Servizi certificati Active Directory

Servizi certificati Active Directory offre servizi personalizzabili per il rilascio e la gestione di certificati in sistemi di sicurezza software che utilizzano tecnologie a chiave pubblica. Per informazioni generali sulla crittografia a chiave pubblica e i vantaggi delle infrastrutture a chiave pubblica (PKI), vedere Infrastrutture a chiave pubblica.

È possibile utilizzare Servizi certificati Active Directory per creare una o più Autorità di certificazione (CA) con il compito di ricevere le richieste di certificati, verificare le informazioni contenute nelle richieste e l'identità del richiedente, rilasciare certificati, revocare certificati e pubblicare i dati di revoca dei certificati.

Servizi certificati Active Directory consente inoltre di:

  • Configurare la registrazione Web, il servizio Registrazione dispositivi di rete e il servizio Risponditore in linea.

  • Gestire la registrazione e la revoca di certificati per utenti, computer, servizi e dispositivi di rete come i router.

  • Utilizzare Criteri di gruppo per distribuire e gestire i certificati.

Ulteriori riferimenti

  • Panoramica di Servizi certificati Active Directory

  • Scenari comuni per l'utilizzo di Servizi certificati Active Directory

  • Impostare Servizi certificati Active Directory

  • Gestire un'Autorità di certificazione

  • Utilizzare il servizio Registrazione dispositivi di rete

  • Utilizzare i criteri per gestire Servizi certificati Active Directory

  • Risolvere i problemi relativi a Servizi certificati Active Directory

  • Risorse su Servizi certificati Active Directory


Panoramica di Servizi certificati Active Directory

È possibile installare i servizi ruolo Servizi certificati Active Directory in server che eseguono sistemi operativi quali Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 e Windows 2000 Server. Non tutti i sistemi operativi, tuttavia, supportano tutte le funzionalità o i requisiti di progettazione. Per la creazione di un progetto ottimale è necessaria un'accurata fase di pianificazione e di testing in un ambiente di lavoro di prova prima della distribuzione di Servizi certificati Active Directory in un ambiente di produzione. Sebbene sia possibile distribuire Servizi certificati Active Directory con un singolo server per una singola Autorità di certificazione (CA), le distribuzioni possono riguardare più server configurati come CA radice, criteri e di emissione e altri server configurati come Risponditori in linea.

Nella tabella seguente sono elencati i componenti di Servizi certificati Active Directory che possono essere configurati su diverse edizioni di Windows Server 2008 R2.

Componenti | Web Edition | Standard Edition | Enterprise Edition | Datacenter Edition
CA | No | Sì | Sì | Sì
Servizio Registrazione dispositivi di rete | No | No | Sì | Sì
Servizio Risponditore in linea | No | No | Sì | Sì
Registrazione Web Autorità di certificazione | No | Sì | Sì | Sì
Servizio Web di registrazione certificati | No | Sì | Sì | Sì
Servizio Web di informazioni sulle registrazioni di certificati | No | Sì | Sì | Sì

Le funzionalità seguenti sono disponibili nei server Windows Server 2008 R2 configurati come CA.

Funzionalità Servizi certificati Active Directory | Web Edition | Standard Edition | Enterprise Edition | Datacenter Edition
Modelli di certificato personalizzabili versione 2 e versione 3 | No | Sì | Sì | Sì
Archiviazione chiavi | No | No | Sì | Sì
Separazione ruoli | No | No | Sì | Sì
Restrizioni per i gestori di certificati | No | No | Sì | Sì
Restrizioni per gli agenti di registrazione delegati | No | No | Sì | Sì
Registrazione di certificati oltre i limiti delle foreste | No | No | Sì | Sì

Personalizzare Servizi certificati Active Directory

Servizi certificati Active Directory comprende interfacce programmabili che consentono agli sviluppatori di implementare il supporto di funzionalità aggiuntive, quali trasporti, criteri e proprietà e formati di certificati. Per ulteriori informazioni sulla personalizzazione dell'architettura di Servizi certificati Active Directory, visitare la pagina all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91405.

Gestire Servizi certificati Active Directory

Per gestire Servizi certificati Active Directory è possibile utilizzare i seguenti snap-in di Microsoft Management Console (MMC):

  • Autorità di certificazione. Lo strumento principale per la gestione di una CA e la revoca e la registrazione di certificati.

  • Modelli di certificato. Utilizzato per duplicare e configurare modelli di certificato per la pubblicazione in Servizi di dominio Active Directory e per l'utilizzo con CA dell'organizzazione (enterprise).

  • Risponditore in linea. Utilizzato per configurare e gestire risponditori OCSP (protocollo di stato del certificato online).

  • Infrastruttura a chiave pubblica dell'organizzazione. Utilizzato per monitorare più CA, elenchi di revoche di certificati (CRL) e percorsi AIA e per gestire oggetti di Servizi certificati Active Directory pubblicati in Servizi di dominio Active Directory.

  • Certificati. Utilizzato per visualizzare e gestire archivi certificati per un computer, utente o servizio.

Ulteriori riferimenti

  • Infrastrutture a chiave pubblica

  • Tipi di Autorità di certificazione

  • Panoramica di Servizio Web di registrazione certificati

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati

  • Configurare i servizi Web di registrazione certificati per la registrazione oltre i limite della foresta


Infrastrutture a chiave pubblica

Un'infrastruttura a chiave pubblica (PKI) è un sistema di certificati digitali, Autorità di certificazione (CA) e Autorità di registrazione che verificano e autenticano la validità di ogni entità coinvolta in una transazione elettronica tramite l'uso della crittografia a chiave pubblica. Le PKI sono caratterizzate da standard in continua evoluzione, pur essendo già ampiamente implementate come componente necessaria del commercio elettronico. Per ulteriori informazioni sulla pianificazione di una PKI e sull'uso della crittografia a chiave pubblica, vedere Risorse su Servizi certificati Active Directory.

La PKI Microsoft supporta un modello di CA gerarchico e scalabile, compatibile con un numero crescente di prodotti commerciali e di altre CA.

Nella sua forma più semplice, una gerarchia di certificazione è costituita da una singola CA. In molti casi, tuttavia, una gerarchia contiene più CA, con relazioni padre/figlio chiaramente definite. In questo modello, le CA subordinate figlio sono certificate dai certificati rilasciati dalla CA padre, che associano la chiave pubblica di una CA alla sua identità. La CA in cima alla gerarchia è detta CA radice. La CA figlio di una CA radice è detta CA subordinata. Per ulteriori informazioni, vedere Tipi di Autorità di certificazione.

In Windows, se si considera attendibile una CA radice (ossia, se il relativo certificato è contenuto nell'archivio certificati delle Autorità di certificazione radice disponibili nell'elenco locale), si considerano attendibili tutte le CA subordinate con un certificato CA valido nella gerarchia. Una CA radice è quindi un punto di riferimento molto importante per l'attendibilità in un'organizzazione e deve essere adeguatamente protetto. Per ulteriori informazioni, vedere Certificati CA.

Vi sono diversi motivi pratici che consigliano di configurare più CA subordinate:

  • Utilizzo I certificati possono essere rilasciati per vari scopi, quali la sicurezza della posta elettronica e l'autenticazione di rete. I criteri di rilascio per questi vari utilizzi possono essere distinti; la loro separazione costituisce la base dell'amministrazione di tali criteri.

  • Divisioni organizzative. I criteri di rilascio dei certificati possono variare in base al ruolo di un'entità nell'organizzazione. Anche in questo caso è possibile creare CA subordinate per separare e amministrare questi criteri.

  • Divisioni geografiche. Le organizzazioni possono avere entità presso più siti fisici. La connettività di rete tra questi siti può necessitare di singole CA subordinate per tutti i siti o per una parte di essi.

  • Bilanciamento del carico. Se un PKI dovrà essere utilizzato per rilasciare e gestire un gran numero di certificati, la disponibilità di una sola CA può dare origine a un considerevole carico di rete per tale CA. L'utilizzo di più CA subordinate per il rilascio dello stesso tipo di certificati consente di ripartire il carico di rete tra le CA.

  • Backup e tolleranza di errore. La disponibilità di più CA fa aumentare la possibilità che la rete abbia sempre CA operative per rispondere alle richieste degli utenti.

Una gerarchia di CA può inoltre offrire vantaggi amministrativi:

  • Configurazione flessibile dell'ambiente di sicurezza delle CA, per un equilibrio personalizzato tra sicurezza e usabilità. Ad esempio, è possibile scegliere di utilizzare hardware per scopi specifici di crittografia su una CA radice, di posizionarla in un'area fisicamente sicura oppure offline. Questi interventi possono essere inaccettabili per le CA subordinate, in base a considerazioni di costo o di usabilità.

  • Possibilità di "disattivare" una parte specifica della gerarchia di CA senza influire sulle relazioni di trust esistenti. Ad esempio, è possibile chiudere e revocare facilmente un certificato CA in via di rilascio associato a una specifica Business Unit senza incidere su altre parti dell'organizzazione.

Ulteriori riferimenti

  • Panoramica di Servizi certificati Active Directory


Tipi di Autorità di certificazione

Un'Autorità di certificazione (CA) accetta una richiesta di certificato, verifica le informazioni del richiedente in base al criterio della CA e infine utilizza la propria chiave privata per applicare la propria firma digitale al certificato. La CA rilascia quindi il certificato al soggetto richiedente, che potrà utilizzarlo come credenziale di sicurezza nell'ambito di un'infrastruttura a chiave pubblica (PKI). Una CA ha inoltre il compito di revocare i certificati e di pubblicare un elenco di revoche dei certificati (CRL).

Una CA può essere un'entità esterna, come VeriSign, oppure una CA creata da un'organizzazione ai propri scopi, mediante l'installazione di Servizi certificati Active Directory. Ogni CA può avere diversi requisiti di identificazione dei soggetti richiedenti, come un account di dominio, il badge del dipendente, la patente di guida, una richiesta autenticata legalmente o un indirizzo fisico. Simili controlli d'identità spesso giustificano la necessità di una CA in sede, che consenta alle organizzazioni di convalidare i propri dipendenti o membri.

Le Autorità di certificazione dell'organizzazione (enterprise) Microsoft utilizzano per l'identificazione le credenziali dell'account utente. In altre parole, se un utente è connesso a un dominio e richiede un certificato a una CA dell'organizzazione (enterprise), la CA può autenticarne l'identità in base al relativo account in Servizi di dominio Active Directory.

Ogni CA ha inoltre un certificato che conferma la propria identità, rilasciato da un'altra CA attendibile oppure, in caso di CA radice, rilasciato dalla CA stessa. È importante tenere presente che chiunque può creare una CA. Un utente o un amministratore deve pertanto decidere se considerare attendibile una determinata CA e, per estensione, i criteri e le procedure adottati dalla CA per la verifica delle identità dei soggetti ai quali rilascia certificati.

CA radice e subordinate

La CA radice è considerata il tipo di CA più attendibile nella PKI di un'organizzazione. Se la CA radice viene compromessa o rilascia un certificato a un'entità non autorizzata, qualsiasi sistema di sicurezza basato su certificati nell'organizzazione diventa vulnerabile. Per tale motivo, sia la sicurezza fisica, sia i criteri di rilascio dei certificati di una CA radice sono generalmente più rigorosi rispetto alle CA subordinate. Pur se le CA radice possono essere utilizzate per rilasciare certificati agli utenti finali per attività quali l'invio di posta elettronica sicura, vengono solitamente utilizzate solo per rilasciare certificati ad altre CA, dette CA subordinate.

Una CA subordinata è una CA alla quale è stato rilasciato un certificato da parte di un'altra CA nell'organizzazione. In genere le CA subordinate rilasciano certificati per usi specifici, come la sicurezza della posta elettronica, l'autenticazione basata su Web o l'autenticazione smart card. Le CA subordinate possono inoltre rilasciare certificati ad altre CA a un livello inferiore di subordinazione. Insieme, una CA radice, le CA subordinate certificate dalla CA radice e le CA subordinate certificate da altre CA subordinate costituiscono una gerarchia di certificazione.

Per ulteriori informazioni sulle gerarchie di certificazione, vedere Infrastrutture a chiave pubblica.

CA dell'organizzazione (enterprise) e autonome (Standalone)

Questa versione di Servizi certificati Active Directory supporta l'installazione di CA autonome (Standalone) e CA dell'organizzazione (enterprise). Per informazioni sulle caratteristiche operative delle CA dell'organizzazione (enterprise) e delle CA autonome (Standalone), vedere Autorità di certificazione dell'organizzazione (enterprise) e Autorità di certificazione autonome (Standalone).

Ulteriori riferimenti

  • Panoramica di Servizi certificati Active Directory


Autorità di certificazione dell'organizzazione (enterprise)

Le Autorità di certificazione dell'organizzazione (enterprise) possono rilasciare certificati per scopi quali le firme digitali, la sicurezza della posta elettronica tramite S/MIME (Secure Multipurpose Internet Mail Extensions), l'autenticazione a un server Web protetto mediante SSL (Secure Sockets Layer) o TLS (Transport Layer Security) e l'accesso a un dominio con l'utilizzo di una smart card.

Un'Autorità di certificazione dell'organizzazione (enterprise) ha le caratteristiche seguenti:

  • Necessita dell'accesso a Servizi di dominio Active Directory.

