome per i criteri dei certificati di convalida estesa. Il nome verrà visualizzato nelle estensioni dei certificati emessi e nelle proprietà dei modelli nello snap-in Modelli di certificato.

  8. Un identificatore di oggetto univoco (detto anche OID) verrà generato automaticamente. Copiare il valore dell'OID per utilizzarlo nella procedura seguente. Fare clic su OK.

  9. Nell'elenco Criteri di applicazione selezionare i criteri creati. Fare clic su OK.

  10. Fare clic su OK per salvare l'estensione dei criteri di applicazione. Nella scheda Estensioni verificare che i criteri dei certificati di convalida estesa siano visualizzati nella casella Descrizione di Criteri di applicazione.

  11. Fare clic sulla scheda Sicurezza. Verificare che i gruppi o gli utenti che richiedono certificati per siti Web Intranet dispongano delle autorizzazioni Lettura e Registrazione.

  12. Fare clic su OK per salvare il modello di certificato.

  13. Nell'albero della console fare doppio clic sull'autorità di certificazione.

  14. Nell'albero della console fare clic con il pulsante destro del mouse su Modelli di certificato, scegliere Nuovo e quindi fare clic su Modello di certificato da rilasciare. Verrà visualizzata la finestra di dialogo Attivazione modelli di certificato.

  15. Selezionare il modello di certificato con i criteri dei certificati di convalida estesa e fare clic su OK.

Aggiungere criteri dei certificati di convalida estesa a un certificato radice

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins.

Per aggiungere criteri dei certificati di convalida estesa a un certificato radice

  1. Fare clic sul pulsante Start e quindi scegliere Esegui. Digitare gpmc.msc e fare clic su OK. Verrà visualizzata la Console Gestione Criteri di gruppo.

  2. Nell'albero della console espandere la foresta e il dominio contenenti i criteri che si desidera modificare e quindi fare clic su Oggetti Criteri di gruppo.

  3. Fare clic con il pulsante destro del mouse sui criteri che si desidera modificare e quindi scegliere Modifica.

  4. Nell'albero della console, in Configurazione computer, espandere Criteri, Impostazioni di Windows, Impostazioni sicurezza, Criteri chiave pubblica e Autorità di certificazione radice attendibili.

  5. Se non sono visualizzati certificati radice, esportare il certificato dell'autorità di certificazione dall'autorità di certificazione radice e importarlo in Autorità di certificazione radice attendibili. Vedere Esportare un certificato.

  6. Fare clic con il pulsante destro del mouse sul certificato radice, scegliere Proprietà e quindi fare clic sulla scheda Convalida estesa.

  7. Digitare il valore dell'identificatore dell'oggetto che rappresenta i criteri dei certificati di convalida estesa nell'organizzazione. Se i criteri dei certificati di convalida estesa sono stati creati mediante la procedura precedente, utilizzare lo stesso valore di identificatore di oggetto.

  8. Fare clic su Aggiungi OID e quindi su OK per salvare le modifiche.
Nota

Le modifiche a Criteri di gruppo vengono applicate periodicamente dai membri di un dominio in base all'intervallo di aggiornamento di Criteri di gruppo, durante l'avvio del computer e l'accesso utente. L'intervallo di aggiornamento predefinito è 90 minuti. Per aggiornare immediatamente Criteri di gruppo in un membro del dominio, eseguire il comando Gpupdate.

Emettere certificati di convalida estesa

Per richiedere e installare un certificato di convalida estesa nel server Web Intranet, seguire le procedure descritte in questi argomenti correlati:

  • In un server Web Intranet, aprire lo snap-in Certificati per il computer locale. Vedere Aggiungere lo snap-in certificati a una console MMC.

  • Richiedere un certificato di convalida estesa. Vedere Richiedere certificati utilizzando la Richiesta guidata certificato.

  • Configurare un binding a un sito Web. Vedere Finestra di dialogo Aggiungi binding sito o Modifica binding sito Web (http://go.microsoft.com/fwlink/?LinkId=143106).

Ulteriori riferimenti

  • Certificati SSL di convalida estesa (http://go.microsoft.com/fwlink/?LinkId=142392)

  • Visualizzare le proprietà di un certificato


Visualizzare i certificati in un file PKCS #7

Se si esportano o salvano più certificati come file PKCS #7 oppure se è trascorso tempo dalla creazione del file, potrebbe risultare difficile identificare esattamente i contenuti del file. La procedura seguente consente di esaminare i certificati contenuti in un file PKCS #7.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per visualizzare i certificati in un file PKCS #7

  1. Aprire Esplora risorse.

  2. Individuare il file PKCS #7 contenente i certificati da visualizzare.

  3. Nel riquadro dei dettagli fare doppio clic sul file PKCS #7.

  4. Nell'albero della console fare doppio clic sulla cartella contenente il file PKCS #7 e quindi fare clic su Certificati. I certificati contenuti nel file PKCS #7 verranno visualizzati nel riquadro dei dettagli.

Ulteriori considerazioni

  • Un file PKCS #7 in genere ha estensione p7b, ma non sempre. Come per qualsiasi altro file di dati, l'autore del file può modificarne il nome e decidere se utilizzare o meno l'estensione p7b.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.


Visualizzare i certificati archiviati

I certificati archiviati sono certificati scaduti o che sono stati rinnovati. In genere è consigliabile conservare i certificati archiviati anziché eliminarli. È ad esempio possibile conservare un certificato archiviato per verificare le firme digitali su vecchi documenti firmati utilizzando la chiave associata al certificato ormai scaduto o rinnovato.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per visualizzare i certificati archiviati

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Scegliere Opzioni dal menu Visualizza.

  3. Nella casella Visualizza selezionare la casella di controllo Certificati archiviati e quindi fare clic su OK.

  4. Fare clic su uno degli archivi certificati. Nel riquadro dei dettagli i certificati archiviati sono identificati da un attributo A nella colonna Stato.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.


Visualizzare i dettagli dell'elenco di revoche di certificati

Gli elenchi di revoche di certificati (CRL) vengono utilizzati per distribuire informazioni sui certificati revocati a utenti, computer e applicazioni che tentano di verificarne la validità.

Nella scheda Elenco di revoche sono elencati i numeri di serie dei certificati revocati e la relativa data di revoca. Nel campo Voce di revoca possono inoltre essere disponibili informazioni sui motivi della revoca del certificato.

Nella scheda Generale sono disponibili ulteriori informazioni sull'elenco di revoche stesso, tra cui l'autorità di certificazione che l'ha emesso, la data di emissione, la data di emissione dell'elenco di revoche successivo e il nome del punto di distribuzione dell'elenco di revoche di certificati.

Ulteriori riferimenti

  • Visualizzare i certificati


Modificare le proprietà di un certificato

È possibile modificare le proprietà di un certificato per numerosi motivi:

  • Aggiungere o modificare un nome visualizzato che consenta di distinguere facilmente il certificato da altri simili.

  • Modificare lo scopo del certificato aggiungendo o disabilitando scopi.

  • Specificare percorsi di download di certificati incrociati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per modificare le proprietà di un certificato

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console, nell'archivio logico che contiene il certificato da modificare, fare clic su Certificati.

  3. Nel riquadro dei dettagli fare clic sul certificato che si desidera modificare.

  4. Scegliere Proprietà dal menu Azione.

  5. Apportare le modifiche desiderate:

    1. Per modificare il nome visualizzato del certificato, digitare un nuovo nome nella casella Nome descrittivo.

    2. Per modificare la descrizione del certificato, digitare una nuova descrizione nella casella Descrizione.

    3. Per abilitare tutti gli scopi disponibili per il certificato, in Scopi certificato fare clic su Abilita tutti gli scopi per il certificato.

    4. Per disabilitare tutti gli scopi disponibili per il certificato, in Scopi certificato fare clic su Disabilita tutti gli scopi per il certificato.

    5. Per impostare scopi specifici per il certificato, in Scopi certificato fare clic su Abilita solo i seguenti scopi e selezionare le caselle di controllo appropriate.

    6. Per modificare le proprietà dei certificati incrociati, fare clic sulla scheda Certificati incrociati, fare clic su Specifica percorsi di download per certificati incrociati aggiuntivi, immettere l'URL da cui è possibile ottenere i certificati incrociati e quindi fare clic su Aggiungi URL.

    7. Fare clic su OK per salvare le modifiche.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o un servizio possono essere gestiti solo da un amministratore.

  • Per aprire lo snap-in Certificati, vedere Aggiungere lo snap-in certificati a una console MMC.


Eliminare un certificato

I certificati possono risultare obsoleti per diversi motivi, ad esempio se sono stati compromessi o danneggiati oppure devono essere sostituiti da un nuovo certificato. Quando si elimina un certificato, la chiave privata corrispondente non viene tuttavia rimossa.

Importante

Prima di eliminare un certificato, verificare che quest'ultimo non sia necessario successivamente per scopi quali la lettura di documenti precedentemente crittografati con la chiave privata ad esso associata.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per eliminare un certificato

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console, nell'archivio logico che contiene il certificato da eliminare, fare clic su Certificati.

  3. Nel riquadro dei dettagli fare clic sul certificato che si desidera eliminare. Per selezionare più certificati, fare clic sui certificati desiderati tenendo premuto CTRL.

  4. Scegliere Elimina dal menu Azione.

  5. Fare clic su Sì per confermare l'eliminazione definitiva del certificato selezionato.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • È possibile eseguire una copia di backup del certificato esportandolo prima di procedere all'eliminazione. Per informazioni sulla procedura di esportazione di un certificato, vedere Esportare un certificato.


Trovare certificati

La finestra di dialogo Trova Certificati consente di individuare certificati in base ai criteri specificati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per trovare un certificato

  1. Nell'albero della console fare clic sul nodo superiore Certificati relativo a un utente, a un computer o a un servizio.

  2. Scegliere Trova Certificati dal menu Azione.

  3. Immettere le informazioni richieste. Sono disponibili le opzioni seguenti:

    • Trova in. Consente di eseguire la ricerca in un archivio certificati specifico o in tutti gli archivi certificati.

    • Cerca in. Consente di limitare la ricerca a uno dei campi seguenti:

      • Rilasciato da. Nome o parte del nome dell'autorità di certificazione.

      • Rilasciato a. Nome o parte del nome dell'entità per la quale è stato emesso il certificato.

      • Hash MD5. Valore o parte del valore di un'identificazione personale dell'hash MD5 utilizzato per il certificato.

      • Numero di serie. Il numero di serie o una parte del numero di serie del certificato.

      • Hash SHA1. Valore o parte del valore di un'identificazione personale dell'hash SHA1 utilizzato per il certificato.

    • Contiene. Nome, parte del nome, numero di serie, parte del numero di serie, valore dell'identificazione personale o parte del valore dell'identificazione personale che si desidera cercare.

  4. Dopo aver immesso le informazioni appropriate, fare clic su Trova.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.


Spostare certificati

Molte applicazioni cercano i certificati in un unico archivio. Se il certificato non è presente in tale archivio, è possibile spostarlo in quest'ultimo.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per spostare un certificato

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'archivio logico che contiene il certificato da spostare fare clic su Certificati.

  3. Nel riquadro dei dettagli selezionare il certificato da spostare. Per selezionare più certificati, fare clic sui certificati desiderati tenendo premuto CTRL.

  4. Scegliere Taglia dal menu Azione.

  5. Nell'albero della console selezionare l'archivio logico in cui si desidera spostare il certificato.

  6. Scegliere Incolla dal menu Azione.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • Nello snap-in Certificati è possibile spostare un oggetto esclusivamente all'interno di archivi certificati. Non è ad esempio possibile spostare un oggetto in una cartella di Esplora risorse. Per spostare un certificato in o da una cartella del file system o di un dispositivo di archiviazione rimovibile, vedere Importare un certificato, Esportare un certificato e Esportare un certificato con la chiave privata.


Importare un certificato

È consigliabile importare solo i certificati ottenuti da fonti attendibili. L'importazione di un certificato inaffidabile potrebbe compromettere la sicurezza di uno o più componenti di sistema in cui viene utilizzato tale certificato.

È possibile importare un certificato in un archivio logico o fisico. Nella maggior parte dei casi, la destinazione dei certificati importati è l'archivio personale o l'archivio Autorità di certificazione radice attendibili, a seconda che si tratti di un certificato per utilizzo personale o di un certificato di una CA radice.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per importare un certificato

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console selezionare l'archivio logico in cui si desidera importare il certificato.

  3. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Importa per avviare l'Importazione guidata certificati.

  4. Digitare il nome del file che include il certificato da importare. È anche possibile scegliere il pulsante Sfoglia per individuare il file.

  5. Se si tratta di un file PKCS #12, procedere come descritto di seguito.

    • Digitare la password utilizzata per crittografare la chiave privata.

    • (Facoltativo) Se si desidera utilizzare la protezione avanzata con chiave privata, selezionare la casella di controllo Abilita protezione avanzata chiave privata.

    • (Facoltativo) Se si desidera eseguire il backup o il trasferimento delle chiavi in un secondo momento, selezionare la casella di controllo Contrassegna le chiavi come esportabili.

  6. Eseguire una delle operazioni seguenti:

    • Se il certificato deve essere inserito automaticamente in un archivio certificati in base al tipo di certificato, fare clic su Selezionare automaticamente l'archivio certificati secondo il tipo di certificato.

    • Se si desidera specificare la posizione in cui archiviare il certificato, selezionare Mettere tutti i certificati nel seguente archivio, fare clic su Sfoglia e quindi scegliere l'archivio certificati da utilizzare.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • Se si abilita la protezione avanzata della chiave privata, verrà richiesta una password ogni volta che si utilizzerà la chiave privata. Questa opzione risulta utile se si desidera assicurarsi che altri utenti non utilizzino la chiave privata senza la propria autorizzazione.

  • Al termine della procedura d'importazione, il file da cui si importano i certificati rimarrà inalterato. Se il file non è più necessario, è possibile utilizzare Esplora risorse per eliminarlo.


Esportare un certificato

È possibile esportare un certificato allo scopo di importarne una copia in un altro computer o dispositivo oppure per archiviarne una copia in una posizione sicura.

Se si desidera esportare certificati per l'importazione in un computer che esegue Windows, il formato di esportazione preferito è PKCS #7. Questo formato consente di mantenere la catena di autorità di certificazione (CA), ovvero il percorso di certificazione, di qualsiasi certificato alle cui firme siano associate controfirme.

Se si esportano certificati per l'importazione in computer con altri sistemi operativi, è possibile che il formato PKCS #7 sia supportato. In caso contrario, sono disponibili il formati binario codificato DER e il formato codificato Base64 che garantiscono l'interoperabilità.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per esportare un certificato

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console, nell'archivio logico che contiene il certificato da esportare, fare clic su Certificati.

  3. Nel riquadro dei dettagli fare clic sul certificato che si desidera esportare.

  4. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Esporta.

  5. Nell'Esportazione guidata certificati selezionare Non esportare la chiave privata. Questa opzione verrà visualizzata solo se la chiave privata è contrassegnata come esportabile e si possiedono i diritti di accesso a tale chiave.

  6. Nell'esportazione guidata fornire le informazioni seguenti.

    • Fare clic sul formato di file che si desidera utilizzare per archiviare il certificato esportato, ovvero un file codificato DER, un file codificato Base64 o un file PKCS #7.

    • Se si esporta il certificato in un file PKCS #7, è inoltre possibile includere tutti i certificati contenuti nel percorso di certificazione.

  7. Se necessario, in Password digitare una password per crittografare la chiave privata che si sta esportando. In Conferma password digitare nuovamente la password e quindi fare clic su Avanti.

  8. In Nome file digitare il nome e il percorso del file PKCS #7 in cui verranno archiviati il certificato esportato e la chiave privata. Fare clic su Avanti e quindi su Fine.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.

  • Al completamento dell'Esportazione guidata certificati, il certificato sarà presente sia nell'archivio certificati che nel file appena creato. Se si desidera rimuovere il certificato dall'archivio, è necessario eliminarlo.


Esportare un certificato con la chiave privata

In alcuni casi potrebbe essere necessario esportare un certificato con la relativa chiave privata per archiviarlo in un supporto rimovibile oppure per utilizzarlo in un altro computer. Esistono alcune limitazioni a tale procedura:

  • È possibile esportare una chiave privata solo se specificato nella richiesta di certificato o nel modello utilizzato per la creazione del certificato stesso.

  • Per impostazione predefinita, nell'Esportazione guidata certificati la protezione avanzata, denominata inoltre iteration count, viene abilitata quando si esporta un certificato con la chiave privata a esso associata. La protezione avanzata non è compatibile con alcuni programmi. È quindi consigliabile deselezionare la casella di controllo Abilita protezione avanzata se si desidera utilizzare la chiave privata con un programma che non supporta la protezione avanzata.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Users o Administrators locale. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per esportare un certificato con la chiave privata

  1. Aprire lo snap-in certificati per un utente, un computer o un servizio.

  2. Nell'albero della console, nell'archivio logico che contiene il certificato da esportare, fare clic su Certificati.

  3. Nel riquadro dei dettagli fare clic sul certificato che si desidera esportare.

  4. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Esporta.

  5. Nell'Esportazione guidata certificati selezionare Esporta la chiave privata. Questa opzione verrà visualizzata solo se la chiave privata è contrassegnata come esportabile e si possiedono i diritti di accesso a tale chiave.

  6. In Formato file di esportazione eseguire una delle operazioni seguenti e quindi fare clic su Avanti.

    • Per includere tutti i certificati nel percorso di certificazione, selezionare la casella di controllo Se possibile, includi tutti i certificati nel percorso certificazione.

    • Per eliminare la chiave privata nel caso in cui l'esportazione venga eseguita correttamente, selezionare la casella di controllo Elimina la chiave privata se l'esportazione ha esito positivo.

    • Per esportare le proprietà estese del certificato, selezionare la casella di controllo Esporta tutte le proprietà estese.

  7. In Password digitare una password per crittografare la chiave privata che si sta esportando. In Conferma password digitare nuovamente la password e quindi fare clic su Avanti.

  8. In Nome file digitare il nome e il percorso del file PKCS #12 in cui verranno archiviati il certificato esportato e la chiave privata. Fare clic su Avanti e quindi su Fine.

Al completamento dell'Esportazione guidata certificati, il certificato sarà presente sia nell'archivio certificati che nel file appena creato. Se si desidera rimuovere il certificato dall'archivio, è necessario eliminarlo.

Ulteriori considerazioni

  • I certificati utente possono essere gestiti dall'utente o da un amministratore. I certificati rilasciati a un computer o a un servizio possono essere gestiti solo da un amministratore o da un utente con autorizzazioni appropriate.

  • Per aprire lo snap-in certificati, vedere Aggiungere lo snap-in certificati a una console MMC.


Automatizzare la gestione dei certificati

La gestione dei singoli certificati può risultare un'attività estremamente complessa se non impossibile. Molte organizzazioni gestiscono i certificati mediante le impostazioni di Criteri di gruppo configurate in un server e applicate ai computer client in un dominio, un gruppo o un'unità organizzativa. In un computer client è possibile visualizzare le opzioni seguenti, sebbene queste ultime siano in genere configurate su un server.

  • Credenziali comuni

  • Convalida del percorso dei certificati


Credenziali comuni

Le credenziali comuni consentono alle organizzazioni di archiviare certificati e chiavi private in Servizi di dominio Active Directory separatamente dallo stato dell'applicazione o dalle informazioni di configurazione.