  • Utilizza Criteri di gruppo per propagare il proprio certificato all'archivio certificati delle Autorità di certificazione radice disponibili nell'elenco locale per tutti gli utenti e i computer del dominio.

  • Pubblica certificati utente ed elenchi di revoche di certificati (CRL) in Servizi di dominio Active Directory. Per poter pubblicare certificati in Servizi di dominio Active Directory, il server sul quale è installata la CA deve essere membro del gruppo Cert Publishers. Ciò è automatico per il dominio del quale il server fa parte, ma per la pubblicazione di certificati in altri domini devono essere delegate al server le necessarie autorizzazioni di sicurezza.

Nota

Per installare una CA radice dell'organizzazione (enterprise) è necessario essere un membro del gruppo Domain Admins o un amministratore con accesso in scrittura a Servizi di dominio Active Directory.

Le Autorità di certificazione dell'organizzazione (enterprise) rilasciano certificati basati su un modello di certificato. Quando si utilizzano modelli di certificato sono disponibili le funzionalità seguenti:

  • Le Autorità di certificazione dell'organizzazione (enterprise) impongono il controllo delle credenziali degli utenti durante la registrazione dei certificati. Per ogni modello di certificato è impostata in Servizi di dominio Active Directory un'autorizzazione di sicurezza che determina se il richiedente del certificato è autorizzato a ricevere il tipo di certificato richiesto.

  • Il nome del soggetto del certificato può essere generato automaticamente in base alle informazioni presenti in Servizi di dominio Active Directory, oppure indicato esplicitamente dal richiedente.

  • Il modulo criteri aggiunge al certificato rilasciato un elenco predefinito di estensioni di certificato. Le estensioni sono definite dal modello di certificato. Si riduce così la quantità di informazioni che dovranno essere fornite dal richiedente in merito al certificato e agli scopi a cui verrà destinato.

  • Per il rilascio dei certificati può essere utilizzata la registrazione automatica.

Ulteriori riferimenti

  • Tipi di Autorità di certificazione


Autorità di certificazione autonome (Standalone)

Le Autorità di certificazione autonome (Standalone) possono rilasciare certificati per scopi quali le firme digitali, la sicurezza della posta elettronica tramite S/MIME (Secure Multipurpose Internet Mail Extensions) e l'autenticazione a un server Web sicuro mediante SSL (Secure Sockets Layer) o TLS (Transport Layer Security).

Un'Autorità di certificazione autonoma (Standalone) ha le caratteristiche seguenti:

  • A differenza di una CA dell'organizzazione (enterprise), una CA autonoma (Standalone) non richiede l'utilizzo di Servizi di dominio Active Directory. Anche se si utilizza Servizi di dominio Active Directory, è possibile utilizzare CA autonome (Standalone) come CA radice attendibili offline in una gerarchia di CA, oppure per rilasciare certificati a client di un'Extranet o di Internet.

  • Quando gli utenti inviano una richiesta di certificato a una CA autonoma (Standalone), devono fornire i propri dati di identificazione e specificare il tipo di certificato richiesto. Questo non è necessario quando si invia una richiesta a una CA dell'organizzazione (enterprise), perché i dati utente dell'organizzazione sono già disponibili in Servizi di dominio Active Directory e il tipo di certificato è descritto da un modello di certificato. Le informazioni di autenticazione per le richieste sono ricavate dal database di Gestione account di sicurezza del computer locale.

  • Per impostazione predefinita, tutte le richieste di certificati inviate alla CA autonoma (Standalone) sono poste in sospeso finché l'amministratore della CA autonoma non verifica le informazioni fornite e approva la richiesta. L'amministratore deve svolgere queste attività perché le credenziali del richiedente il certificato non sono verificate dalla CA autonoma (Standalone).

  • Non vengono utilizzati modelli di certificato.

  • L'amministratore deve distribuire esplicitamente il certificato della CA autonoma (Standalone) nell'archivio dei certificati radice attendibili dell'utente di dominio, oppure l'utente stesso deve eseguire tale attività.

  • Se si utilizza un provider di crittografia che supporta la crittografia a curva ellittica (ECC), la CA autonoma (Standalone) accetterà ogni utilizzo della chiave ECC. Per ulteriori informazioni, vedere la pagina relativa a Cryptography Next Generation all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85480.

Quando una CA autonoma (Standalone) utilizza Servizi di dominio Active Directory, offre le funzionalità aggiuntive seguenti:

  • Se un membro del gruppo Domain Admins o un amministratore con accesso in scrittura a un controller di dominio installa una CA radice autonoma, questa viene aggiunta automaticamente all'elenco locale delle Autorità di certificazione radice per tutti gli utenti e i computer del dominio. Per questo motivo, se si installa una CA radice autonoma in un dominio di Active Directory, è consigliabile non modificare l'azione predefinita della CA alla ricezione di richieste di certificati (che pone le richieste in sospeso). In caso contrario, si avrà una CA radice attendibile che rilascia automaticamente certificati senza verificare l'identità del richiedente.

  • Se viene installata una CA autonoma (Standalone) da un membro del gruppo Domain Admins del dominio padre dell'organizzazione, oppure da un amministratore con accesso in scrittura a Servizi di dominio Active Directory, la CA autonoma pubblicherà il proprio certificato CA e l'elenco di revoche di certificati (CRL) in Servizi di dominio Active Directory.

Ulteriori riferimenti

  • Tipi di Autorità di certificazione


Panoramica di Servizio Web di registrazione certificati

Servizio Web di registrazione certificati è un servizio ruolo di Servizi certificati Active Directory che consente a utenti e computer di eseguire la registrazione di certificati tramite il protocollo HTTPS. Insieme a Servizio Web di informazioni sulle registrazioni di certificati, questo servizio consente la registrazione di certificati basata su criteri quando il computer client non è un membro di un dominio o quando un membro del dominio non è connesso al dominio.

Servizio Web di registrazione certificati utilizza il protocollo HTTPS per accettare richieste di certificati dai computer client della rete e restituire certificati emessi. Servizio Web di registrazione certificati si connette all'autorità di certificazione (CA) ed esegue la registrazione di certificati per conto del richiedente mediante il protocollo DCOM. Nelle versioni precedenti di Servizi certificati Active Directory, la registrazione di certificati basata su criteri può essere eseguita solo da computer client membri del dominio che utilizzano il protocollo DCOM. In tale modo l'emissione di certificati viene limitata ai limiti di trust stabiliti dai domini e dalle foreste di Servizi di dominio Active Directory.

La registrazione di certificati su HTTPS consente i nuovi scenari di distribuzione seguenti:

  • Registrazione di certificati oltre i limiti delle foreste, per ridurre il numero di CA presenti in un'organizzazione.

  • Distribuzione Extranet per l'emissione di certificati per utenti mobili e partner commerciali.

Ulteriori riferimenti

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati


Panoramica di Servizio Web di informazioni sulle registrazioni di certificati

Servizio Web di informazioni sulle registrazioni di certificati è un servizio ruolo di Servizi certificati Active Directory che consente a utenti e computer di ottenere informazioni sui criteri di registrazione dei certificati. Insieme a Servizio Web di registrazione certificati, questo servizio consente la registrazione di certificati basata su criteri quando il computer client non è un membro di un dominio o quando un membro del dominio non è connesso al dominio.

Per comunicare le informazioni sui criteri dei certificati ai computer client della rete, Servizio Web di registrazione certificati utilizza il protocollo HTTPS. Il servizio Web utilizza il protocollo LDAP per recuperare i criteri dei certificati da Servizi di dominio Active Directory e memorizza nella cache le informazioni sui criteri per soddisfare le richieste client. Nelle versioni precedenti di Servizi certificati Active Directory le informazioni sui criteri dei certificati sono accessibili solo per i computer client del dominio che utilizzano il protocollo LDAP. In tale modo l'emissione di certificati basati su criteri viene limitata ai limiti di trust stabiliti dalle foreste di Servizi di dominio Active Directory.

La pubblicazione di criteri di registrazione su HTTPS consente i nuovi scenari di distribuzione seguenti:

  • Registrazione di certificati oltre i limiti delle foreste, per ridurre il numero di Autorità di certificazione (CA) presenti in un'organizzazione.

  • Distribuzione Extranet per l'emissione di certificati per utenti mobili e partner commerciali.

Ulteriori riferimenti

  • Panoramica di Servizio Web di registrazione certificati


Scenari comuni per l'utilizzo di Servizi certificati Active Directory

È possibile configurare una o più Autorità di certificazione (CA) per supportare diversi scenari che necessitano della sicurezza aggiuntiva assicurata dai certificati. Gli elenchi di controllo seguenti identificano i passaggi e le procedure generali necessari per configurare una o più CA per questi scenari.

  • Elenco di controllo: configurare CA per il rilascio e la gestione di certificati

  • Elenco di controllo: proteggere dalle perdite i dati crittografati mediante l'attivazione dell'archiviazione e del recupero chiavi

  • Elenco di controllo: migliorare la verifica delle revoche di certificati in ambienti eterogenei tramite la configurazione di un array di risponditori online

  • Elenco di controllo: autenticare server Web con certificati rilasciati da una CA basata su Windows

  • Elenco di controllo: migliorare la sicurezza della rete wireless attraverso la richiesta di certificati per l'autenticazione e la crittografia

  • Elenco di controllo: migliorare la gestione delle identità tramite il rilascio di certificati per smart card


Elenco di controllo: configurare CA per il rilascio e la gestione di certificati

Molte organizzazioni distribuiscono un'Autorità di certificazione (CA) radice offline e una o più CA subordinate come infrastruttura a chiave pubblica (PKI). Dopo l'installazione di queste CA nei server, è necessario completare ulteriori passaggi prima di poter utilizzare la PKI per rilasciare, supportare e gestire i certificati. Tali passaggi prevedono la configurazione di opzioni per la revoca dei certificati, la configurazione dei certificati o dei modelli di certificato e la configurazione di opzioni di registrazione e rilascio.

Attività | Riferimento
Pianificare la PKI. | Infrastrutture a chiave pubblica
Impostare una CA radice autonoma (Standalone) o dell'organizzazione (enterprise). | Installare un'Autorità di certificazione radice
Impostare CA subordinate aggiuntive (facoltativo). | Installare un'Autorità di certificazione subordinata
Eseguire ulteriori attività di configurazione della CA. | Gestire un'Autorità di certificazione
Installare e configurare i modelli di certificato. | Gestire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=143282)
Configurare la registrazione dei certificati. | Gestire le registrazioni dei certificati


Elenco di controllo: proteggere dalle perdite i dati crittografati mediante l'attivazione dell'archiviazione e del recupero chiavi

Se un certificato utilizzato per crittografare i dati tramite EFS (Encrypting File System) viene perso, sarà possibile recuperare i dati solo se è stato configurato un agente di recupero chiavi. Attraverso l'implementazione di un piano di archiviazione e recupero delle chiavi basato sull'Autorità di certificazione (CA) di Microsoft, è possibile proteggere le risorse dati dell'organizzazione evitando che diventino irrecuperabili nel caso in cui la chiave EFS originale non sia più accessibile.

Attività | Riferimento
Impostare CA subordinate aggiuntive (facoltativo). | Installare un'Autorità di certificazione subordinata
Installare e configurare i modelli di certificato. | Gestire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=143282)
Configurare l'archiviazione e il recupero chiavi. | Gestire l'archiviazione e il recupero delle chiavi
Configurare la registrazione dei certificati. | Gestire le registrazioni dei certificati


Elenco di controllo: migliorare la verifica delle revoche di certificati in ambienti eterogenei tramite la configurazione di un array di risponditori online

A differenza degli elenchi di revoche di certificati (CRL), che vengono distribuiti periodicamente, contengono informazioni su tutti i certificati revocati o sospesi e possono avere dimensioni molto elevate, un risponditore online risponde alle richieste dei client fornendo informazioni sullo stato di certificati singoli. La quantità di dati recuperati per ogni richiesta rimane costante, indipendentemente dal numero di certificati revocati. In questo modo risulta più semplice fornire informazioni sullo stato attuale a un numero elevato di client, là dove questi impiegherebbero tempi inaccettabili per scaricare un CRL. La configurazione di più risponditori online collegati in un array può garantire flessibilità e scalabilità alla verifica delle revoche in ambienti di rete eterogenei.

Attività | Riferimento
Configurare Autorità di certificazione (CA) subordinate aggiuntive. | Installare un'Autorità di certificazione subordinata
Installare e configurare i modelli di certificato. | Gestire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=143282)
Configurare la CA di emissione per il rilascio di certificati Firma risposta OCSP (protocollo di stato del certificato online). | Configurare una CA per il supporto dei risponditori OCSP
Installare e configurare il risponditore online. | Installare un risponditore online
Creare una configurazione di revoca per il risponditore online. | Creare una configurazione di revoca
Creare un array di risponditori online. | Gestire un array di risponditori online (http://go.microsoft.com/fwlink/?LinkId=142234)


Elenco di controllo: autenticare server Web con certificati rilasciati da una CA basata su Windows

È possibile utilizzare certificati per autenticare query inviate dai client ai server Web. I client possono utilizzare i certificati rilasciati da un'Autorità di certificazione (CA) Microsoft per verificare che i risultati delle query non siano stati alterati e che siano stati restituiti dal controller di dominio o dal server Web corretto.