Funzionamento delle credenziali comuni

Le credenziali comuni utilizzano meccanismi di accesso e registrazione automatica esistenti per scaricare in modo sicuro certificati e chiavi in un computer locale a ogni accesso utente e, se necessario, rimuoverli alla disconnessione. L'integrità di tali credenziali viene inoltre mantenuta in qualsiasi condizione, ad esempio quando i certificati vengono aggiornati e quando gli utenti accedono a più computer contemporaneamente.

Di seguito viene descritto il funzionamento delle credenziali comuni digitali.

  1. Un utente accede a un computer client connesso a un dominio di Active Directory.

  2. Nell'ambito del processo di accesso le impostazioni di Criteri di gruppo per credenziali comuni vengono applicate al computer dell'utente.

  3. Se le credenziali comuni vengono utilizzate per la prima volta, i certificati presenti nell'archivio dell'utente nel computer client vengono copiati in Servizi di dominio Active Directory.

  4. Se in Servizi di dominio Active Directory sono già disponibili certificati per l'utente, i certificati presenti nell'archivio dell'utente nel computer client vengono confrontati con quelli memorizzati in Servizi di dominio Active Directory.

  5. Se i certificati presenti nell'archivio dei certificati dell'utente sono aggiornati, non vengono intraprese altre azioni. Se tuttavia in Servizi di dominio Active Directory sono memorizzati certificati più recenti per l'utente, queste credenziali vengono copiate nel computer client. Se nel computer client sono archiviati certificati più recenti per l'utente, queste credenziali vengono copiate in Servizi di dominio Active Directory.

  6. Se per il computer client sono necessari certificati aggiuntivi, le richieste di registrazione automatica dei certificati in attesa verranno elaborate.

    Nota

    I nuovi certificati rilasciati vengono inseriti nell'archivio certificati del computer client e replicati in Servizi di dominio Active Directory.

  7. Quando l'utente accede a un altro computer client connesso al dominio, verranno applicate le stesse impostazioni di Criteri di gruppo e le credenziali verranno nuovamente replicate da Servizi di dominio Active Directory. Le credenziali comuni sincronizzano e risolvono eventuali conflitti tra certificati e chiavi private rilevati in un qualsiasi numero di computer client utilizzati per l'accesso, nonché in Servizi di dominio Active Directory.

    Importante

    In ambienti a più domini e domini con più controller è possibile che le credenziali non siano immediatamente disponibili quando un utente accede alla rete utilizzando un controller di dominio poco dopo il rilascio di un certificato in un computer che convalida l'identità dell'utente in base a un controller di dominio. Le credenziali diverranno disponibili solo dopo il completamento della replica tra due domini o controller di dominio.

  8. Alla scadenza del certificato dell'utente, il certificato precedente viene automaticamente archiviato nel profilo dell'utente nel computer e in Servizi di dominio Active Directory.

Le credenziali comuni vengono attivate a ogni modifica di una chiave privata o di un certificato nell'archivio locale dei certificati dell'utente, a ogni operazione di blocco o sblocco del computer da parte dell'utente e ad ogni aggiornamento di Criteri di gruppo.

Tutte le comunicazioni relative ai certificati tra i componenti del computer locale e tra il computer locale e Servizi di dominio Active Directory sono firmate e crittografate.


Convalida del percorso dei certificati

Con il diffondersi dell'utilizzo dei certificati per la sicurezza delle comunicazioni e dei dati, gli amministratori possono utilizzare criteri di attendibilità dei certificati per migliorare il controllo dell'utilizzo dei certificati e delle prestazioni dell'infrastruttura a chiave pubblica mediante le impostazioni di convalida del percorso dei certificati.

Le impostazioni di convalida del percorso dei certificati in Criteri di gruppo consente agli amministratori di:

  • Gestire certificati radice attendibili [Preliminary].. Queste impostazioni dei criteri consentono di determinare quali certificati di autorità di certificazione (CA) radice e quali certificati per peer disponibili nell'elenco locale inclusi negli archivi di certificati radice e utente possono essere considerati attendibili.

  • Gestire autori attendibili [Preliminary].. Queste impostazioni dei criteri consentono di determinare quali certificati di firma codice (Authenticode®) possono essere accettati nell'organizzazione e quali devono essere invece bloccati poiché non attendibili in base ai criteri.

  • Gestire la convalida del percorso e il recupero dalla rete [Preliminary].. È possibile utilizzare queste impostazioni dei criteri per compensare situazioni in cui il download di un elenco di revoche di certificati (CRL) ha esito negativo a causa delle dimensioni eccessive dell'elenco stesso e di condizioni di rete non ottimali.

  • Gestire criteri di controllo delle revoche [Preliminary].. È possibile utilizzare queste impostazioni dei criteri per coordinare l'utilizzo di CRL e Risponditori in linea durante il controllo delle revoche. Questa opzione consente inoltre agli amministratori di estendere la durata delle risposte ricevute da un Risponditore in linea o da un elenco di revoche di certificati.


Gestire certificati radice attendibili [Preliminary].

Data la crescente varietà di certificati attualmente utilizzati e le problematiche ad essi correlate, in alcune organizzazioni potrebbe risultare opportuno gestire l'attendibilità dei certificati e impedire agli utenti del dominio di configurare gruppi personali di certificati radice attendibili. Potrebbe inoltre essere consigliabile identificare e distribuire certificati radice attendibili specifici ai fini di scenari di utilizzo in cui sono necessarie relazioni di attendibilità aggiuntive.

In questo argomento vengono descritte le procedure per le attività seguenti:

  • Gestire certificati radice attendibili per un computer locale

  • Gestire certificati radice attendibili per un dominio

  • Aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un computer locale

  • Aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un dominio

Gestire certificati radice attendibili per un computer locale

Per completare questa procedura, è richiesta almeno l'appartenenza al gruppo Administrators.

Per gestire certificati radice attendibili per un computer locale

  1. Fare clic sul pulsante Start, fare clic sulla casella Avvia ricerca, digitare mmc e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare clic su Editor oggetti Criteri di gruppo locali, fare clic su Aggiungi, selezionare il computer di cui si desidera modificare l'oggetto Criteri di gruppo locale e quindi fare clic su Fine.

  4. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  5. Nell'albero della console passare a Criteri del computer locale, Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  6. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Archivi.

  7. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  8. In Archivi principali dei certificati per utente deselezionare le caselle di controllo Consenti l'utilizzo di CA radice disponibili nell'elenco locale per la convalida dei certificati e Consenti agli utenti di considerare attendibili i certificati per peer disponibili nell'elenco locale.

  9. In Archivi radice dei certificati selezionare le CA radice attendibili per i computer client e quindi fare clic su OK per applicare le nuove impostazioni.

Gestire certificati radice attendibili per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per gestire certificati radice attendibili per un dominio

  1. Aprire Server Manager e in Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  2. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione dello strumento Console Gestione Criteri di gruppo, fare clic su Chiudi.

  3. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  4. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  5. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  6. In Console Gestione Criteri di gruppo passare a Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  7. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Archivi.

  8. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  9. In Archivi principali dei certificati per utente deselezionare le caselle di controllo Consenti l'utilizzo di CA radice disponibili nell'elenco locale per la convalida dei certificati e Consenti agli utenti di considerare attendibili i certificati per peer disponibili nell'elenco locale.

  10. In Archivi radice dei certificati selezionare le CA radice attendibili per i computer client e quindi fare clic su OK per applicare le nuove impostazioni.

Aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un computer locale

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators.

Per aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un computer locale

  1. Fare clic sul pulsante Start, fare clic sulla casella Avvia ricerca, digitare mmc e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare clic su Certificati e quindi su Aggiungi.

  4. In Lo snap-in gestirà sempre certificati per fare clic su Account del computer e quindi fare clic su Avanti.

  5. Fare clic su Computer locale e quindi su Fine.

  6. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  7. Nell'albero della console fare doppio clic su Certificati.

  8. Fare clic con il pulsante destro del mouse sull'archivio Autorità di certificazione radice attendibili.

  9. Scegliere Importa per importare i certificati ed eseguire i passaggi dell'Importazione guidata certificati.

Aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un dominio

  1. Aprire Server Manager e in Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  2. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione di Console Gestione Criteri di gruppo, fare clic su Chiudi.

  3. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  4. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  5. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  6. In Console Gestione Criteri di gruppo passare a Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  7. Fare clic con il pulsante destro del mouse sull'archivio Autorità di certificazione radice attendibili.

  8. Scegliere Importa ed eseguire i passaggi dell'Importazione guidata certificati per importare i certificati.

Ulteriori riferimenti

  • Convalida del percorso dei certificati


Gestire autori attendibili [Preliminary].

La firma del software viene utilizzata da un numero crescente di autori e sviluppatori di applicazioni per verificare che i rispettivi prodotti provengono da una fonte attendibile. Molti utenti tuttavia non sono a conoscenza o non prestano grande attenzione alla firma dei certificati associati alle applicazioni che installano.

Le impostazioni dei criteri disponibili nella scheda Autori attendibili dei criteri di convalida del percorso di certificazione consentono agli amministratori di determinare quali certificati possono essere accettati in quanto provenienti da un autore attendibile.

In questo argomento vengono descritte le procedure per le attività seguenti:

  • Configurare le impostazioni dei criteri Autori attendibili per un computer locale

  • Configurare le impostazioni dei criteri Autori attendibili per un dominio

  • Consentire soltanto agli amministratori di gestire i certificati utilizzati per la firma del codice per un computer locale

  • Consentire soltanto agli amministratori di gestire i certificati utilizzati per la firma del codice per un dominio

Configurare le impostazioni dei criteri Autori attendibili per un computer locale

Per completare questa procedura, è richiesta almeno l'appartenenza al gruppo Administrators.

Per configurare le impostazioni dei criteri Autori attendibili per un computer locale

  1. Fare clic sul pulsante Start, digitare gpedit.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console, in Criteri del computer locale\Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  3. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Autori attendibili.

  4. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri, selezionare le impostazioni dei criteri che si desidera applicare e quindi fare clic su OK per applicare le nuove impostazioni.

Configurare le impostazioni dei criteri Autori attendibili per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per configurare le impostazioni dei criteri Autori attendibili per un dominio

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  3. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione dello strumento Console Gestione Criteri di gruppo, fare clic su Chiudi.

  4. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  5. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  6. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  7. Nell'albero della console, in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  8. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Autori attendibili.

  9. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri, selezionare le impostazioni dei criteri che si desidera applicare e quindi fare clic su OK per applicare le nuove impostazioni.

Consentire soltanto agli amministratori di gestire i certificati utilizzati per la firma del codice per un computer locale

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators.

Per consentire soltanto agli amministratori di gestire i certificati utilizzati per la firma del codice per un computer locale

  1. Fare clic sul pulsante Start, digitare gpedit.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console in Criterio dominio predefinito o Criteri del computer locale, fare doppio clic su Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  3. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Autori attendibili.

  4. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  5. In Gestione autori attendibili fare clic su Consenti solo agli amministratori di gestire gli autori attendibili e quindi fare clic su OK per applicare le nuove impostazioni.

Consentire soltanto agli amministratori di gestire i certificati utilizzati per la firma del codice per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per consentire soltanto agli amministratori di gestire i certificati utilizzati per la firma del codice per un dominio

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  3. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione di Console Gestione Criteri di gruppo, fare clic su Chiudi.

  4. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  5. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  6. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  7. Nell'albero della console, in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  8. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Autori attendibili.

  9. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri, apportare le modifiche desiderate e quindi fare clic su OK per applicare le nuove impostazioni.

Ulteriori riferimenti

  • Convalida del percorso dei certificati


Gestire la convalida del percorso e il recupero dalla rete [Preliminary].

Affinché risultino efficaci, i dati correlati ai certificati, ad esempio i certificati radice attendibili, i certificati incrociati e gli elenchi di revoche di certificati (CRL) devono essere tempestivamente aggiornati. Le impostazioni di recupero dalla rete e di convalida del percorso consentono agli amministratori di:

  • Aggiornare automaticamente i certificati nel programma Microsoft Root Certificate.

  • Configurare valori di timeout per il recupero dei CRL e per la convalida del percorso. Valori predefiniti elevati possono risultare utili in condizioni di rete non ottimali.

  • Abilitare il recupero dei certificati delle Autorità di certificazione durante la convalida del percorso.

  • Definire la frequenza di download dei certificati incrociati.

In questo argomento vengono descritte le procedure per le attività seguenti:

  • Aumentare il valore di timeout per il recupero per CRL di grandi dimensioni per un computer locale

  • Aumentare il valore di timeout per il recupero per CRL di grandi dimensioni per un dominio

Gestire il recupero degli elenchi di revoche di certificati

Il recupero tempestivo di dati di revoca dei certificati rappresenta un fattore importante per garantire la protezione dell'utilizzo dei certificati stessi. È tuttavia possibile che si verifichino problemi di convalida se la verifica e il recupero di tali dati e dei certificati incrociati si interrompono a causa del trasferimento di quantità di informazioni maggiori del previsto.

Le opzioni disponibili nei Criteri di gruppo a chiave pubblica consentono agli amministratori di gestire i valori di timeout del recupero dalla rete.

Aumentare il valore di timeout per il recupero per CRL di grandi dimensioni per un computer locale

Per completare questa procedura, è richiesta almeno l'appartenenza al gruppo Administrators.

Per aumentare il valore di timeout per il recupero per CRL di grandi dimensioni per un computer locale

  1. Fare clic sul pulsante Start, digitare gpedit.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console, in Criteri del computer locale\Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  3. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Recupero dalla rete.

  4. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  5. In Impostazioni predefinite di timeout per il recupero immettere un valore di timeout nella casella Timeout predefinito recupero URL in secondi e quindi fare clic su OK per applicare le nuove impostazioni.

Aumentare il valore di timeout per il recupero per CRL di grandi dimensioni per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per aumentare il valore di timeout per il recupero per CRL di grandi dimensioni per un dominio

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  3. Quando nella pagina Risultati installazione viene indicato il completamento dell'installazione dello strumento Console Gestione Criteri di gruppo, fare clic su Chiudi.

  4. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  5. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  6. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  7. Nell'albero della console, in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  8. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Recupero dalla rete.

  9. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  10. In Impostazioni predefinite di timeout per il recupero immettere un valore di timeout nella casella Timeout predefinito recupero URL in secondi e quindi fare clic su OK per applicare le nuove impostazioni.

Ulteriori riferimenti

  • Convalida del percorso dei certificati


Gestire criteri di controllo delle revoche [Preliminary].

Mediante la revoca è possibile rendere un certificato non più attendibile come credenziale di sicurezza prima della scadenza pianificata del relativo periodo di validità. Un'infrastruttura a chiave pubblica (PKI) dipende dalla verifica distribuita delle credenziali e tale processo non richiede la comunicazione diretta con l'entità attendibile centrale che svolge il ruolo di garante per le credenziali.

Per poter eseguire la revoca dei certificati, il computer client deve determinare se il certificato è valido o è stato revocato. Per garantire l'utilizzo in diversi scenari, Servizi certificati Active Directory supporta i metodi standard per la revoca dei certificati, inclusa la pubblicazione degli elenchi di revoche di certificati (CRL) e dei Delta CRL in diverse posizioni accessibili dai client, ad esempio Servizi di dominio Active Directory, server Web e condivisioni di rete. In Windows i dati di revoca possono inoltre essere resi disponibili in diverse impostazioni tramite le risposte del protocollo di stato del certificato online (OCSP, Online Certificate Status Protocol).

Nota

I CRL vengono periodicamente pubblicati in percorsi di rete specifici e possono essere scaricati dai computer client. Le risposte OCSP sono firmate digitalmente e indicano se un singolo certificato è stato revocato o sospeso oppure se lo stato è sconosciuto. I risponditori OCSP recuperano i dati dai CRL pubblicati oppure possono essere aggiornati direttamente dal database degli stati dei certificati di un'autorità di certificazione.

Criteri di gruppo a chiave pubblica consentono inoltre agli amministratori di migliorare l'utilizzo dei CRL e dei risponditori OCSP, in particolare nelle situazioni in cui dimensioni eccessive degli elenchi di revoche o le condizioni di rete determinano una riduzione delle prestazioni.

In questo argomento vengono descritte le procedure per le attività seguenti:

  • Configurare le impostazioni di revoca in un computer locale

  • Configurare le impostazioni di revoca per un dominio

  • Estendere il periodo di validità delle risposte CRL e OCSP per un computer locale

  • Estendere il periodo di validità delle risposte CRL e OCSP per un dominio

Configurare le impostazioni di revoca in un computer locale

Per completare questa procedura, è richiesta almeno l'appartenenza al gruppo Administrators.

Per configurare le impostazioni di revoca in un computer locale

  1. Fare clic sul pulsante Start, digitare gpedit.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console, in Criteri del computer locale\Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  3. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Revoca.

  4. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri, selezionare le impostazioni dei criteri che si desidera applicare e quindi fare clic su OK per applicare le nuove impostazioni.

Configurare le impostazioni di revoca per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per configurare le impostazioni di revoca per un dominio

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  3. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione dello strumento Console Gestione Criteri di gruppo, fare clic su Chiudi.

  4. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  5. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  6. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  7. Nell'albero della console, in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  8. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Revoca.

  9. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri, selezionare le impostazioni dei criteri che si desidera applicare e quindi fare clic su OK per applicare le nuove impostazioni.

Estendere il periodo di validità delle risposte CRL e OCSP per un computer locale

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators.

Per estendere il periodo di validità delle risposte CRL e OCSP per un computer locale

  1. Fare clic sul pulsante Start, digitare gpedit.msc nella casella Cerca programmi e file e quindi premere INVIO.

  2. Nell'albero della console, in Criteri del computer locale\Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  3. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Revoca.

  4. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri e quindi selezionare la casella di controllo Validità delle risposte CRL e OCSP più lunga della durata.

  5. Nella casella Numero di ore consentito per l'estensione del periodo di validità immettere un valore di tempo in ore e quindi fare clic su OK per applicare le nuove impostazioni.

Estendere il periodo di validità delle risposte CRL e OCSP per un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per estendere il periodo di validità delle risposte CRL e OCSP per un dominio

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  3. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione di Console Gestione Criteri di gruppo, fare clic su Chiudi.

  4. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  5. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  6. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  7. Nell'albero della console, in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  8. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Revoca.

  9. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri e quindi selezionare la casella di controllo Validità delle risposte CRL e OCSP più lunga della durata.

  10. Nella casella Numero di ore consentito per l'estensione del periodo di validità immettere un valore di tempo in ore e quindi fare clic su OK per applicare le nuove impostazioni.

Ulteriori riferimenti

  • Convalida del percorso dei certificati


Risolvere i problemi relativi ai certificati

In questa sezione vengono elencati alcuni problemi comuni che possono verificarsi quando si utilizza lo snap-in certificati o si lavora con i certificati.

Quale problema si è verificato?

  • Non è possibile registrare un nuovo certificato mediante la Richiesta guidata certificato.

  • Viene visualizzato un messaggio indicante che è necessario registrare un nuovo certificato, tuttavia il processo di registrazione ha esito negativo.

  • Non è possibile registrare un nuovo certificato sul Web.

  • Non è più possibile utilizzare un certificato.

Non è possibile registrare un nuovo certificato mediante la Richiesta guidata certificato.

Causa: il tipo di certificato richiesto non è disponibile.

Soluzione: contattare l'amministratore.