Attività | Riferimento
Impostare CA subordinate aggiuntive (facoltativo). | Installare un'Autorità di certificazione subordinata
Installare e configurare un modello di certificato del server Web. | Gestire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=143282)
Configurare la registrazione dei certificati. | Gestire le registrazioni dei certificati


Elenco di controllo: migliorare la sicurezza della rete wireless attraverso la richiesta di certificati per l'autenticazione e la crittografia

Le reti wireless consentono agli utenti in rete di accedere ai dati e alle risorse da più postazioni senza la necessità di una connessione fisica alla rete. L'elevato numero e l'ampia varietà di client wireless e i potenziali rischi per la sicurezza associati a questo tipo di reti rendono necessario il miglioramento della protezione dei dati e il blocco degli accessi alla rete da parte di client non desiderati. I certificati rilasciati e supportati da un'Autorità di certificazione (CA) di Microsoft possono migliorare la sicurezza di una rete wireless grazie all'autenticazione avanzata basata su certificati e alla comunicazione crittografata tra i client e i server della rete.

Attività | Riferimento
Impostare CA subordinate aggiuntive (facoltativo). | Installare un'Autorità di certificazione subordinata
Installare e configurare i modelli di certificato, compresi i modelli Server RAS e IAS, Autenticazione workstation e Certificato utente. | Gestire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=143282)
Configurare la registrazione dei certificati. | Impostare la registrazione automatica dei certificati (http://go.microsoft.com/fwlink/?LinkId=142235)
Distribuire certificati Server RAS e IAS. | Distribuire un'autorità di certificazione (CA) e un certificato di Server dei criteri di rete (http://go.microsoft.com/fwlink/?LinkID=141788)
Configurare client wireless 802.1X con Criteri di gruppo | Configurare client wireless 802.1X che eseguono Windows Vista con Criteri di gruppo (http://go.microsoft.com/fwlink/?LinkId=141790)
Configurare punti di accesso wireless 802.1X come client RADIUS (Remote Authentication Dial-In User Service) in Server dei criteri di rete. | Aggiungere un nuovo client RADIUS (http://go.microsoft.com/fwlink/?LinkId=141791)
Se si desidera concedere autorizzazioni basate su gruppi, creare in Servizi di dominio Active Directory un gruppo contenente gli utenti che possono accedere alla rete tramite i punti di accesso wireless. | Creare un gruppo per un criterio di rete (http://go.microsoft.com/fwlink/?LinkId=141794)
Nel Server dei criteri di rete configurare uno o più criteri di rete per l'accesso wireless 802.1X. | Aggiungere un criterio di rete (http://go.microsoft.com/fwlink/?LinkId=141792) Creare criteri per connessioni wireless o cablate 802.1X mediante la procedura guidata (http://go.microsoft.com/fwlink/?LinkId=141793)


Elenco di controllo: migliorare la gestione delle identità tramite il rilascio di certificati per smart card

Le smart card e altri token di autenticazione fisica migliorano l'autenticazione di base basata su password richiedendo agli utenti di integrare qualcosa che conoscono, ovvero una password o un PIN, con qualcosa che possiedono, ovvero la smart card o il token. Gli ostacoli alla distribuzione delle smart card sono sempre stati il costo e la difficoltà di gestione dei certificati smart card. Il rilascio e la gestione dei certificati con un'Autorità di certificazione (CA) di Windows può invece essere una soluzione efficiente ed economicamente vantaggiosa per la distribuzione di smart card.

Attività | Riferimento
Impostare CA subordinate aggiuntive (facoltativo). | Installare un'Autorità di certificazione subordinata
Installare e configurare i modelli di certificato. | Gestire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=143282)
Configurare e implementare una stazione di registrazione di smart card. | Configurare e utilizzare una stazione di registrazione di smart card
Configurare client smart card. | Configurare client smart card (http://go.microsoft.com/fwlink/?LinkID=94261)
Rilasciare smart card agli utenti. | Rilasciare smart card (http://go.microsoft.com/fwlink/?LinkID=94262)


Impostare Servizi certificati Active Directory

I servizi ruolo Servizi certificati Active Directory possono essere impostati singolarmente, con più servizi ruolo su un solo server, oppure con ogni servizio ruolo installato su un server distinto. Per ulteriori informazioni, vedere Panoramica di Servizi certificati Active Directory.

Negli argomenti seguenti vengono illustrate le opzioni di installazione per vari servizi ruolo Servizi certificati Active Directory:

  • Configurare un'Autorità di certificazione

  • Configurare il supporto della registrazione Web per l'Autorità di certificazione

  • Configurare il servizio Registrazione dispositivi di rete

  • Configurare i servizi Risponditore in linea in una rete

  • Impostare il Servizio Web di registrazione certificati


Configurare un'Autorità di certificazione

Molte organizzazioni configurano più Autorità di certificazione (CA), tra cui una CA radice e una subordinata. Negli argomenti seguenti vengono descritte le procedure di configurazione di diversi tipi di CA e altre procedure relative all'installazione.

  • Installare un'Autorità di certificazione radice

  • Installare un'Autorità di certificazione subordinata

  • Configurare un'Autorità di certificazione utilizzando un modulo di sicurezza hardware

  • Disinstallare un'Autorità di certificazione


Installare un'Autorità di certificazione radice

In molte organizzazioni il primo servizio ruolo Servizi certificati Active Directory installato consiste in un certificato di Autorità di certificazione (CA) radice. In un'infrastruttura a chiave pubblica (PKI) di base una CA radice può essere l'unica CA distribuita dall'organizzazione.

Che si installi una sola o più CA, il certificato della CA radice rappresenta le fondamenta e le regole di base per il rilascio e l'utilizzo dei certificati per l'intera PKI. Mentre il certificato radice definisce gli standard di accettabilità nella gerarchia PKI, Servizi certificati Active Directory applica tali standard a qualsiasi altra CA e a qualsiasi altro servizio ruolo Servizi certificati Active Directory.

Una CA radice può essere autonoma (Standalone) oppure dell'organizzazione (enterprise). Se nell'organizzazione sono presenti più CA, in molti casi si sceglie di ridurre al minimo l'esposizione della CA radice mantenendola offline, tranne quando è necessaria per l'elaborazione di una richiesta di un certificato per una CA subordinata.

Per poter completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale o a un gruppo equivalente. Nel caso di un'Autorità di certificazione dell'organizzazione (enterprise), per eseguire questa procedura è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per installare una CA radice

  1. Aprire Server Manager, fare clic su Aggiungi ruoli, su Avanti e quindi su Servizi certificati Active Directory. Fare clic su Avanti due volte.

  2. Nella pagina Selezione servizi ruolo fare clic su Autorità di certificazione. Fare clic su Avanti.

  3. Nella pagina Impostazione tipo di installazione fare clic su Autonoma (Standalone) o Dell'organizzazione (Enterprise). Fare clic su Avanti.

    Nota

    Per installare un'Autorità di certificazione dell'organizzazione (enterprise), è necessaria una connessione di rete a un controller di dominio.

  4. Nella pagina Indicazione del tipo di CA fare clic su CA radice. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Tipi di Autorità di certificazione.

  5. Nella pagina Configurazione chiave privata fare clic su Crea una nuova chiave privata. Fare clic su Avanti.

  6. Nella pagina Configurazione crittografia selezionare un provider di servizi di crittografia, la lunghezza della chiave e l'algoritmo hash. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Opzioni di crittografia per le CA.

  7. Nella pagina Configurazione nome CA specificare un nome univoco per identificare la CA. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Denominazione delle Autorità di certificazione.

  8. Nella pagina Impostazione del periodo di validità specificare il numero di anni o di mesi per i quali il certificato della CA radice sarà valido. Fare clic su Avanti.

  9. Nella pagina Configurazione database certificati accettare i percorsi predefiniti, a meno che non si desideri specificare un percorso personalizzato per il database dei certificati e il registro del database dei certificati. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Database dei certificati.

  10. Nella pagina Conferma opzioni di installazione controllare tutte le impostazioni di configurazione selezionate. Se si desidera accettare tutte le opzioni, fare clic su Installa e attendere il termine del processo di installazione.

Ulteriori riferimenti

  • Configurare un'Autorità di certificazione

  • Denominazione delle Autorità di certificazione

  • Opzioni di crittografia per le CA

  • Database dei certificati

  • Installare un'Autorità di certificazione subordinata


Denominazione delle Autorità di certificazione

Prima di configurare Autorità di certificazione nella propria organizzazione, è consigliabile stabilire una convenzione di denominazione per le CA.

I nomi delle CA non possono superare i 64 caratteri di lunghezza. È possibile creare nomi contenenti qualsiasi carattere Unicode, ma è preferibile utilizzare il set di caratteri ANSI se si desidera assicurare l'interoperabilità. Ad esempio, alcuni tipi di router non saranno in grado di utilizzare il Servizio Registrazione dispositivi di rete per registrare certificati se il nome della CA contiene caratteri speciali, come un carattere di sottolineatura.

Importante

Se si utilizzano caratteri non latini (ad esempio, caratteri cirillici, arabi o cinesi), il nome della CA dovrà contenere meno di 64 caratteri. Se si utilizzano solo caratteri non latini, il nome della CA non potrà superare i 37 caratteri di lunghezza.

In Servizi di dominio Active Directory il nome specificato al momento della configurazione di un server come CA diventa il nome comune della CA ed è riportato in ogni certificato rilasciato dalla CA. Per questo motivo è importante non utilizzare il nome di dominio completo come nome comune della CA. In questo modo, se un utente malintenzionato entra in possesso di una copia di un certificato, non potrà individuare e utilizzare il nome di dominio completo della CA per creare una vulnerabilità di sicurezza potenziale.

Il nome della CA non deve necessariamente essere identico al nome del computer. Non è tuttavia possibile modificare il nome di un server dopo l'installazione di Servizi certificati Active Directory senza invalidare tutti i certificati rilasciati dalla CA.

Per modificare il nome del server dopo l'installazione di Servizi certificati Active Directory, è necessario disinstallare la CA, modificare il nome del server, reinstallare la CA ed eseguire nuovamente il rilascio di tutti i certificati rilasciati in precedenza dalla CA.

Non è necessario reinstallare una CA se si rinomina un dominio; sarà comunque necessario riconfigurare la CA affinché supporti il nuovo nome.

Ulteriori riferimenti

  • Installare un'Autorità di certificazione radice

  • Pagina relativa all'amministrazione della ridenominazione dei domini in Windows Server 2008 (http://go.microsoft.com/fwlink/?LinkId=143938)

  • Strumenti per la ridenominazione dei domini Active Directory di Windows Server 2003 (http://go.microsoft.com/fwlink/?LinkId=91448).


Opzioni di crittografia per le CA

La selezione di opzioni di crittografia per un'Autorità di certificazione (CA) può avere implicazioni significative di sicurezza, prestazioni e compatibilità per tale CA. Sebbene le opzioni di crittografia predefinite siano adeguate alla maggior parte delle CA, la possibilità di implementare opzioni personalizzate può rivelarsi utile agli amministratori e agli sviluppatori di applicazioni con conoscenze più approfondite della crittografia e che necessitano di tale flessibilità. Le opzioni di crittografia possono essere implementate tramite provider del servizio di crittografia (CSP) o provider di archiviazione chiavi.

I CSP sono componenti hardware e software dei sistemi operativi Windows, con funzioni di crittografia generiche. È possibile sviluppare CSP che forniscono vari algoritmi di crittografia e firma.

I provider di archiviazione chiavi possono aggiungere funzioni di protezione chiavi avanzata ai computer che eseguono Windows Server 2008 R2, Windows Server 2008, Windows 7 o Windows Vista.

Nella pagina Configurazione crittografia del processo di installazione della CA è possibile configurare le opzioni seguenti:

  • Selezionare un provider del servizio di crittografia (CSP). Windows Server 2008 R2 e Windows Server 2008 includono diversi CSP ed è possibile aggiungere altri CSP o provider di archiviazione chiavi. In Windows Server 2008 R2 e Windows Server 2008 l'elenco dei provider comprende il nome dell'algoritmo. Tutti i provider con il cancelletto (#) nel nome sono fornitori CNG (Cryptography Next Generation). I provider CNG sono in grado di supportare più algoritmi asimmetrici. I CSP possono implementare un solo algoritmo.

    Nota

    Per ulteriori informazioni, vedere la pagina relativa a Cryptography Next Generation all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85480.

  • Lunghezza chiave in caratteri. Ogni CSP supporta diverse lunghezze delle chiavi di crittografia. La configurazione di una chiave più lunga può migliorare la protezione rendendo più difficile per un utente malintenzionato decrittografare la chiave, ma può anche rallentare le operazioni di crittografia.

  • Selezionare l'algoritmo hash per firmare i certificati rilasciati da questa CA. Gli algoritmi hash sono utilizzati per firmare i certificati delle CA e i certificati rilasciati dalle CA per garantire che non siano stati alterati. Ogni CSP può supportare diversi algoritmi hash.

    Nota

    L'elenco degli algoritmi hash disponibili può essere ulteriormente limitato se è stata configurata l'opzione DiscreteAlgorithm in un file CAPolicy.inf installato sul computer prima dell'installazione della CA.

  • Usa le funzionalità di protezione chiave privata avanzata fornite dal CSP. Potrebbe essere necessario l'intervento dell'amministratore ogni volta che la CA accede alla chiave privata.. Questa opzione può essere utilizzata per aiutare a prevenire l'utilizzo non approvato della CA e della relativa chiave privata, mediante la richiesta all'amministratore di inserire una password prima di ogni operazione di crittografia.