Viene visualizzato un messaggio indicante che è necessario registrare un nuovo certificato, tuttavia il processo di registrazione ha esito negativo.

Causa: affinché i certificati vengano ricevuti dai client, è necessario che questi ultimi siano in grado di contattare l'autorità di certificazione che elaborerà la richiesta.

Soluzione: se un'autorità di certificazione è offline, sarà necessario copiare la richiesta su un supporto rimovibile e consegnarla fisicamente all'autorità di certificazione affinché possa essere elaborata manualmente. In alternativa, attendere che l'autorità di certificazione sia di nuovo online e riprovare.

Causa: se l'autorità di certificazione è online ma la registrazione ha comunque esito negativo, è possibile che le autorizzazioni di registrazione automatica non siano state configurate correttamente.

Soluzione: è necessario che un amministratore acceda all'elenco di controllo di accesso per il modello di certificato per concedere le autorizzazioni di lettura, registrazione e registrazione automatica ai destinatari del certificato.

Non è possibile registrare un nuovo certificato sul Web.

Causa: le pagine di registrazione Web della CA nel server che si tenta di contattare devono essere aggiornate affinché possano elaborare richieste di certificato provenienti da questa versione di Windows.

Soluzione: contattare l'amministratore.

Non è più possibile utilizzare un certificato.

Causa: il certificato è scaduto oppure non è valido per lo scopo designato.

Soluzione: visualizzare il certificato per individuarne la data di scadenza. Se è scaduto, utilizzare il Rinnovo guidato certificati per rinnovarlo. In caso contrario, verificare che il certificato sia valido per lo scopo desiderato. Se non lo è, richiedere un nuovo certificato per tale scopo.

Ulteriori riferimenti

  • Risorse relative ai certificati


Risorse relative ai certificati

Per ulteriori informazioni sui certificati, vedere la pagina relativa a Servizi certificati Active Directory (http://go.microsoft.com/fwlink/?LinkID=143356).


Linee guida per l'utilizzo di formati di firma alternativi

Se si seleziona l'opzione Usa formato di firma alternativo, verrà implementato il formato di firma PKCS #1 v2.1 per i certificati.

Per i certificati basati sugli algoritmi RSA, PKCS #1 v2.1 specifica identificatori di oggetto indipendenti per l'algoritmo hash e per quello asimmetrico. In PKCS #1 v.1.5 viene invece utilizzato un solo identificatore di oggetto per entrambi gli algoritmi. Se si seleziona il formato di firma alternativo per i certificati basati sugli algoritmi RSA, verrà inoltre utilizzata una formula di crittografia avanzata per creare la firma.

Per i certificati non basati su algoritmi RSA, se si seleziona Usa formato di firma alternativo verranno specificati identificatori di oggetto indipendenti per l'algoritmo hash e per quello asimmetrico.

Prima di utilizzare il formato di firma alternativo nei certificati, è necessario verificare che le autorità di certificazione (CA) e i computer client siano in grado di accettare tale formato di firma. Nelle versioni di Windows precedenti rispetto a Windows Server 2008 non è infatti possibile convalidare i certificati che utilizzano il formato di firma alternativo. I certificati emessi mediante il formato di firma alternativo potrebbero inoltre non essere compatibili con CA o computer client che non eseguono Windows.

Per ulteriori informazioni su PKCS #1 v.2.1, vedere la pagina relativa a PKCS #1 e allo standard di crittografia RSA (http://go.microsoft.com/fwlink/?LinkId=66621) nel sito Web RSA Laboratories.

Per ulteriori informazioni sull'implementazione RSA del formato di firma, vedere la pagina relativa al miglioramento dello standard per le firme RSA con lo standard RSA-PSS (http://go.microsoft.com/fwlink/?LinkId=66622) nel sito Web RSA Laboratories.


Certificati BitLocker

Il ripristino di un'unità protetta da BitLocker può essere eseguito da un agente recupero dati configurato con il certificato appropriato. Prima di configurare un agente recupero dati per un'unità, è necessario aggiungere l'agente recupero dati da Criteri chiave pubblica nella Console Gestione Criteri di gruppo o nell'Editor Criteri di gruppo locali. È inoltre necessario attivare e configurare l'impostazione del criterio relativo agli identificatori univoci per l'organizzazione per associare un identificatore univoco a una nuova unità per la quale BitLocker è attivato. I campi di identificazione sono obbligatori per la gestione degli agenti recupero dati nelle unità protette da BitLocker. BitLocker gestisce e aggiorna gli agenti recupero dati solo se nell'unità interessata è presente un campo di identificazione e se quest'ultimo è identico al valore configurato nel computer.

Requisiti dei certificati

Per utilizzare un certificato per crittografare un'unità con BitLocker, il certificato deve soddisfare i requisiti seguenti relativi all'utilizzo chiavi e all'utilizzo chiavi avanzato:

  • L'attributo relativo all'utilizzo chiavi deve corrispondere a nessuno, a Crittografia chiave o a uno dei seguenti valori:

    CERT_DATA_ENCIPHERMENT_KEY_USAGE

    CERT_KEY_AGREEMENT_KEY_USAGE

    CERT_KEY_ENCIPHERMENT_KEY_USAGE

  • L'attributo relativo all'utilizzo chiavi avanzato deve corrispondere a nessuno o a uno dei valori seguenti:

    1.3.6.1.4.1.311.67.1.1

    Qualsiasi identificatore di oggetto di utilizzo chiavi supportato dall'autorità di certificazione in uso

Per impostazione predefinita, l'identificatore di oggetto BitLocker è impostato su 1.3.6.1.4.1.311.67.1.1. È possibile modificare questo valore mediante Criteri di gruppo se, ad esempio, si desidera condividere un certificato esistente con BitLocker. Se il certificato appartiene a un agente recupero dati ed è utilizzato solo per recuperare dati protetti da BitLocker, è inoltre consigliabile impostare uno di questi attributi. Tale operazione, tuttavia, non è obbligatoria. Quando un agente recupero dati viene aggiunto a un'unità, non viene effettuata alcuna convalida di certificati.

Configurare un agente recupero dati e un campo di identificazione per BitLocker

Nelle procedure seguenti viene descritto come configurare un agente recupero dati e un campo di identificazione per BitLocker.

Per eseguire queste procedure, è necessaria almeno l'appartenenza al gruppo Administrators locale.

Per configurare un agente recupero dati

  1. Aprire la Console Gestione Criteri di gruppo o l'Editor Criteri di gruppo locali.

  2. Nell'albero della console, in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza\Criteri chiave pubblica, fare clic con il pulsante destro del mouse su Crittografia unità BitLocker.

  3. Fare clic su Aggiungi agente recupero dati per avviare l'Aggiunta guidata agente recupero dati. Fare clic su Avanti.

  4. Nella pagina Selezione agenti recupero dati fare clic su Sfoglia cartelle e selezionare un file con estensione cer da utilizzare come agente recupero dati. Il file selezionato verrà importato e visualizzato nell'elenco Agenti recupero dati della procedura guidata. È possibile specificare più agenti recupero dati. Dopo aver specificato tutti gli agenti recupero dati che si desidera utilizzare, fare clic su Avanti.

  5. Nella pagina Completamento dell'Aggiunta guidata agente recupero dati della procedura guidata è visualizzato l'elenco degli agenti recupero dati che verranno aggiunti a Criteri di gruppo. Fare clic su Fine per confermare gli agenti recupero dati e chiudere la procedura guidata.

Dopo la chiusura della procedura guidata gli agenti recupero dati vengono visualizzati nel riquadro dei dettagli.
Per configurare un campo di identificazione

  1. Nella Console Gestione Criteri di gruppo o nell'Editor Criteri di gruppo locali espandere l'albero della console fino a Configurazione computer\Modelli amministrativi\Componenti di Windows\Crittografia unità BitLocker e quindi fare clic su Crittografia unità BitLocker per visualizzare le impostazioni dei criteri.

  2. Nel riquadro dei dettagli fare doppio clic sull'impostazione del criterio relativo agli identificatori univoci per l'organizzazione .

  3. Fare clic su Attiva. In Campo identificazione di BitLocker immettere il campo di identificazione per l'organizzazione.

  4. Fare clic su OK per applicare e chiudere l'impostazione del criterio.
Nota

Alle unità crittografate con BitLocker prima della configurazione di un campo di identificazione non vengono assegnati agenti recupero dati a causa della mancanza del campo di identificazione. Per impostare un campo di identificazione per un'unità crittografata in precedenza è possibile utilizzare Strumentazione gestione Windows (WMI) o lo strumento da riga di comando Manage-bde. Quando si utilizza Manage-bde, il campo di identificazione viene impostato sul valore specificato nell'impostazione del criterio relativo agli identificatori univoci per l'organizzazione . Per ulteriori informazioni sull'utilizzo di WMI o di Manage-bde, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=143347.


Infrastrutture a chiave pubblica

Un'infrastruttura a chiave pubblica (PKI) è un sistema di certificati digitali, Autorità di certificazione (CA) e Autorità di registrazione che verificano e autenticano la validità di ogni entità coinvolta in una transazione elettronica tramite l'uso della crittografia a chiave pubblica. Le PKI sono caratterizzate da standard in continua evoluzione, pur essendo già ampiamente implementate come componente necessaria del commercio elettronico. Per ulteriori informazioni sulla pianificazione di una PKI e sull'uso della crittografia a chiave pubblica, vedere Risorse su Servizi certificati Active Directory.

La PKI Microsoft supporta un modello di CA gerarchico e scalabile, compatibile con un numero crescente di prodotti commerciali e di altre CA.

Nella sua forma più semplice, una gerarchia di certificazione è costituita da una singola CA. In molti casi, tuttavia, una gerarchia contiene più CA, con relazioni padre/figlio chiaramente definite. In questo modello, le CA subordinate figlio sono certificate dai certificati rilasciati dalla CA padre, che associano la chiave pubblica di una CA alla sua identità. La CA in cima alla gerarchia è detta CA radice. La CA figlio di una CA radice è detta CA subordinata. Per ulteriori informazioni, vedere Tipi di Autorità di certificazione.

In Windows, se si considera attendibile una CA radice (ossia, se il relativo certificato è contenuto nell'archivio certificati delle Autorità di certificazione radice disponibili nell'elenco locale), si considerano attendibili tutte le CA subordinate con un certificato CA valido nella gerarchia. Una CA radice è quindi un punto di riferimento molto importante per l'attendibilità in un'organizzazione e deve essere adeguatamente protetto. Per ulteriori informazioni, vedere Certificati CA.

Vi sono diversi motivi pratici che consigliano di configurare più CA subordinate:

  • Utilizzo I certificati possono essere rilasciati per vari scopi, quali la sicurezza della posta elettronica e l'autenticazione di rete. I criteri di rilascio per questi vari utilizzi possono essere distinti; la loro separazione costituisce la base dell'amministrazione di tali criteri.

  • Divisioni organizzative. I criteri di rilascio dei certificati possono variare in base al ruolo di un'entità nell'organizzazione. Anche in questo caso è possibile creare CA subordinate per separare e amministrare questi criteri.

  • Divisioni geografiche. Le organizzazioni possono avere entità presso più siti fisici. La connettività di rete tra questi siti può necessitare di singole CA subordinate per tutti i siti o per una parte di essi.

  • Bilanciamento del carico. Se un PKI dovrà essere utilizzato per rilasciare e gestire un gran numero di certificati, la disponibilità di una sola CA può dare origine a un considerevole carico di rete per tale CA. L'utilizzo di più CA subordinate per il rilascio dello stesso tipo di certificati consente di ripartire il carico di rete tra le CA.

  • Backup e tolleranza di errore. La disponibilità di più CA fa aumentare la possibilità che la rete abbia sempre CA operative per rispondere alle richieste degli utenti.

Una gerarchia di CA può inoltre offrire vantaggi amministrativi:

  • Configurazione flessibile dell'ambiente di sicurezza delle CA, per un equilibrio personalizzato tra sicurezza e usabilità. Ad esempio, è possibile scegliere di utilizzare hardware per scopi specifici di crittografia su una CA radice, di posizionarla in un'area fisicamente sicura oppure offline. Questi interventi possono essere inaccettabili per le CA subordinate, in base a considerazioni di costo o di usabilità.

  • Possibilità di "disattivare" una parte specifica della gerarchia di CA senza influire sulle relazioni di trust esistenti. Ad esempio, è possibile chiudere e revocare facilmente un certificato CA in via di rilascio associato a una specifica Business Unit senza incidere su altre parti dell'organizzazione.

Ulteriori riferimenti

  • Panoramica di Servizi certificati Active Directory


Autorità di certificazione dell'organizzazione (enterprise)

Le Autorità di certificazione dell'organizzazione (enterprise) possono rilasciare certificati per scopi quali le firme digitali, la sicurezza della posta elettronica tramite S/MIME (Secure Multipurpose Internet Mail Extensions), l'autenticazione a un server Web protetto mediante SSL (Secure Sockets Layer) o TLS (Transport Layer Security) e l'accesso a un dominio con l'utilizzo di una smart card.

Un'Autorità di certificazione dell'organizzazione (enterprise) ha le caratteristiche seguenti:

  • Necessita dell'accesso a Servizi di dominio Active Directory.

  • Utilizza Criteri di gruppo per propagare il proprio certificato all'archivio certificati delle Autorità di certificazione radice disponibili nell'elenco locale per tutti gli utenti e i computer del dominio.

  • Pubblica certificati utente ed elenchi di revoche di certificati (CRL) in Servizi di dominio Active Directory. Per poter pubblicare certificati in Servizi di dominio Active Directory, il server sul quale è installata la CA deve essere membro del gruppo Cert Publishers. Ciò è automatico per il dominio del quale il server fa parte, ma per la pubblicazione di certificati in altri domini devono essere delegate al server le necessarie autorizzazioni di sicurezza.

Nota

Per installare una CA radice dell'organizzazione (enterprise) è necessario essere un membro del gruppo Domain Admins o un amministratore con accesso in scrittura a Servizi di dominio Active Directory.

Le Autorità di certificazione dell'organizzazione (enterprise) rilasciano certificati basati su un modello di certificato. Quando si utilizzano modelli di certificato sono disponibili le funzionalità seguenti:

  • Le Autorità di certificazione dell'organizzazione (enterprise) impongono il controllo delle credenziali degli utenti durante la registrazione dei certificati. Per ogni modello di certificato è impostata in Servizi di dominio Active Directory un'autorizzazione di sicurezza che determina se il richiedente del certificato è autorizzato a ricevere il tipo di certificato richiesto.

  • Il nome del soggetto del certificato può essere generato automaticamente in base alle informazioni presenti in Servizi di dominio Active Directory, oppure indicato esplicitamente dal richiedente.

  • Il modulo criteri aggiunge al certificato rilasciato un elenco predefinito di estensioni di certificato. Le estensioni sono definite dal modello di certificato. Si riduce così la quantità di informazioni che dovranno essere fornite dal richiedente in merito al certificato e agli scopi a cui verrà destinato.

  • Per il rilascio dei certificati può essere utilizzata la registrazione automatica.

Ulteriori riferimenti

  • Tipi di Autorità di certificazione


Certificati EFS

La crittografia EFS (Encrypting File System) si basa su coppie di chiavi associate a certificati. Nella maggior parte degli ambienti gestiti, i certificati vengono emessi da una autorità di certificazione (CA, Certification Authority) in esecuzione nel dominio. Gli utenti possono ottenere l'emissione automatica di un certificato da parte della CA, senza intervento manuale. Le impostazioni dei certificati EFS includono un elenco dei modelli di certificato disponibili nel dominio che consente all'utente di specificare il modello di certificato da utilizzare per la registrazione automatica.

Nota

Nell'elenco sono inclusi tutti i modelli di certificato presenti nel dominio. Gli amministratori devono configurare correttamente la CA in modo da consentire l'emissione dei certificati. È possibile che l'accesso ad alcuni certificati visualizzati non sia disponibile.

Quando non è possibile ottenere l'emissione di un certificato da parte della CA, la tecnologia EFS può utilizzare un certificato autofirmato creato nel computer locale. È possibile scegliere di disattivare questa funzionalità o specificare una lunghezza di chiave predefinita.

Modelli EFS

Identifica il nome del modello di certificato utilizzato per richiedere un certificato EFS a una CA. Per impostazione predefinita viene utilizzato il modello EFS di base. Se sono stati creati modelli EFS personalizzati per l'organizzazione, fare clic su Sfoglia per individuare e assegnare il modello da utilizzare.

Certificati autofirmati

Per impostazione predefinita, è possibile generare certificati autofirmati in caso di indisponibilità della CA. In alcune organizzazioni l'utilizzo di certificati autofirmati non è consentito, per evitare rischi di sicurezza per le informazioni. Se si disattiva questa impostazione, perché un utente possa utilizzare la tecnologia EFS deve disporre di un certificato emesso da una CA trusted.

Se è consentito l'utilizzo di certificati autofirmati, è possibile specificare la lunghezza delle chiavi utilizzate per la crittografia di file e cartelle. Per impostazione predefinita, EFS utilizza le chiavi da 2.048 bit per i certificati RSA autofirmati e le chiavi da 256 bit per i certificati ECC (Elliptical Curve Cryptography, crittografia a curva ellittica), ad esempio quelli richiesti per la conformità Suite-B. Sono disponibili le chiavi RSA ed ECC seguenti:

  • RSA 1.024 bit

  • RSA 2.048 bit

  • RSA 4.096 bit

  • RSA 8.192 bit

  • RSA 16.384 bit

  • ECC 256 bit

  • ECC 384 bit

  • ECC 521 bit

Le chiavi di dimensioni maggiori garantiscono maggiore sicurezza ma possono rallentare la crittografia.


EFS (Encrypting File System)

EFS (Encrypting File System) è un'importante tecnologia di crittografia dei file utilizzata per memorizzare i file crittografati su volumi del file system NTFS. I file crittografati non possono essere utilizzati se l'utente non dispone dell'accesso alle chiavi necessarie per decrittografare le informazioni.

Non è necessario decrittografare manualmente un file crittografato prima di utilizzarlo. È possibile aprire e modificare il file come sempre. Dopo aver crittografato un file o una cartella, è possibile utilizzarli esattamente come file o cartelle normali.

L'utilizzo della tecnologia EFS è simile a quello delle autorizzazioni per file e cartelle. Entrambi i metodi possono essere utilizzati per limitare l'accesso ai dati. Nel caso di accesso fisico non autorizzato a cartelle e file crittografati tuttavia l'intruso non potrà leggerli. Se l'intruso cercherà di aprire o copiare la cartella o il file crittografati, riceverà un messaggio di accesso negato. Le autorizzazioni per file e cartelle non rappresentano una protezione contro attacchi fisici non autorizzati.

Per crittografare o decrittografare una cartella o un file è sufficiente impostare le proprietà di crittografia proprio come gli altri attributi, quali la sola lettura, la compressione o la visualizzazione. Se una cartella viene crittografata, vengono automaticamente crittografati anche tutti i file e le sottocartelle creati in tale cartella. È consigliabile effettuare la crittografia a livello di cartella.

È inoltre possibile crittografare o decrittografare un file o una cartella con il comando cipher.

Quando si utilizzano cartelle o file crittografati, tenere presenti le informazioni seguenti:

  • È possibile crittografare solo file e cartelle nei volumi NTFS. È tuttavia possibile utilizzare Web distributed authoring and versioning (WebDAV), che funziona anche con NTFS, per trasferire file in forma crittografata.