Ulteriori riferimenti

  • Installare un'Autorità di certificazione radice


Database dei certificati

Quando si installa un'Autorità di certificazione (CA), è necessario creare anche un database CA per registrare:

  • Ogni certificato rilasciato dalla CA.

  • Ogni chiave privata archiviata dalla CA.

  • Ogni certificato revocato dalla CA.

  • Ogni richiesta di certificato ricevuta dalla CA, indipendentemente dal fatto che tale richiesta sia approvata, negata o in sospeso.

È consigliabile creare il database in una partizione NTFS delle unità disco del server, in modo da garantire la migliore sicurezza possibile per il file di database. Il percorso del database viene specificato durante l'installazione di una CA. Per impostazione predefinita, il database si trova in systemroot\system32\certlog.

Durante l'installazione di Servizi certificati Active Directory si specifica inoltre il percorso del registro database CA, che mantiene una registrazione di ogni transazione riguardante il database CA. I registri database CA sono utilizzati quando si ripristina una CA da un backup. Se il backup dal quale viene eseguito il ripristino risale a un mese prima, il database CA può essere aggiornato con le attività più recenti salvate nel registro ed essere così riportato allo stato più recente. Quando si esegue il backup di una CA, i registri database certificati vengono troncati, in quanto non sono più necessari per ripristinare lo stato più recente del database certificati.

Il nome del file di database è basato sul nome della CA, con l'aggiunta dell'estensione EDB.

Lo snap-in Autorità di certificazione consente di visualizzare e amministrare il database CA.

Per ulteriori informazioni su backup e ripristino delle CA, vedere Proteggere una CA dalla perdita di dati.

Ulteriori riferimenti

  • Installare un'Autorità di certificazione radice


Installare un'Autorità di certificazione subordinata

Dopo l'installazione di un'Autorità di certificazione (CA), si installano in molti casi una o più CA subordinate per implementare criteri restrittivi sull'infrastruttura a chiave pubblica (PKI) e per rilasciare certificati ai client finali. L'utilizzo di almeno una CA subordinata può aiutare a proteggere la CA radice da un'esposizione non necessaria.

Se si prevede di utilizzare una CA subordinata per il rilascio di certificati a utenti o a computer con account in un dominio di Active Directory, l'installazione della CA subordinata come Autorità di certificazione dell'organizzazione (enterprise) consentirà di utilizzare i dati di account del client già presenti in Servizi di dominio Active Directory per il rilascio e la gestione dei certificati e per la loro pubblicazione in Servizi di dominio Active Directory.

Per poter completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale o a un gruppo equivalente. Nel caso di un'Autorità di certificazione dell'organizzazione (enterprise), per eseguire questa procedura è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per installare una CA subordinata

  1. Aprire Server Manager, fare clic su Aggiungi ruoli, su Avanti e quindi su Servizi certificati Active Directory. Fare clic su Avanti due volte.

  2. Nella pagina Selezione servizi ruolo fare clic su Autorità di certificazione e quindi su Avanti.

  3. Nella pagina Impostazione tipo di installazione fare clic su Autonoma (Standalone) o Dell'organizzazione (Enterprise) e quindi su Avanti.

    Per ulteriori informazioni, vedere Tipi di Autorità di certificazione.

    Nota

    Per installare un'Autorità di certificazione dell'organizzazione (enterprise), è necessaria una connessione di rete a un controller di dominio.

  4. Nella pagina Indicazione del tipo di CA fare clic su CA subordinata e quindi su Avanti.

  5. Nella pagina Configurazione chiave privata fare clic su Crea una nuova chiave privata e quindi su Avanti.

  6. Nella pagina Configurazione crittografia selezionare un provider del servizio di crittografia, la lunghezza della chiave e l'algoritmo hash. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Opzioni di crittografia per le CA.

  7. Nella pagina Richiedi certificato individuare la CA radice, oppure, se la CA radice non è connessa alla rete, salvare la richiesta di certificato in un file in modo che possa essere elaborata in seguito. Fare clic su Avanti.

    Nota

    Per poter utilizzare la CA subordinata è necessario che le venga rilasciato dalla CA radice un certificato e che questo venga utilizzato per completare l'installazione della CA subordinata.

  8. Nella pagina Configurazione nome CA specificare un nome univoco per identificare la CA. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Denominazione delle Autorità di certificazione.

  9. Nella pagina Impostazione del periodo di validità specificare il numero di anni o di mesi per i quali il certificato CA sarà valido. Fare clic su Avanti.

  10. Nella pagina Configurazione database certificati accettare i percorsi predefiniti, a meno che non si desideri specificare un percorso personalizzato per il database dei certificati e il registro del database dei certificati. Fare clic su Avanti.

    Per ulteriori informazioni, vedere Database dei certificati.

  11. Nella pagina Conferma opzioni di installazione controllare tutte le impostazioni di configurazione selezionate. Se si desidera accettare tutte le opzioni, fare clic su Installa e attendere il termine del processo di installazione.

Ulteriori riferimenti

  • Configurare un'Autorità di certificazione

  • Installare un'Autorità di certificazione radice


Configurare un'Autorità di certificazione utilizzando un modulo di sicurezza hardware

L'utilizzo di un modulo di sicurezza hardware può migliorare la sicurezza di un'Autorità di certificazione (CA) e di un'infrastruttura a chiave pubblica (PKI).

Un modulo di sicurezza hardware è un dispositivo hardware dedicato gestito separatamente dal sistema operativo. Ha la funzione di archivio hardware sicuro per le chiavi CA e dispone di un processore di crittografia dedicato per accelerare le operazioni di firma e crittografia. Windows utilizza il modulo di sicurezza hardware attraverso le interfacce CryptoAPI: il modulo di sicurezza hardware funge da provider del servizio di crittografia (CSP).

I moduli di sicurezza hardware sono in genere schede PCI, ma sono anche disponibili come dispositivi di rete. Se si intendono implementare due o più CA, è possibile installare un singolo modulo di sicurezza hardware di rete e condividerlo tra più CA.

Per poter configurare una CA utilizzando un modulo di sicurezza hardware, è necessario installare e configurare il modulo prima di configurare qualsiasi CA le cui chiavi saranno archiviate nel modulo.

Ulteriori riferimenti

  • Configurare un'Autorità di certificazione


Disinstallare un'Autorità di certificazione

In alcune situazioni potrebbe essere necessario disinstallare un'Autorità di certificazione (CA). Tuttavia i client non saranno in grado di inviare richieste a tale CA e alcune applicazioni che dipendono dall'Infrastruttura a chiave pubblica interessata potrebbero non funzionare correttamente dopo la disinstallazione di una CA necessaria per verificare la validità e lo stato della revoca di un certificato.

Se si rimuove definitivamente la CA prima della data di scadenza prevista, è necessario che il certificato CA venga revocato dalla CA padre e che si indichi "Termine operazione" come motivo della revoca. Se si tratta di una CA radice autofirmata, è necessario che vengano revocati tutti i certificati rilasciati dalla CA e non ancora scaduti e che venga generato un elenco di revoche di certificati (CRL) con lo stesso motivo. Viene in tal modo indicato che i certificati non sono più validi perché la CA è stata rimossa.

È importante che la disinstallazione di un'Autorità di certificazione dell'organizzazione (enterprise) avvenga in modo corretto per assicurare che l'oggetto di registrazione CA venga rimosso da Servizi di dominio Active Directory. In caso contrario, i client Active Directory potrebbero continuare a tentare di registrare certificati da tale CA. Se non è possibile disinstallare normalmente una CA dell'organizzazione (enterprise), utilizzare lo snap-in Infrastruttura a chiave pubblica dell'organizzazione per rimuovere manualmente gli oggetti della CA da Servizi di dominio Active Directory.

Se si sta disinstallando una CA dell'organizzazione (Enterprise), per eseguire la procedura è necessaria almeno l'appartenenza al gruppo Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per disinstallare una CA

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo ruoli fare clic su Rimuovi ruoli per avviare la Rimozione guidata ruoli. Fare clic su Avanti.

  3. Deselezionare la casella di controllo Servizi certificati Active Directory e fare clic su Avanti.

  4. Nella pagina Conferma opzioni di rimozione controllare le informazioni visualizzate e quindi fare clic su Rimuovi.

  5. Se è in esecuzione Internet Information Services (IIS) e viene richiesto di interrompere il servizio prima di procedere alla disinstallazione, fare clic su OK.

  6. Al termine della Rimozione guidata ruoli è necessario riavviare il server per completare il processo di disinstallazione.

La procedura varia leggermente se vi sono più servizi ruolo Servizi certificati Active Directory installati su un singolo server. È possibile utilizzare la procedura seguente per disinstallare una CA mantenendo gli altri servizi ruolo Servizi certificati Active Directory.

Per eseguire questa procedura, è necessario accedere con le stesse autorizzazioni dell'utente che ha installato la CA. Se si sta disinstallando una CA dell'organizzazione (Enterprise), per eseguire la procedura è necessaria almeno l'appartenenza al gruppo Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per disinstallare un servizio ruolo CA

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. In Riepilogo ruoli fare clic su Servizi certificati Active Directory.

  3. In Servizi ruolo fare clic su Rimuovi servizi ruolo.

  4. Deselezionare la casella di controllo Autorità di certificazione e fare clic su Avanti.

  5. Nella pagina Conferma opzioni di rimozione controllare le informazioni visualizzate e quindi fare clic su Rimuovi.

  6. Se è in esecuzione IIS e viene richiesto di interrompere il servizio prima di procedere alla disinstallazione, fare clic su OK.

  7. Al termine della Rimozione guidata ruoli è necessario riavviare il server per completare il processo di disinstallazione.

Se i servizi ruolo rimanenti, come il servizio Risponditore in linea, erano configurati per l'utilizzo di dati dalla CA disinstallata, è necessario riconfigurarli affinché supportino una CA diversa.

Dopo la disinstallazione di una CA, sul server rimangono le informazioni seguenti:

  • Il database CA

  • Le chiavi pubblica e privata della CA

  • I certificati della CA nell'archivio personale

  • I certificati della CA nella cartella condivisa, se specificata durante l'installazione di Servizi certificati Active Directory

  • Il certificato radice della catena della CA nell'archivio delle Autorità di certificazione radice disponibili nell'elenco locale

  • I certificati intermedi della catena della CA nell'archivio delle Autorità di certificazione intermedie

  • Il CRL della CA

Queste informazioni sono conservate sul server per impostazione predefinita, nel caso in cui si disinstalli e quindi si reinstalli la CA. Si può ad esempio disinstallare e reinstallare la CA se si desidera trasformare una CA autonoma (Standalone) in una CA dell'organizzazione (enterprise).

Ulteriori riferimenti

  • Configurare un'Autorità di certificazione


Configurare il supporto della registrazione Web per l'Autorità di certificazione

Il supporto della registrazione Web per Servizi certificati Active Directory può essere installato su qualsiasi computer che esegue Windows Server 2008 R2 Standard, Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Datacenter, Windows Server 2008 Standard, Windows Server 2008 Enterprise o Windows Server 2008 Datacenter. I dati di registrazione dei certificati possono essere ottenuti da un'Autorità di certificazione (CA) in un computer che esegue Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 oppure da una CA non Microsoft.

È possibile utilizzare la procedura seguente se nessuno dei servizi ruolo di Servizi certificati Active Directory (ad esempio una CA) è stato installato nel computer.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per installare il supporto della registrazione Web

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Server Manager.

  2. Fare clic su Ruoli. In Servizi certificati Active Directory fare clic su Aggiungi servizi ruolo. Se è già installato un altro servizio ruolo di Servizi certificati Active Directory, selezionare la casella di controllo Servizi certificati Active Directory nel riquadro Riepilogo ruoli e quindi fare clic su Aggiungi servizi ruolo.

  3. Nella pagina Selezione servizi ruolo selezionare la casella di controllo Registrazione Web Autorità di certificazione.

  4. Fare clic su Aggiungi servizi ruolo necessari e quindi su Avanti.

  5. Nella pagina Specifica CA, se nel computer non è installata una CA, fare clic su Sfoglia per selezionare la CA che si desidera associare alla registrazione Web, fare clic su OK e quindi su Avanti.

  6. Fare clic su Avanti, controllare le informazioni elencate e fare nuovamente clic su Avanti.

  7. Nella pagina Conferma opzioni di installazione fare clic su Installa.

  8. Al termine dell'installazione, esaminare la pagina di stato per verificare che l'installazione abbia avuto esito positivo.

Ulteriori considerazioni

  • L'installazione delle pagine di registrazione Web configura il computer come Autorità di registrazione. Tale computer è anche noto come "proxy Web CA" o "stazione di registrazione Web".

Ulteriori riferimenti

  • Configurare un'Autorità di certificazione


Configurare il servizio Registrazione dispositivi di rete

L'impostazione del servizio Registrazione dispositivi di rete comporta le attività seguenti:

  • Aggiungere l'account che diventerà l'Autorità di registrazione al gruppo utenti Internet Information Services (IIS).