  • Non è possibile crittografare cartelle o i file compressi. Se l'utente contrassegna un file o una cartella per la crittografia, questi verranno decompressi.

  • Se copiati o spostati in un volume non NTFS, i file crittografati verranno decrittografati.

  • Se si spostano file non crittografati in una cartella crittografata questi verranno automaticamente crittografati nella nuova cartella. L'operazione inversa tuttavia non determina la decrittografia automatica dei file. I file devono essere decrittografati esplicitamente.

  • Non è possibile crittografare file contrassegnati con attributi di sistema o file che si trovano nella struttura della directory radice del sistema.

  • La crittografia di una cartella o di un file non impedisce l'eliminazione o l'elencazione di file o directory. Ogni utente dotato delle autorizzazioni appropriate può eliminare o elencare cartelle o file crittografati. Per tale motivo, si consiglia l'utilizzo della tecnologia EFS unitamente alle autorizzazioni NTFS.

  • È possibile crittografare o decrittografare cartelle e file situati in un computer remoto abilitato per la crittografia remota. Tuttavia i dati trasmessi in rete con questo processo non sono crittografati. Altri protocolli, ad esempio SSL/TLS (Secure Socket Layer/Transport Layer Security) o IPsec (Internet Protocol security) sono utilizzati per crittografare i dati durante le trasmissioni attraverso la rete. È inoltre possibile utilizzare WebDAV, come descritto al primo punto dell'elenco, per trasmettere i file in forma crittografata.

Impostazioni dei criteri EFS

Per configurare le diverse impostazioni dei criteri EFS è possibile utilizzare Criteri di gruppo. Tali impostazioni dei criteri sono disponibili in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza\Criteri chiave pubblica\Encrypting File System.

Attivare o disattivare la tecnologia EFS

È possibile scegliere se attivare o disattivare completamente l'utilizzo della tecnologia EFS. Se l'utente non configura alcuna impostazione per la tecnologia EFS, questa sarà attivata.

Se si sceglie di attivare la tecnologia EFS, è inoltre possibile selezionare diverse opzioni, ad esempio la crittografia automatica della cartella Documenti di un utente, la richiesta di una smart card per l'utilizzo con EFS, la memorizzazione nella cache delle chiavi create sulla base di una smart card, la creazione da una smart card di chiavi utente in grado di memorizzare nella cache o la notifica all'utente per la creazione di copie di backup delle chiavi di crittografia.

Attivare o disattivare la crittografia ECC

Con EFS è possibile attivare o disattivare l'utilizzo della crittografia ECC (Elliptic Curve Cryptography, crittografia a curva ellittica). Se l'utente non configura alcuna impostazione per la tecnologia EFS, la crittografia ECC è attivata. La crittografia ECC consente la conformità agli standard Suite-B.

Suite-B è un insieme di algoritmi di crittografia. I relativi componenti sono: Advanced Encryption Standard (AES) con chiavi da 128 e 256 bit per la crittografia simmetrica, ECDSA (Elliptic Curve Digital Signature Algorithm) per le firme digitali, Diffie-Hellman a curva ellittica (ECDH, Elliptic Curve Diffie-Hellman) per la chiave concordata e Secure Hash Algorithm (SHA-256 e SHA-384) per il digest del messaggio.


Tipi di Autorità di certificazione

Un'Autorità di certificazione (CA) accetta una richiesta di certificato, verifica le informazioni del richiedente in base al criterio della CA e infine utilizza la propria chiave privata per applicare la propria firma digitale al certificato. La CA rilascia quindi il certificato al soggetto richiedente, che potrà utilizzarlo come credenziale di sicurezza nell'ambito di un'infrastruttura a chiave pubblica (PKI). Una CA ha inoltre il compito di revocare i certificati e di pubblicare un elenco di revoche dei certificati (CRL).

Una CA può essere un'entità esterna, come VeriSign, oppure una CA creata da un'organizzazione ai propri scopi, mediante l'installazione di Servizi certificati Active Directory. Ogni CA può avere diversi requisiti di identificazione dei soggetti richiedenti, come un account di dominio, il badge del dipendente, la patente di guida, una richiesta autenticata legalmente o un indirizzo fisico. Simili controlli d'identità spesso giustificano la necessità di una CA in sede, che consenta alle organizzazioni di convalidare i propri dipendenti o membri.

Le Autorità di certificazione dell'organizzazione (enterprise) Microsoft utilizzano per l'identificazione le credenziali dell'account utente. In altre parole, se un utente è connesso a un dominio e richiede un certificato a una CA dell'organizzazione (enterprise), la CA può autenticarne l'identità in base al relativo account in Servizi di dominio Active Directory.

Ogni CA ha inoltre un certificato che conferma la propria identità, rilasciato da un'altra CA attendibile oppure, in caso di CA radice, rilasciato dalla CA stessa. È importante tenere presente che chiunque può creare una CA. Un utente o un amministratore deve pertanto decidere se considerare attendibile una determinata CA e, per estensione, i criteri e le procedure adottati dalla CA per la verifica delle identità dei soggetti ai quali rilascia certificati.

CA radice e subordinate

La CA radice è considerata il tipo di CA più attendibile nella PKI di un'organizzazione. Se la CA radice viene compromessa o rilascia un certificato a un'entità non autorizzata, qualsiasi sistema di sicurezza basato su certificati nell'organizzazione diventa vulnerabile. Per tale motivo, sia la sicurezza fisica, sia i criteri di rilascio dei certificati di una CA radice sono generalmente più rigorosi rispetto alle CA subordinate. Pur se le CA radice possono essere utilizzate per rilasciare certificati agli utenti finali per attività quali l'invio di posta elettronica sicura, vengono solitamente utilizzate solo per rilasciare certificati ad altre CA, dette CA subordinate.

Una CA subordinata è una CA alla quale è stato rilasciato un certificato da parte di un'altra CA nell'organizzazione. In genere le CA subordinate rilasciano certificati per usi specifici, come la sicurezza della posta elettronica, l'autenticazione basata su Web o l'autenticazione smart card. Le CA subordinate possono inoltre rilasciare certificati ad altre CA a un livello inferiore di subordinazione. Insieme, una CA radice, le CA subordinate certificate dalla CA radice e le CA subordinate certificate da altre CA subordinate costituiscono una gerarchia di certificazione.

Per ulteriori informazioni sulle gerarchie di certificazione, vedere Infrastrutture a chiave pubblica.

CA dell'organizzazione (enterprise) e autonome (Standalone)

Questa versione di Servizi certificati Active Directory supporta l'installazione di CA autonome (Standalone) e CA dell'organizzazione (enterprise). Per informazioni sulle caratteristiche operative delle CA dell'organizzazione (enterprise) e delle CA autonome (Standalone), vedere Autorità di certificazione dell'organizzazione (enterprise) e Autorità di certificazione autonome (Standalone).

Ulteriori riferimenti

  • Panoramica di Servizi certificati Active Directory


Memorizzazione di chiavi nella cache in EFS

Per ottimizzare le prestazioni, la tecnologia EFS (Encrypting File System) memorizza nella cache le chiavi utilizzate nel processo di crittografia o decrittografia. È possibile controllare il momento in cui questi elementi memorizzati vengono rimossi dalla memoria.

Memorizzazione di chiavi nella cache

La memorizzazione nella cache delle chiavi utente in un server utilizzato per la crittografia di server remoti viene ottimizzata. Per impostazione predefinita, il server memorizzerà fino a 15 handle della chiave utente per aumentare le prestazioni di crittografia del server. Le impostazioni predefinite possono tuttavia essere modificate da un amministratore tramite la modifica del valore del Registro di sistema seguente:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EFS\UserCacheSize DWORD

Per questo valore di Registro di sistema i valori accettabili sono compresi tra 5 e 30.

Nota

Le chiavi private non vengono memorizzate nella memoria cache ma solo come handle per il contenitore di chiavi CryptoAPI.

Modificare le proprietà di memorizzazione nella cache delle chiavi

È possibile modificare le prestazioni di memorizzazione nella cache delle chiavi tramite la selezione di opzioni nella scheda Cache della pagina Proprietà EFS nei Criteri di gruppo o nei criteri del computer locale.

È ad esempio possibile configurare un valore di timeout automatico e specificare la necessità di cancellare la cache quando l'utente blocca la workstation. La cache viene inoltre cancellata quando l'utente si disconnette o il computer viene riavviato.


Visualizzare dettagli sul Catalogo sicurezza

Un catalogo sicurezza è un contenitore firmato contenente hash di altri file e ulteriori dettagli sul file di catalogo, ad esempio la versione, la firma digitale e la data di validità.

Nella scheda Catalogo sicurezza vengono elencati i file inclusi nel catalogo e valori significativi associati a ognuno di essi.

Nella scheda Generale sono incluse informazioni sul catalogo sicurezza stesso, tra cui il numero di versione, la data, gli algoritmi e l'utilizzo del soggetto.


Visualizzare i dettagli dell'elenco di certificati attendibili

Un elenco scopi consentiti ai certificati (CTL) consente di limitare lo scopo e il periodo di validità per il quale un certificato è considerato attendibile, anche se il certificato è stato emesso per più scopi.

Le CA possono in genere emettere certificati per diversi scopi, ad esempio la sicurezza della posta elettronica o l'autenticazione client. In determinate situazioni potrebbe tuttavia essere necessario limitare l'attendibilità dei certificati emessi da una CA specifica, in particolare se si tratta di una CA esterna all'organizzazione. In questi casi, la creazione di un elenco scopi consentiti ai certificati e l'utilizzo di questo tramite Criteri di gruppo può risultare utile.

Nella scheda Elenco scopi consentiti ai certificati vengono elencati i certificati inclusi nell'elenco di certificati attendibili e i valori significativi associati a ognuno di essi.

Nella scheda Generale sono incluse informazioni sull'elenco di certificati attendibili stesso, tra cui il numero di versione, la data, gli algoritmi e l'utilizzo del soggetto.


Certificati CA

I certificati di un'Autorità di certificazione (CA) sono rilasciati da una CA a se stessa o a una seconda CA allo scopo di creare una relazione definita tra le due CA.

Un certificato che viene rilasciato da una CA a se stessa è definito un certificato radice attendibile, perché ha lo scopo di stabilire un punto di attendibilità finale per una gerarchia di CA.

Una volta definita, la radice attendibile può essere utilizzata per autorizzare CA subordinate al rilascio di certificati per suo conto.

I certificati CA possono inoltre essere utilizzati per stabilire relazioni di trust tra CA in due diverse gerarchie di infrastruttura a chiave pubblica (PKI).

In tutti questi casi, il certificato CA è fondamentale per poter definire il percorso e le restrizioni relative all'utilizzo di tutti i certificati finali rilasciati per l'utilizzo nella PKI.

La corretta configurazione dei certificati CA in base alle esigenze dell'organizzazione è uno degli strumenti più potenti a disposizione di un'organizzazione per l'implementazione di una sicurezza PKI adeguata. I certificati CA contengono speciali dati di configurazione che regolano le CA per le quali sono rilasciati. Queste opzioni di configurazione possono:

  • Definire lo spazio dei nomi organizzativo nel quale i certificati rilasciati dalla CA subordinata possono essere rilasciati e considerati attendibili.

  • Specificare gli utilizzi accettabili dei certificati rilasciati dalla CA subordinata.

  • Definire le linee guida di rilascio che devono essere seguite affinché un certificato rilasciato dalla CA subordinata sia considerato valido.

  • Creare un'attendibilità gestita tra gerarchie di certificazione separate


Risorse su Servizi certificati Active Directory

  • Per informazioni dettagliate sulla valutazione, il design, la distribuzione, la risoluzione di problemi e la documentazione tecnica, compresi white paper e articoli della Knowledge Base, vedere la pagina relativa a Servizi certificati Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85613.

  • Per informazioni sullo sviluppo di applicazioni che utilizzano Servizi certificati Active Directory, vedere la pagina sulla sicurezza nello sviluppo Win32 e COM all'indirizzo http://go.microsoft.com/fwlink/?LinkId=92771.

  • Per informazioni pubbliche sulle infrastrutture a chiave pubblica (PKI), visitare il sito Web NIST (National Institute of Standards and Technology) all'indirizzo http://go.microsoft.com/fwlink/?LinkId=92772.

  • Per informazioni sul gruppo di lavoro PKI X.509 (pkix), visitare il sito Web IETF (Internet Engineering Task Force) all'indirizzo (http://go.microsoft.com/fwlink/?LinkID=29885.


Panoramica di Servizi certificati Active Directory

È possibile installare i servizi ruolo Servizi certificati Active Directory in server che eseguono sistemi operativi quali Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 e Windows 2000 Server. Non tutti i sistemi operativi, tuttavia, supportano tutte le funzionalità o i requisiti di progettazione. Per la creazione di un progetto ottimale è necessaria un'accurata fase di pianificazione e di testing in un ambiente di lavoro di prova prima della distribuzione di Servizi certificati Active Directory in un ambiente di produzione. Sebbene sia possibile distribuire Servizi certificati Active Directory con un singolo server per una singola Autorità di certificazione (CA), le distribuzioni possono riguardare più server configurati come CA radice, criteri e di emissione e altri server configurati come Risponditori in linea.

Nella tabella seguente sono elencati i componenti di Servizi certificati Active Directory che possono essere configurati su diverse edizioni di Windows Server 2008 R2.

Componenti | Web Edition | Standard Edition | Enterprise Edition | Datacenter Edition
CA | No | Sì | Sì | Sì
Servizio Registrazione dispositivi di rete | No | No | Sì | Sì
Servizio Risponditore in linea | No | No | Sì | Sì
Registrazione Web Autorità di certificazione | No | Sì | Sì | Sì
Servizio Web di registrazione certificati | No | Sì | Sì | Sì
Servizio Web di informazioni sulle registrazioni di certificati | No | Sì | Sì | Sì

Le funzionalità seguenti sono disponibili nei server Windows Server 2008 R2 configurati come CA.

Funzionalità Servizi certificati Active Directory | Web Edition | Standard Edition | Enterprise Edition | Datacenter Edition
Modelli di certificato personalizzabili versione 2 e versione 3 | No | Sì | Sì | Sì
Archiviazione chiavi | No | No | Sì | Sì
Separazione ruoli | No | No | Sì | Sì
Restrizioni per i gestori di certificati | No | No | Sì | Sì
Restrizioni per gli agenti di registrazione delegati | No | No | Sì | Sì
Registrazione di certificati oltre i limiti delle foreste | No | No | Sì | Sì

Personalizzare Servizi certificati Active Directory

Servizi certificati Active Directory comprende interfacce programmabili che consentono agli sviluppatori di implementare il supporto di funzionalità aggiuntive, quali trasporti, criteri e proprietà e formati di certificati. Per ulteriori informazioni sulla personalizzazione dell'architettura di Servizi certificati Active Directory, visitare la pagina all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91405.

Gestire Servizi certificati Active Directory

Per gestire Servizi certificati Active Directory è possibile utilizzare i seguenti snap-in di Microsoft Management Console (MMC):

  • Autorità di certificazione. Lo strumento principale per la gestione di una CA e la revoca e la registrazione di certificati.

  • Modelli di certificato. Utilizzato per duplicare e configurare modelli di certificato per la pubblicazione in Servizi di dominio Active Directory e per l'utilizzo con CA dell'organizzazione (enterprise).

  • Risponditore in linea. Utilizzato per configurare e gestire risponditori OCSP (protocollo di stato del certificato online).

  • Infrastruttura a chiave pubblica dell'organizzazione. Utilizzato per monitorare più CA, elenchi di revoche di certificati (CRL) e percorsi AIA e per gestire oggetti di Servizi certificati Active Directory pubblicati in Servizi di dominio Active Directory.

  • Certificati. Utilizzato per visualizzare e gestire archivi certificati per un computer, utente o servizio.

Ulteriori riferimenti

  • Infrastrutture a chiave pubblica

  • Tipi di Autorità di certificazione

  • Panoramica di Servizio Web di registrazione certificati

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati

  • Configurare i servizi Web di registrazione certificati per la registrazione oltre i limite della foresta


Autorità di certificazione autonome (Standalone)

Le Autorità di certificazione autonome (Standalone) possono rilasciare certificati per scopi quali le firme digitali, la sicurezza della posta elettronica tramite S/MIME (Secure Multipurpose Internet Mail Extensions) e l'autenticazione a un server Web sicuro mediante SSL (Secure Sockets Layer) o TLS (Transport Layer Security).

Un'Autorità di certificazione autonoma (Standalone) ha le caratteristiche seguenti:

  • A differenza di una CA dell'organizzazione (enterprise), una CA autonoma (Standalone) non richiede l'utilizzo di Servizi di dominio Active Directory. Anche se si utilizza Servizi di dominio Active Directory, è possibile utilizzare CA autonome (Standalone) come CA radice attendibili offline in una gerarchia di CA, oppure per rilasciare certificati a client di un'Extranet o di Internet.

  • Quando gli utenti inviano una richiesta di certificato a una CA autonoma (Standalone), devono fornire i propri dati di identificazione e specificare il tipo di certificato richiesto. Questo non è necessario quando si invia una richiesta a una CA dell'organizzazione (enterprise), perché i dati utente dell'organizzazione sono già disponibili in Servizi di dominio Active Directory e il tipo di certificato è descritto da un modello di certificato. Le informazioni di autenticazione per le richieste sono ricavate dal database di Gestione account di sicurezza del computer locale.

  • Per impostazione predefinita, tutte le richieste di certificati inviate alla CA autonoma (Standalone) sono poste in sospeso finché l'amministratore della CA autonoma non verifica le informazioni fornite e approva la richiesta. L'amministratore deve svolgere queste attività perché le credenziali del richiedente il certificato non sono verificate dalla CA autonoma (Standalone).

  • Non vengono utilizzati modelli di certificato.

  • L'amministratore deve distribuire esplicitamente il certificato della CA autonoma (Standalone) nell'archivio dei certificati radice attendibili dell'utente di dominio, oppure l'utente stesso deve eseguire tale attività.

  • Se si utilizza un provider di crittografia che supporta la crittografia a curva ellittica (ECC), la CA autonoma (Standalone) accetterà ogni utilizzo della chiave ECC. Per ulteriori informazioni, vedere la pagina relativa a Cryptography Next Generation all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85480.

Quando una CA autonoma (Standalone) utilizza Servizi di dominio Active Directory, offre le funzionalità aggiuntive seguenti:

  • Se un membro del gruppo Domain Admins o un amministratore con accesso in scrittura a un controller di dominio installa una CA radice autonoma, questa viene aggiunta automaticamente all'elenco locale delle Autorità di certificazione radice per tutti gli utenti e i computer del dominio. Per questo motivo, se si installa una CA radice autonoma in un dominio di Active Directory, è consigliabile non modificare l'azione predefinita della CA alla ricezione di richieste di certificati (che pone le richieste in sospeso). In caso contrario, si avrà una CA radice attendibile che rilascia automaticamente certificati senza verificare l'identità del richiedente.

  • Se viene installata una CA autonoma (Standalone) da un membro del gruppo Domain Admins del dominio padre dell'organizzazione, oppure da un amministratore con accesso in scrittura a Servizi di dominio Active Directory, la CA autonoma pubblicherà il proprio certificato CA e l'elenco di revoche di certificati (CRL) in Servizi di dominio Active Directory.

Ulteriori riferimenti

  • Tipi di Autorità di certificazione