  • Impostare e configurare il servizio Registrazione dispositivi di rete.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere un'Autorità di registrazione designata al gruppo IIS_IUSRS

  1. Aprire lo snap-in Utenti e gruppi locali e fare doppio clic sulla cartella Gruppi.

  2. Fare clic sul gruppo predefinito IIS_IUSRS.

  3. Scegliere Aggiungi al gruppo dal menu Azione.

  4. Fare clic su Aggiungi, digitare il nome del dominio dell'account che diventerà l'Autorità di registrazione e quindi fare clic su OK.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins o Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per impostare e configurare il servizio Registrazione dispositivi di rete

  1. Aprire Server Manager nel server dove si desidera installare il servizio Registrazione dispositivi di rete e fare clic su Aggiungi ruoli per avviare l'Aggiunta guidata ruoli.

  2. Nella pagina Selezione ruoli server selezionare la casella di controllo Servizi certificati Active Directory e quindi fare clic su Avanti due volte.

  3. Nella pagina Selezione servizi ruolo deselezionare la casella di controllo Autorità di certificazione e quindi selezionare la casella di controllo Servizio Registrazione dispositivi di rete.

    Verrà richiesto di installare IIS e il servizio Attivazione processo Windows.

  4. Fare clic su Aggiungi servizi ruolo necessari e quindi su Avanti tre volte.

  5. Nella pagina Specifica account utente fare clic su Seleziona utente e digitare il nome utente e la password dell'account che verrà utilizzato dal servizio Registrazione dispositivi di rete per autorizzare le richieste di certificati. Fare clic su OK e quindi su Avanti.

  6. Nella pagina Specifica CA, se il computer in uso non ospita una CA, selezionare la casella di controllo Nome CA o Nome computer, fare clic su Sfoglia per individuare la CA che rilascerà i certificati del servizio Registrazione dispositivi di rete e quindi fare clic su Avanti.

  7. Nella pagina Indicazione delle informazioni sull'Autorità registrazione digitare il nome dell'Autorità di registrazione nella casella Nome Autorità registrazione. In Paese selezionare il paese in cui ci si trova e quindi fare clic su Avanti.

  8. Nella pagina Configurazione crittografia accettare i valori predefiniti per le chiavi di firma e di crittografia oppure configurare dei valori personalizzati e quindi fare clic su Avanti.

  9. Rivedere il riepilogo delle opzioni di configurazione e quindi fare clic su Installa.

Per ulteriori informazioni sul protocollo SCEP (Simple Certificate Enrollment Protocol), visitare il sito Web Internet Engineering Task Force all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71055.

Per ulteriori informazioni sul servizio Registrazione dispositivi di rete, vedere la pagina relativa a Servizi certificati Active Directory: servizio Registrazione dispositivi di rete all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85475 e il white paper sull'implementazione SCEP di Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93875.

Ulteriori riferimenti

  • Impostare Servizi certificati Active Directory

  • Utilizzare il servizio Registrazione dispositivi di rete


Configurare i servizi Risponditore in linea in una rete

La configurazione dei servizi Risponditore in linea prevede l'esecuzione di diversi passaggi correlati tra loro. Molti di tali passaggi devono essere eseguiti nell'Autorità di certificazione (CA) da utilizzare per il rilascio dei certificati di firma OCSP (Online Certificate Status Protocol) necessari per il funzionamento di un risponditore online. Tali passaggi includono la configurazione del modello di certificato appropriato, l'attivazione del modello di certificato, nonché la configurazione e il completamento della registrazione automatica dei certificati affinché il computer che ospita il risponditore online disponga dei certificati necessari per il funzionamento di quest'ultimo.

L'installazione e la configurazione di un risponditore online prevedono l'utilizzo di Server Manager per installare il servizio Risponditore in linea, dello snap-in Modelli di certificato per configurare e pubblicare i modelli di certificato Firma risposta OCSP, dello snap-in Autorità di certificazione per includere le estensioni OCSP nei certificati che verranno rilasciati e per rilasciare i certificati Firma risposta OCSP, nonché dello snap-in Risponditore in linea per creare una configurazione di revoca.

Negli argomenti seguenti vengono descritte le procedure necessarie per completare tali passaggi di installazione e configurazione. Viene inoltre illustrato come verificare l'esito dell'installazione.

  • Configurare una CA per il supporto dei risponditori OCSP

  • Installare un risponditore online

  • Creare una configurazione di revoca

  • Verificare l'installazione di un risponditore online


Configurare una CA per il supporto dei risponditori OCSP

Per assicurare il funzionamento corretto di un risponditore online, è necessario che quest'ultimo disponga di un certificato Firma risposta OCSP (Online Certificate Status Protocol) valido. Il certificato Firma risposta OCSP è inoltre necessario se si utilizza un risponditore OCSP non Microsoft.

La configurazione di un'Autorità di certificazione (CA) per il supporto dei servizi Risponditore OCSP include i passaggi seguenti:

  1. Configurare i modelli di certificato e le proprietà di rilascio per i certificati Firma risposta OCSP.

  2. Configurare le autorizzazioni di registrazione per i computer che ospiteranno i risponditori online.

  3. In caso di CA basata su Windows Server 2003, attivare l'estensione OCSP nei certificati rilasciati.

  4. Aggiungere il percorso del risponditore online o del risponditore OCSP all'estensione Accesso alle informazioni dell'autorità nella CA.

  5. Attivare il modello di certificato Firma risposta OCSP per la CA.

Il modello di certificato utilizzato per rilasciare un certificato Firma risposta OCSP deve contenere un'estensione denominata "Nessun controllo di revoca OCSP" e i criteri di applicazione Firma OCSP. È inoltre necessario configurare le autorizzazioni per consentire al computer che ospiterà il risponditore online di effettuare la registrazione per il certificato.

La procedura seguente è relativa a una CA installata in un computer che esegue Windows Server 2008 R2 o Windows Server 2008.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il modello di certificato per un certificato Firma risposta OCSP emesso da una CA basata su Windows Server 2008 R2 o su Windows Server 2008

  1. Aprire lo snap-in Modelli di certificato.

    Nota

    Se si esegue questa procedura su un computer nel quale non sono installati il risponditore online o la CA, per poter utilizzare lo snap-in Modelli di certificato potrebbe essere necessario installare Strumenti di amministrazione remota del server per Servizi certificati Active Directory. Per ulteriori informazioni su Strumenti di amministrazione remota del server, vedere Amministrare un risponditore online da un altro computer.

  2. Fare clic con il pulsante destro del mouse sul modello Firma risposta OCSP e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Sicurezza. In Nome utente o gruppo fare clic su Aggiungi.

  4. Fare clic su Tipi di oggetto, selezionare la casella di controllo Computer e quindi fare clic su OK.

  5. Selezionare o digitare il nome del computer che ospita i servizi Risponditore in linea o Risponditore OCSP e fare clic su OK.

  6. Nella finestra di dialogo Utenti e gruppi fare clic sul nome del computer e nella finestra di dialogo Autorizzazioni selezionare le caselle di controllo Lettura e Registrazione e quindi fare clic su OK.

La procedura seguente è relativa a una CA installata in un computer che esegue Windows Server 2003. La procedura deve essere completata in un computer che esegue Windows Server 2008 R2 o Windows Server 2008.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il modello di certificato per un certificato Firma risposta OCSP rilasciato da una CA basata su Windows Server 2003

  1. Aprire lo snap-in Modelli di certificato.

  2. Fare clic con il pulsante destro del mouse sul modello Firma risposta OCSP e quindi scegliere Duplica. Fare clic su Windows 2003 Server, Enterprise Edition e quindi su OK.

  3. Fare clic sulla scheda Sicurezza. In Nome utente o gruppo fare clic su Aggiungi e quindi selezionare o digitare il nome del computer che ospita i servizi Risponditore in linea o Risponditore OCSP.

  4. Fare clic su Tipi di oggetto, selezionare la casella di controllo Computer e quindi fare clic su OK.

  5. Selezionare o digitare il nome del computer che ospita i servizi Risponditore in linea o Risponditore OCSP e fare clic su OK.

  6. Nella finestra di dialogo Utenti e gruppi fare clic sul nome del computer e nella finestra di dialogo Autorizzazioni selezionare le caselle di controllo Lettura e Registrazione.

Nota

Il modello di certificato Firma risposta OCSP predefinito contiene un'estensione denominata "Nessun controllo di revoca OCSP". Non rimuovere tale estensione, la quale viene utilizzata da molti client per verificare che le risposte firmate con il certificato di firma siano valide.

Se la CA è installata in un computer che esegue Windows Server 2003, è necessario completare la procedura seguente per configurare il modulo criteri nella CA per il rilascio di certificati che includano l'estensione.

Per poter completare questa procedura, è necessario essere un amministratore locale. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per preparare un computer che esegue Windows Server 2003 al rilascio di certificati Firma risposta OCSP

  1. Nel server che ospita la CA aprire un prompt dei comandi e digitare:

    certutil -v -setreg policy\EnableRequestExtensionList +1.3.6.1.5.5.7.48.1.5

  2. Arrestare e riavviare la CA. A tale scopo, è possibile eseguire i comandi seguenti al prompt dei comandi:

    net stop certsvc
net start certsvc

Per configurare la CA per OCSP, è necessario utilizzare lo snap-in Autorità di certificazione per completare le procedure seguenti di configurazione della CA:

  • Aggiungere il percorso del risponditore online o del risponditore OCSP all'estensione Accesso alle informazioni dell'autorità.

  • Attivare il modello di certificato per la CA.

Per poter completare questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare una CA affinché supporti i servizi Risponditore in linea e Risponditore OCSP

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Estensioni.

  5. Nell'elenco Selezionare l'estensione fare clic su Accesso alle informazioni dell'autorità (AIA) e quindi su Aggiungi.

  6. Specificare i percorsi da cui gli utenti possono ottenere i dati relativi alle revoche dei certificati, ad esempio http://nomecomputer/ocsp.

  7. Selezionare la casella di controllo Includi nell'estensione del protocollo di stato del certificato online (OCSP).

  8. Nell'albero della console dello snap-in Autorità di certificazione fare clic con il pulsante destro del mouse su Modelli di certificato e quindi scegliere Nuovi modelli di certificato da rilasciare.

  9. In Attivazione modelli di certificato selezionare il modello Firma risposta OCSP ed eventuali altri modelli di certificato precedentemente configurati e quindi fare clic su OK.

  10. Fare doppio clic su Modelli di certificato e verificare che i modelli di certificato modificati siano presenti nell'elenco.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete

  • Rinnovare i certificati Firma risposta OCSP con una chiave esistente


Installare un risponditore online

È possibile installare un risponditore online in un computer che esegue Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Datacenter, Windows Server 2008 Enterprise o Windows Server 2008 Datacenter. I dati di revoca dei certificati possono essere ottenuti da un'Autorità di certificazione (CA) in un computer che esegue Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 oppure da una CA non Microsoft.

Nota

Per poter installare il risponditore online, è inoltre necessario installare nel computer Internet Information Services (IIS).

È possibile utilizzare la procedura seguente se nessuno dei servizi ruolo di Servizi certificati Active Directory (ad esempio una CA) è disponibile nel computer.

Per poter completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per installare il servizio Risponditore in linea

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. Fare clic su Gestisci ruoli. In Servizi certificati Active Directory fare clic su Aggiungi servizi ruolo. Se è già installato un altro servizio ruolo di Servizi certificati Active Directory, selezionare la casella di controllo Servizi certificati Active Directory nel riquadro Riepilogo ruoli e quindi fare clic su Aggiungi servizi ruolo.

  3. Nella pagina Selezione servizi ruolo selezionare la casella di controllo Protocollo di stato del certificato online.

    Verrà visualizzato un messaggio indicante che per supportare OCSP devono essere installati IIS e il servizio Attivazione Windows (WAS).

  4. Fare clic su Aggiungi servizi ruolo necessari e quindi su Avanti tre volte.

  5. Nella pagina Conferma opzioni di installazione fare clic su Installa.

  6. Al termine dell'installazione, esaminare la pagina di stato per verificare che l'installazione abbia avuto esito positivo.

Ulteriori considerazioni

  • Per poter utilizzare un risponditore online, è inoltre necessario creare una configurazione di revoca. Vedere Creare una configurazione di revoca.

  • Per impostazione predefinita, il filtro richieste di IIS 7.0 blocca il segno più (+), che viene utilizzato nell'URL dei Delta CRL. Per consentire il recupero di Delta CRL, modificare la configurazione IIS impostando allowDoubleEscaping=true sull'elemento requestFiltering nella sezione system.web della configurazione IIS. Per ulteriori informazioni sulla configurazione del filtro richieste di IIS 7.0, vedere la pagina relativa a IIS 7.0: configurare i filtri richieste in IIS 7.0 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=139569.

    Sicurezza Nota

    L'accettazione del passaggio di alcuni caratteri attraverso il filtro richieste può comportare una riduzione del livello sicurezza, che potrebbe essere inaccettabile in alcuni ambienti. Per una descrizione di questo tipo di rischio, vedere il capitolo 12 della pagina relativa alla scrittura di codice sicuro all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136514.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete


Creare una configurazione di revoca

Un singolo risponditore online è in grado di rendere disponibili informazioni sulle revoche relative a più Autorità di certificazione (CA) e più certificati CA. Per ogni CA e ogni certificato CA serviti da un risponditore online è tuttavia necessaria una configurazione di revoca separata.

In una configurazione di revoca sono incluse tutte le impostazioni necessarie per rispondere alle richieste di stato relative ai certificati rilasciate mediante una chiave CA specifica. Tali impostazioni di configurazione includono quanto segue:

  • Certificato CA. Questo certificato può trovarsi in Servizi di dominio Active Directory, nell'archivio certificati locale o può essere importato da un file.

  • Certificato di firma per il risponditore online. Il certificato di firma può essere selezionato automaticamente o manualmente (in questo caso è necessario eseguire una procedura di importazione separata dopo aver aggiunto la configurazione di revoca) oppure è possibile designare come certificato di firma il certificato CA selezionato.

  • Provider di revoca. Il provider di revoca fornisce i dati di revoca utilizzati dalla configurazione. Per un provider Windows Server 2008 R2 o Windows Server 2008, le informazioni sono specificate sotto forma di uno o più URL da cui è possibile ottenere Base CRL e Delta CRL validi.

Prima di iniziare ad aggiungere una nuova configurazione di revoca, accertarsi di disporre delle informazioni indicate nell'elenco precedente.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per tutti i risponditori online dell'array. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere una configurazione di revoca a un risponditore online

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione di revoca.

    Nel riquadro dei dettagli verrà visualizzato un elenco delle configurazioni di revoca esistenti.

  3. Nel riquadro Azioni fare clic su Aggiungi configurazione di revoca per avviare la procedura guidata corrispondente.

  4. Specificare le informazioni richieste nella procedura guidata.

    • Per informazioni sulla pagina Selezione percorso certificato CA, vedere Certificati CA della configurazione di revoca.

    • Per informazioni sulla pagina Selezionare un certificato di firma, vedere Certificati di firma della configurazione di revoca.

  5. Dopo aver immesso tutte le informazioni, fare clic su Fine e quindi su Sì per completare il processo di configurazione.

È possibile modificare le proprietà di una configurazione di revoca esistente, visualizzare il relativo certificato CA oppure eliminare la configurazione selezionandola e facendo clic su Modifica proprietà nel riquadro Azioni.

È possibile modificare le proprietà seguenti delle configurazioni di revoca:

  • CRL locale. Per ulteriori informazioni, vedere Gestire i dati di revoca mediante CRL locali.

  • Provider di revoca. Per ulteriori informazioni, vedere Proprietà provider di revoca.

  • Firma. Per ulteriori informazioni, vedere Firma del provider di revoca.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete


Certificati CA della configurazione di revoca

Utilizzare i criteri seguenti per selezionare il certificato della configurazione di revoca:

  • Se il certificato dell'Autorità di certificazione (CA) è stato pubblicato in Servizi di dominio Active Directory e il computer da configurare è in grado di accedere a tali informazioni in Servizi di dominio Active Directory, fare clic su Seleziona un certificato per una CA dell'organizzazione (enterprise) esistente.

  • Se non è possibile accedere a Servizi di dominio Active Directory, si conosce il nome del certificato CA e si è certi che esista nell'archivio certificati radice locale, fare clic su Seleziona un certificato dall'archivio certificati locale.

    Nota

    Questa opzione non è disponibile se il risponditore online non si trova nello stesso computer dello snap-in Risponditore in linea.

  • Se non è possibile accedere a Servizi di dominio Active Directory e il certificato CA (con estensione cer) è disponibile su un supporto rimovibile, fare clic su Importa certificato da un file.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Certificati di firma della configurazione di revoca

Sono disponibili le opzioni seguenti per la selezione di un certificato di firma della configurazione di revoca:

  • L'opzione predefinita, ovvero Seleziona automaticamente un certificato di firma, soddisfa in genere le esigenze della maggior parte delle organizzazioni. Questa opzione consente l'identificazione di un certificato di firma adeguato nell'archivio certificati locale da parte del processo di impostazione della configurazione di revoca. Se tuttavia si abilita un'opzione per la registrazione automatica di un certificato di firma, il servizio Risponditore in linea eseguirà la registrazione e utilizzerà tale certificato di firma.

  • Quando si seleziona Seleziona manualmente un certificato di firma, il risponditore online non assegna alcun certificato di firma e l'utente dovrà selezionare i certificati di firma per ogni membro dell'array di risponditori online manualmente.

  • L'opzione Usa il certificato CA per la configurazione di revoca può essere selezionata se Risponditore in linea è installato nello stesso computer dell'Autorità di certificazione (CA).

Nota

L'installazione predefinita dei servizi Risponditore in linea non consente la registrazione automatica del certificato Firma risposta OCSP da un modulo di sicurezza hardware che richiede l'intervento dell'utente. Se è necessario utilizzare un modulo di questo tipo per distribuire i certificati Firma risposta OCSP, è necessario modificare il servizio Risponditore in linea affinché venga eseguito come Sistema locale con l'interazione abilitata. Nella scheda Firma della pagina Proprietà risponditore online è inoltre necessario deselezionare la casella di controllo Non richiedere le credenziali per le operazioni di crittografia.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Proprietà provider di revoca

Il provider di revoca recupera l'elenco di revoche di certificati (CRL) da un'Autorità di certificazione (CA) e lo utilizza per determinare lo stato di revoca di un certificato. Utilizzare la finestra delle proprietà Provider di revoca per specificare uno o più percorsi per un CRL e un Delta CRL facoltativo, nonché per definire l'intervallo di aggiornamento per il recupero dei CRL aggiornati.

Percorsi di Base CRL e Delta CRL

Il percorso dei CRL e dei Delta CRL può essere specificato nei formati descritti nella tabella riportata di seguito. Gli eventuali percorsi di CRL definiti nell'estensione del punto di distribuzione CRL del certificato CA vengono aggiunti al provider di revoca durante l'installazione del servizio Risponditore in linea.

Formato del percorso | Esempio
HTTP | http://OnlineResponderHost/OCSP/CRLFile.crl
LDAP | ldap:///CN=CACommonName,CN=CAHostName,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=Fabrikam,DC=com?certificateRevocationList?base?objectClass=cRLDistributionPoint

È possibile specificare più percorsi per un CRL. L'ordine di precedenza è definito dall'ordine utilizzato nell'elenco. Se tra due CRL nessuno include lo stesso elenco di revoche, verrà utilizzato un CRL elencato in una posizione superiore.

Intervallo di aggiornamento

L'intervallo di aggiornamento predefinito viene specificato come il periodo di validità del CRL. Può essere specificato inoltre in minuti, in modo da aggiornare i CRL con maggiore frequenza.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Firma del provider di revoca

Nella scheda Firma della pagina Proprietà risponditore online viene visualizzato l'algoritmo hash utilizzato per consentire la verifica delle operazioni di firma per le risposte del risponditore online ai client.

È possibile configurare le opzioni di firma seguenti:

  • Non richiedere le credenziali per le operazioni di crittografia. Se la chiave di firma è protetta da un'ulteriore password complessa e questa opzione è selezionata, il risponditore online non richiederà all'utente di immettere la password e l'operazione avrà esito negativo senza che vengano visualizzati avvisi.

    Nota

    Non selezionare questa opzione se si utilizza un modulo di sicurezza hardware per proteggere le chiavi private.

  • Usa automaticamente certificati di firma rinnovati. Se si seleziona questa opzione, il risponditore online utilizzerà automaticamente certificati di firma rinnovati senza richiederne l'assegnazione manuale da parte dell'amministratore del risponditore online.

  • Abilita supporto estensione NONCE. Se si seleziona questa opzione, il risponditore online esaminerà ed elaborerà una richiesta del protocollo di stato del certificato online (OCSP) contenente un'estensione NONCE. Se nella richiesta OCSP è inclusa un'estensione NONCE e questa opzione è selezionata, il risponditore online ignorerà eventuali risposte OCSP nella cache e creerà una nuova risposta contenente l'estensione NONCE fornita nella richiesta. Se l'opzione è disattivata e viene ricevuta una richiesta che include un'estensione NONCE, il risponditore online rifiuterà la richiesta generando un errore di assenza di autorizzazione.

    Nota

    Il client OCSP Microsoft non supporta l'estensione NONCE.

  • Usa qualsiasi certificato di firma OCSP valido. Per impostazione predefinita, il risponditore online utilizzerà esclusivamente certificati di firma emessi dalla stessa Autorità di certificazione (CA) che ha emesso il certificato da convalidare. Questa opzione consente di modificare il comportamento predefinito e fa in modo che il risponditore online utilizzi qualsiasi certificato valido esistente contenente l'estensione EKU di firma OCSP.

    Nota

    I client che eseguono versioni di Windows precedenti a Windows Vista con Service Pack 1 (SP1) non supportano questa opzione e le richieste di stato dei certificati provenienti da questi client avranno esito negativo se viene selezionata questa opzione.

Le opzioni di identificazione seguenti del risponditore online consentono di scegliere se includere l'hash di chiave o il soggetto del certificato di firma nella risposta:

  • Hash chiave certificato di firma. Alcuni provider di servizi di crittografia (CSP) richiedono l'hash chiave del certificato di firma per l'accesso alle chiavi private.

  • Soggetto certificato di firma. Alcuni provider di servizi di crittografia richiedono il soggetto del certificato di firma per l'accesso alle chiavi private.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Verificare l'installazione di un risponditore online

Dopo aver completato l'installazione di un risponditore online, è possibile accertarsi che funzioni correttamente verificando che sia possibile effettuare operazioni quali la registrazione automatica e la revoca dei certificati, nonché rendere disponibili dati di revoca esatti mediante il risponditore online.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per verificare che il risponditore online funzioni correttamente

  1. Nella CA configurare diversi modelli di certificato per la registrazione automatica da parte di computer e utenti.

  2. Dopo la pubblicazione dei nuovi modelli di certificato in Servizi di dominio Active Directory, aprire una finestra del prompt dei comandi nel computer client e immettere il comando seguente per avviare la registrazione automatica dei certificati:

    certutil -pulse

    Nota

    La replica delle informazioni sui nuovi certificati nei controller di dominio può richiedere diverse ore.

  3. Nel computer client utilizzare lo snap-in Certificati per verificare che siano stati emessi i nuovi certificati. In caso contrario, ripetere il passaggio 2. È inoltre possibile riavviare il computer client per avviare la registrazione automatica dei certificati.

  4. Nella CA utilizzare lo snap-in Autorità di certificazione per visualizzare e revocare uno o più certificati emessi facendo clic su Autorità di certificazione (computer)\Nome CA\Certificati emessi e selezionando il certificato che si desidera revocare. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Revoca certificato. Selezionare il motivo di revoca del certificato e fare clic su Sì.

  5. Nello snap-in Autorità di certificazione pubblicare un nuovo elenco di revoche di certificati (CRL) facendo clic su Autorità di certificazione (computer)\Nome CA\Certificati revocati nell'albero della console. Scegliere quindi Tutte le attività dal menu Azione e fare clic su Pubblica.

  6. Nel computer client utilizzare lo snap-in Certificati per esportare uno dei certificati emessi e salvarlo come file X.509.

  7. Aprire il prompt dei comandi e digitare il comando seguente:

    certutil –url <exportedcert.cer>

  8. Nella finestra di dialogo Strumento di recupero URL selezionare OCSP (da AIA) e quindi fare clic su Recupera. Dopo il recupero del CRL, lo stato verrà visualizzato come Verificato.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete


Impostare il Servizio Web di registrazione certificati

Utilizzare Server Manager per installare e configurare i servizi Web di registrazione certificati, che includono il Servizio Web di registrazione certificati e il Servizio Web di informazioni sulle registrazioni di certificati. Per le procedure di installazione e configurazione, vedere la sezione "Ulteriori riferimenti".

Requisiti di installazione

Prima di installare i servizi Web di registrazione certificati, verificare che l'ambiente in uso soddisfi i requisiti seguenti:

  • Computer host membro del dominio con Windows Server 2008 R2 in esecuzione.

  • Foresta di Active Directory con schema Windows Server 2008 R2. Vedere Preparare uno schema della foresta di Windows 2000 o Windows Server 2003 per un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkID=93242).

  • Autorità di certificazione dell'organizzazione (enterprise) che esegue Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003.

    • Se il Servizio Web di registrazione certificati è configurato per l'autenticazione certificati client, l'autorità di certificazione deve eseguire Windows Server 2008 R2 o Windows Server 2008.

    • Per la registrazione tra foreste, l'autorità di certificazione deve essere installata in un computer che esegue Windows Server 2008 R2 Enterprise o Windows Server 2008 R2 Datacenter. Vedere Configurare i servizi Web di registrazione certificati per la registrazione oltre i limite della foresta.

  • Computer client che eseguono Windows 7 o Windows Server 2008 R2.

  • Certificato di autenticazione server installato per HTTPS.

Durante l'installazione dei servizi Web di registrazione certificati vengono installati i ruoli server e le funzionalità seguenti, se non sono già installate:

  • Server Web (IIS)

  • Microsoft .NET Framework versione 3.5

Opzioni di installazione

Per i servizi Web di registrazione certificati sono disponibili le opzioni di installazione seguenti:

  • È consigliabile installare il Servizio Web di registrazione certificati e il Servizio Web di informazioni sulle registrazioni di certificati in computer diversi.

  • È possibile installare l'autorità di certificazione nello stesso computer del Servizio Web di registrazione certificati o del Servizio Web di informazioni sulle registrazioni di certificati.

  • Servizio Web di registrazione certificati o il Servizio Web di informazioni sulle registrazioni di certificati può essere installato nello stesso computer di questi servizi ruolo Servizi certificati Active Directory basati su Web:

    • Registrazione Web Autorità di certificazione

    • Servizio Registrazione dispositivi di rete

    • Risponditore in linea

  • È possibile installare il Servizio Web di informazioni sulle registrazioni di certificati in più computer all'interno di un'organizzazione. In ogni computer, tuttavia, è possibile installare un'unica istanza del servizio.

  • Più istanze del Servizio Web di registrazione certificati possono essere installate in un unico computer per supportare più autorità di certificazione.

  • I servizi Web di registrazione certificati non sono supportati dall'opzione di installazione Server Core di Windows Server 2008 R2.

Opzioni di autenticazione

Per i servizi Web di registrazione certificati sono disponibili le opzioni di autenticazione seguenti:

  • Autenticazione integrata di Windows

  • Nome utente e password

  • Certificato client

Ulteriori riferimenti

  • Installare il Servizio Web di registrazione certificati

  • Installare il Servizio Web di informazioni sulle registrazioni di certificati

  • Configurare certificati server per i servizi Web di registrazione certificati

  • Configurazione di Criteri di gruppo per il supporto del Servizio Web di informazioni sulle registrazioni di certificati

  • Configurare le impostazioni di delega per l'account di Servizio Web di registrazione certificati

  • Configurare il Servizio Web di registrazione certificati per la modalità di solo rinnovo

  • Configurare i servizi Web di registrazione certificati per la registrazione oltre i limite della foresta

  • Opzioni di configurazione avanzate per i servizi Web di registrazione certificati

  • Preparare uno schema della foresta di Windows 2000 o Windows Server 2003 per un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkId=93242)


Installare il Servizio Web di registrazione certificati

In questo argomento vengono descritte procedure dettagliate per l'installazione del Servizio Web di registrazione certificati.

Importante

Prima di iniziare l'installazione, rivedere i requisiti e le opzioni di configurazione per questo servizio ruolo in Impostare il Servizio Web di registrazione certificati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins.

Per installare il Servizio Web di registrazione certificati

  1. Aprire Server Manager.

  2. Nell'albero della console fare clic su Ruoli.

  3. Se nella pagina Riepilogo ruoli è visualizzato Servizi certificati Active Directory, fare clic su Aggiungi servizi ruolo e continuare con il passaggio successivo. In caso contrario, prima di continuare eseguire la procedura seguente:

    1. Nella pagina Riepilogo ruoli fare clic su Aggiungi ruoli.

    2. Sulla pagina Prima di iniziare fare clic su Avanti.

    3. Nella pagina Selezione ruoli server fare clic su Servizi certificati Active Directory e quindi fare clic su Avanti.

    4. Nella pagina Introduzione a Servizi certificati Active Directory esaminare le informazioni fornite e quindi fare clic su Avanti.

  4. Nella pagina Selezione servizi ruolo selezionare la casella di controllo Servizio Web di registrazione certificati.

    Nota

    Il servizio ruolo Autorità di certificazione viene selezionato automaticamente quando viene aggiunto il ruolo Servizi certificati Active Directory. Non è tuttavia possibile installare tale servizio ruolo contemporaneamente al Servizio Web di registrazione certificati. Se si desidera installare sia l'autorità di certificazione che il Servizio Web di registrazione certificati, eseguire innanzitutto l'installazione dell'autorità di certificazione. Vedere Impostare Servizi certificati Active Directory.

  5. Fare clic su Aggiungi servizi ruolo necessari quando richiesto per installare i servizi ruolo e le funzionalità necessari e quindi fare clic su Avanti.

  6. Per specificare un'autorità di certificazione, fare clic su Nome CA o su Nome computer e quindi fare clic su Sfoglia. Selezionare un'autorità di certificazione o digitare un nome computer quindi fare clic su OK.

  7. Selezionare la casella di controllo Configura Servizio Web di registrazione certificati per la modalità di solo rinnovo se si desidera configurare il servizio Web perché accetti le sole richieste di rinnovo di certificati e rifiuti le richieste di registrazione di nuovi certificati. Vedere Configurare il Servizio Web di registrazione certificati per la modalità di solo rinnovo.

  8. Selezionare il tipo di autenticazione da utilizzare con il Servizio Web di registrazione certificati per l'autenticazione delle richieste client e quindi fare clic su Avanti.

  9. Nella pagina Impostazione credenziali account fare clic su Impostazione account servizio o su Usa l'identità del pool di applicazioni predefinita. Per specificare un account di servizio, fare clic su Seleziona, digitare il nome utente e la password di un account del dominio e fare clic su OK. Fare clic su Avanti.

  10. Selezionare un certificato server esistente, fare clic su Importa per importare un file di certificato o su Scegli e assegna certificato per SSL in seguito e quindi fare clic su Avanti. Per i dettagli vedere Configurare certificati server per i servizi Web di registrazione certificati.

  11. Nella pagina Introduzione a Server Web (IIS) fare clic su Avanti.

  12. Nella pagina Selezione servizi ruolo rivedere i servizi ruolo selezionati e quindi fare clic su Avanti.

  13. Rivedere le informazioni nella pagina Conferma selezioni per l'installazione e quindi fare clic su Installa.

  14. Esaminare i messaggi nella pagina Risultati installazione. Prima che sia possibile inviare richieste potrebbero essere necessarie ulteriori attività di configurazione del Servizio Web di registrazione certificati.

Ulteriori riferimenti

  • Configurare certificati server per i servizi Web di registrazione certificati

  • Configurare il Servizio Web di registrazione certificati per la modalità di solo rinnovo

  • Installare il Servizio Web di informazioni sulle registrazioni di certificati

  • Impostare il Servizio Web di registrazione certificati


Installare il Servizio Web di informazioni sulle registrazioni di certificati

In questo argomento vengono descritte procedure dettagliate per l'installazione del Servizio Web di informazioni sulle registrazioni di certificati.

Importante

Prima di iniziare l'installazione, rivedere i requisiti e le opzioni di configurazione per questo servizio ruolo in Impostare il Servizio Web di registrazione certificati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins.

Per installare il Servizio Web di informazioni sulle registrazioni di certificati

  1. Aprire Server Manager.

  2. Nell'albero della console fare clic su Ruoli.

  3. Se nella pagina Riepilogo ruoli è visualizzato Servizi certificati Active Directory, fare clic su Aggiungi servizi ruolo e continuare con il passaggio successivo. In caso contrario, prima di continuare eseguire la procedura seguente:

    1. Nella pagina Riepilogo ruoli fare clic su Aggiungi ruoli.

    2. Sulla pagina Prima di iniziare fare clic su Avanti.

    3. Nella pagina Selezione ruoli server fare clic su Servizi certificati Active Directory e quindi fare clic su Avanti.

    4. Nella pagina Introduzione a Servizi certificati Active Directory esaminare le informazioni fornite e quindi fare clic su Avanti.

  4. Nella pagina Selezione servizi ruolo selezionare la casella di controllo Servizio Web di informazioni sulle registrazioni di certificati.

    Nota

    Il servizio ruolo Autorità di certificazione viene selezionato automaticamente quando viene aggiunto il ruolo Servizi certificati Active Directory ma non è obbligatorio. Selezionare la casella Autorità di certificazione solo se si desidera installare sia l'autorità di certificazione che il Servizio Web di informazioni sulle registrazioni di certificati. Vedere Impostare Servizi certificati Active Directory.

  5. Fare clic su Aggiungi servizi ruolo necessari quando richiesto per installare i servizi ruolo e le funzionalità necessari e quindi fare clic su Avanti.

  6. Selezionare il tipo di autenticazione da utilizzare con il Servizio Web di informazioni sulle registrazioni di certificati per l'autenticazione delle richieste client e quindi fare clic su Avanti.

  7. Nella pagina Impostazione credenziali account selezionare Impostazione account servizio o Usa l'identità del pool di applicazioni predefinita. Per specificare un account di servizio, fare clic su Seleziona, digitare un account utente e la relativa password del dominio e fare clic su OK. Fare clic su Avanti.

  8. Selezionare un certificato server esistente, fare clic su Importa per importare un file di certificato o selezionare Scegli e assegna certificato per SSL in seguito e quindi fare clic su Avanti. Per i dettagli vedere Configurare certificati server per i servizi Web di registrazione certificati.

  9. Nella pagina Introduzione a Server Web (IIS) fare clic su Avanti.

  10. Nella pagina Selezione servizi ruolo rivedere i servizi ruolo selezionati e quindi fare clic su Avanti.

  11. Rivedere le informazioni nella pagina Conferma selezioni per l'installazione e quindi fare clic su Installa.

  12. Esaminare i messaggi nella pagina Risultati installazione. Prima che sia possibile inviare richieste potrebbero essere necessarie ulteriori attività di configurazione del Servizio Web di informazioni sulle registrazioni di certificati.

Ulteriori riferimenti

  • Configurare certificati server per i servizi Web di registrazione certificati

  • Configurazione di Criteri di gruppo per il supporto del Servizio Web di informazioni sulle registrazioni di certificati

  • Installare il Servizio Web di registrazione certificati

  • Impostare il Servizio Web di registrazione certificati


Configurare certificati server per i servizi Web di registrazione certificati

Per i servizi Web di registrazione certificati sono necessarie connessioni HTTPS. Per selezionare un certificato di autenticazione server e configurare il binding HTTPS, eseguire la procedura seguente.

Per configurare il binding HTTPS

  1. Aprire Server Manager.

  2. Nell'albero della console espandere Ruoli e quindi espandere Server Web (IIS).

  3. Fare clic su Gestione Internet Information Services (IIS).

  4. Nell'albero della console, in Connessioni, espandere il server Web, espandere Siti e quindi fare clic sul sito Web che ospita il servizio Web.

  5. Fare clic su Binding nel riquadro Azioni.

  6. Nell'elenco Tipo fare clic su https e quindi fare clic su Modifica.

    Nota

    Se https non è presente nell'elenco, fare clic su Aggiungi, fare clic su https e quindi selezionare l'indirizzo IP e la porta del sito che ospita il servizio Web.

  7. Nell'elenco Certificato SSL selezionare un certificato.

    Nota

    Il certificato selezionato deve includere lo scopo Autenticazione server. Il nome del soggetto del certificato deve corrispondere al nome host utilizzato dai computer client per accedere al servizio Web. Per richiedere un certificato di autorizzazione server, vedere la pagina relativa alla richiesta di certificati mediante la richiesta guidata certificato (http://go.microsoft.com/fwlink/?LinkId=143456).

  8. Fare clic su OK per salvare le modifiche.

Ulteriori riferimenti

  • Elenco di controllo: autenticare server Web con certificati rilasciati da una CA basata su Windows

  • Impostare il Servizio Web di registrazione certificati

  • Installare il Servizio Web di registrazione certificati

  • Installare il Servizio Web di informazioni sulle registrazioni di certificati


Configurazione di Criteri di gruppo per il supporto del Servizio Web di informazioni sulle registrazioni di certificati

Prima che sia possibile utilizzare il Servizio Web di informazioni sulle registrazioni di certificati nei computer client, è necessario configurare un'impostazione di Criteri di gruppo per indicare la posizione del servizio Web ai membri del dominio.

Per configurare i criteri di registrazione dei certificati

  1. Nel server Web che ospita il Servizio Web di informazioni sulle registrazioni di certificati aprire Server Manager.

  2. Nell'albero della console espandere Ruoli e quindi espandere Server Web (IIS).

  3. Fare clic su Gestione Internet Information Services (IIS).

  4. Nell'albero della console espandere Siti e fare clic sull'applicazione del servizio Web che inizia con ADPolicyProvider_CEP.

    Nota

    Il nome dell'applicazione è ADPolicyProvider_CEP_AuthenticationType dove AuthenticationType corrisponde al tipo di autenticazione del servizio Web.

  5. In ASP.NET fare doppio clic su Impostazioni applicazione.

  6. Fare doppio clic su URI e copiare il valore dell'URI.

  7. Fare clic sul pulsante Start, digitare gpmc.msc nella casella Cerca programmi e file e quindi premere INVIO.

  8. Nell'albero della console espandere la foresta e il dominio contenenti i criteri che si desidera modificare e fare clic su Oggetti Criteri di gruppo.

  9. Fare clic con il pulsante destro del mouse sui criteri che si desidera modificare e quindi scegliere Modifica.

  10. Nell'albero della console, in Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni sicurezza, fare clic su Criteri chiave pubblica.

  11. Fare doppio clic su Client Servizi certificati - Criteri di registrazione certificato.

  12. Fare clic su Aggiungi. Verrà visualizzata la finestra di dialogo Server delle informazioni sulle registrazioni di certificati.

  13. Nella casella Immettere l'URI del server dei criteri di registrazione digitare o incollare l'URI del server dei criteri di registrazione ottenuto in precedenza.

  14. Nell'elenco Tipo di autenticazione selezionare il tipo di autenticazione richiesto dal server dei criteri di registrazione.

  15. Fare clic su Convalida ed esaminare i messaggi nell'area Proprietà del server dei criteri di registrazione dei certificati. Il pulsante Aggiungi è disponibile solo se l'URI del server dei criteri di registrazione e il tipo di autenticazione sono validi.

  16. Fare clic su Aggiungi.

Ulteriori riferimenti

  • Impostare il Servizio Web di registrazione certificati


Configurare le impostazioni di delega per l'account di Servizio Web di registrazione certificati

A seconda delle opzioni di installazione selezionate per il Servizio Web di registrazione certificati, può essere inoltre necessario configurare la delega per il servizio Web per l'invio di richieste di certificati per conto degli utenti e dei computer del dominio.

È necessario configurare la delega per l'account del servizio Web se si verificano tutte le condizioni seguenti:

  • L'autorità di certificazione (CA) e il Servizio Web di registrazione certificati sono installati in computer separati.

  • Il tipo di autenticazione del servizio Web corrisponde all'autenticazione integrata di Windows o all'autenticazione certificati client.

  • Il servizio Web non è configurato per la modalità di solo rinnovo.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

È possibile configurare il pool di applicazioni del Servizio Web di registrazione certificati per l'utilizzo di un account utente di dominio o di un account predefinito, ad esempio ApplicationPoolIdentity o Servizio di rete. Se si specifica un account utente di dominio, prima di configurare la delega aggiungere un nome principale di servizio (SPN) all'oggetto account mediante il primo passaggio.

Per configurare la delega

  1. Solo per account utente di dominio. Per aggiungere un SPN per un account utente di dominio, digitare setspn –s http/Host Domain\Account, dove Host corrisponde al nome computer del server Web che ospita il Servizio Web di registrazione certificati e Domain\Account corrisponde all'account di dominio utilizzato dal pool di applicazioni del servizio Web.

  2. Aprire Utenti e computer di Active Directory.

  3. Nell'albero della console, espandere il dominio contenente l'account utilizzato dal pool di applicazioni.

  4. Se l'identità del pool di applicazioni è Servizio di rete, fare clic su Computer. In caso contrario, fare clic su Utenti.

  5. Nel riquadro dei dettagli fare doppio clic sull'account e quindi fare clic sulla scheda Delega.

  6. Fare clic su Utente attendibile per la delega solo ai servizi specificati.

  7. Se il tipo di autenticazione del servizio Web corrisponde all'autenticazione integrata di Windows, selezionare la casella di controllo Usa solo Kerberos. Se il tipo di autenticazione del servizio Web corrisponde all'autenticazione certificati client, selezionare la casella di controllo Usa un qualsiasi protocollo di autenticazione.

  8. Fare clic su Aggiungi e quindi su Utenti o computer.

  9. Immettere il nome del computer che ospita l'autorità di certificazione e quindi fare clic su OK.

  10. Nell'elenco Servizi disponibili fare clic su HOST e su rpcss e quindi fare clic su OK. Per selezionare più elementi tenere premuto CTRL.

  11. Fare clic su OK per salvare le modifiche.

Ulteriori riferimenti

  • Guida del comando Setspn (http://go.microsoft.com/fwlink/?LinkId=143939)

  • Installare il Servizio Web di registrazione certificati

  • Impostare il Servizio Web di registrazione certificati


Configurare il Servizio Web di registrazione certificati per la modalità di solo rinnovo

Con il Servizio Web di registrazione certificati è possibile elaborare le richieste di registrazione di nuovi certificati e di rinnovo di certificati esistenti. In entrambi i casi la richiesta viene inviata dal computer client al servizio Web, che a sua volta la invia all'autorità di certificazione (CA) per conto del computer client. Per tale motivo, per presentare l'identità del client all'autorità di certificazione è necessario che l'account del servizio Web sia trusted per delega.

Poiché il Servizio Web di registrazione certificati accetta richieste provenienti da Internet, è esposto a rischi di sicurezza maggiori. Per tale motivo alcune organizzazioni scelgono di non rendere trusted per delega l'account del servizio Web. Per ridurre i rischi correlati all'accettazione di richieste provenienti da Internet, è possibile configurare il Servizio Web di registrazione certificati per la modalità di solo rinnovo.

In modalità di solo rinnovo il servizio Web accetta solo le richieste di rinnovo di certificati, rifiutando le richieste di nuovi certificati. Per supportare la modalità di solo rinnovo, l'autorità di certificazione deve essere configurata in modo da eseguire l'autenticazione del computer client utilizzando la firma nella richiesta di rinnovo e il certificato esistente del computer client stesso. Con una tale configurazione non è necessario che l'account del servizio Web sia trusted per delega.

Per la modalità di solo rinnovo devono essere soddisfatti i requisiti seguenti:

  • Autorità di certificazione dell'organizzazione (enterprise) che esegue Windows Server 2008 R2.

  • Computer client che eseguono Windows 7 o Windows Server 2008 R2.

  • I computer client che richiedono il rinnovo del certificato devono disporre di un certificato non scaduto e verificabile da parte dell'autorità di certificazione emittente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins.

Per configurare il Servizio Web di registrazione certificati per la modalità di solo rinnovo

  1. Aprire Server Manager.

  2. Nell'albero della console fare clic su Ruoli.

  3. Se nella pagina Riepilogo ruoli è visualizzato Servizi certificati Active Directory, fare clic su Aggiungi servizi ruolo e continuare con il passaggio successivo. In caso contrario, prima di continuare eseguire la procedura seguente:

    1. Nella pagina Riepilogo ruoli fare clic su Aggiungi ruoli.

    2. Sulla pagina Prima di iniziare fare clic su Avanti.

    3. Nella pagina Selezione ruoli server fare clic su Servizi certificati Active Directory e quindi fare clic su Avanti.

    4. Nella pagina Introduzione a Servizi certificati Active Directory esaminare le informazioni fornite e quindi fare clic su Avanti.

  4. Nella pagina Selezione servizi ruolo selezionare la casella di controllo Servizio Web di registrazione certificati.

    Nota

    Il servizio ruolo Autorità di certificazione viene selezionato automaticamente quando viene aggiunto il ruolo Servizi certificati Active Directory. Non è tuttavia possibile installare tale servizio ruolo contemporaneamente al Servizio Web di registrazione certificati. Se si desidera installare sia l'autorità di certificazione che il Servizio Web di registrazione certificati, eseguire innanzitutto l'installazione dell'autorità di certificazione. Vedere Impostare Servizi certificati Active Directory.

  5. Fare clic su Aggiungi servizi ruolo necessari quando richiesto per installare i servizi ruolo e le funzionalità necessari e quindi fare clic su Avanti.

  6. Per specificare un'autorità di certificazione, fare clic su Nome CA o su Nome computer e quindi fare clic su Sfoglia. Selezionare un'autorità di certificazione o digitare un nome computer quindi fare clic su OK.

  7. Selezionare la casella di controllo Configura Servizio Web di registrazione certificati per la modalità di solo rinnovo.

  8. Nella pagina Impostazione tipo di autenticazione fare clic su Nome utente e password o su Autenticazione certificati client.

  9. Nella pagina Impostazione credenziali account fare clic su Impostazione account servizio o su Usa l'identità del pool di applicazioni predefinita. Per specificare un account di servizio, fare clic su Seleziona, digitare il nome utente e la password di un account del dominio e fare clic su OK. Fare clic su Avanti.

  10. Selezionare un certificato server esistente, fare clic su Importa per importare un file di certificato o su Scegli e assegna certificato per SSL in seguito e quindi fare clic su Avanti. Per i dettagli vedere Configurare certificati server per i servizi Web di registrazione certificati.

  11. Nella pagina Introduzione a Server Web (IIS) fare clic su Avanti.

  12. Nella pagina Selezione servizi ruolo rivedere i servizi ruolo selezionati e quindi fare clic su Avanti.

  13. Rivedere le informazioni nella pagina Conferma selezioni per l'installazione e quindi fare clic su Installa.

  14. Esaminare i messaggi nella pagina Risultati installazione. Prima che sia possibile inviare richieste potrebbero essere necessarie ulteriori attività di configurazione del Servizio Web di registrazione certificati.

Utilizzare questi comandi per configurare e riavviare Servizi certificati Active Directory. In questa configurazione l'autorità di certificazione è inoltre in grado di elaborare richieste di nuovi certificati.

Per configurare l'autorità di certificazione per il supporto della modalità di solo rinnovo

  1. Al prompt dei comandi dell'autorità di certificazione digitare certutil –setreg policy\editflags +enablerenewonbehalfof e premere INVIO.

  2. Aprire lo snap-in Autorità di certificazione.

  3. Nell'albero della console fare clic con il pulsante destro del mouse sull'autorità di certificazione e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Sicurezza.

  5. Se in Utenti e gruppi è visualizzato l'account del servizio Web, verificare che sia selezionata l'autorizzazione Lettura. Se l'account del servizio Web non è visualizzato, eseguire la procedura seguente:

    1. Fare clic su Aggiungi.

    2. Digitare il nome dell'account e fare clic su Controlla nomi. Se non è possibile trovare il nome, fare clic su Tipi di oggetto e verificare che sia selezionato il tipo di account corretto. Dopo aver trovato il nome di account corretto, fare clic su OK.

    3. Selezionare la casella di controllo Lettura e quindi fare clic su OK.

  6. Digitare sc stop certsvc e premere INVIO.

  7. Digitare sc start certsvc e premere INVIO.

Ulteriori riferimenti

  • Installare il Servizio Web di registrazione certificati

  • Impostare il Servizio Web di registrazione certificati


Configurare i servizi Web di registrazione certificati per la registrazione oltre i limite della foresta

È possibile distribuire i servizi Web di registrazione certificati in ambienti a più foreste per consentire la registrazione di certificati basata su criteri oltre i limiti delle foreste. Nelle versioni precedenti di Servizi certificati Active Directory, la registrazione di certificati basata su criteri può essere eseguita solo da computer client membri del dominio che utilizzano il protocollo DCOM. La registrazione di certificati è quindi limitata ai limiti di trust stabiliti dalle foreste di Active Directory. Il risultato è la distribuzione di PKI per foresta.

Le organizzazioni con più foreste e distribuzioni PKI per foresta possono trarre vantaggio dal consolidamento delle autorità di certificazione (CA) mediante la distribuzione dei servizi Web di registrazione dei certificati, per consentire la registrazione oltre i limiti delle foreste. Informazioni per la progettazione e la distribuzione di questo tipo di scenario sono disponibili all'indirizzo http://go.microsoft.com/fwlink/?LinkId=143457.

Ulteriori riferimenti

  • Impostare il Servizio Web di registrazione certificati

  • Panoramica di Servizio Web di registrazione certificati

  • Panoramica di Servizio Web di informazioni sulle registrazioni di certificati


Opzioni di configurazione avanzate per i servizi Web di registrazione certificati

Le opzioni di configurazione avanzate per i servizi Web di registrazione certificati includono:

  • Distribuzione di più istanze di Servizio Web di registrazione certificati in un unico computer.

  • Visualizzazione e configurazione delle impostazioni per i servizi Web di registrazione certificati.

  • Attivazione della registrazione e della traccia a scopo di risoluzione dei problemi.

Per ulteriori informazioni su queste e altre opzioni di configurazione e distribuzione avanzate, vedere http://go.microsoft.com/fwlink/?LinkId=143458.

Ulteriori riferimenti

  • Impostare il Servizio Web di registrazione certificati


Gestire un'Autorità di certificazione

La gestione di un'Autorità di certificazione (CA) comporta due categorie generali di attività: attività occasionali, quali la configurazione delle chiavi e l'implementazione di un ambiente di gestione, e attività ricorrenti, riguardanti le comuni operazioni quotidiane relative a una CA, quali il rilascio e la revoca di certificati e la pubblicazione dei dati di revoca.

  • Installare e utilizzare lo snap-in Autorità di certificazione

  • Attività di gestione occasionali

  • Attività di gestione ricorrenti


Installare e utilizzare lo snap-in Autorità di certificazione

Lo snap-in Autorità di certificazione può essere utilizzato per amministrare un'Autorità di certificazione (CA) su questo o su un altro computer. Lo snap-in viene installato automaticamente nei computer dove è installata una CA. In alternativa, è necessario installare innanzitutto Strumenti di amministrazione remota del server per Servizi certificati Active Directory.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per amministrare una CA sul computer in uso

  1. Se è la prima volta che si utilizza lo snap-in Autorità di certificazione sul computer, fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. Aggiungere lo snap-in Autorità di certificazione all'elenco a destra.

  4. Selezionare il computer che ospita la CA che si desidera amministrare e quindi fare clic su OK.

È inoltre possibile utilizzare un'istanza esistente dello snap-in Autorità di certificazione per passare dall'amministrazione di una CA all'amministrazione di un'altra CA.

Per eseguire questa procedura, è necessario essere un amministratore della CA remota. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per amministrare una CA su un altro computer

  1. Aprire lo snap-in Autorità di certificazione.

  2. Scegliere Nuova destinazione Autorità di certificazione dal menu Azione.

  3. Fare clic su Altro computer e digitare il nome del computer.

È inoltre possibile personalizzare lo snap-in Autorità di certificazione mediante filtri di visualizzazione. I filtri consentono di limitare gli elementi visualizzati nel riquadro dei dettagli dello snap-in Autorità di certificazione agli elementi corrispondenti a una serie di criteri stabiliti dall'utente. Ad esempio, è possibile creare un filtro che visualizzi nella cartella Certificati emessi solo i certificati validi dopo una data specificata.

Per eseguire questa procedura non è necessario essere un amministratore della CA, ma è necessario disporre delle autorizzazioni a eseguire attività di amministrazione sulla CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per impostare filtri di visualizzazione per lo snap-in Autorità di certificazione

  1. Aprire lo snap-in Autorità di certificazione.

  2. Fare clic su una qualsiasi delle cartelle visualizzate, a eccezione di Modelli di certificato.

  3. Scegliere Filtro dal menu Visualizza.

  4. Per ognuno dei criteri di selezione:

    • Fare clic su Aggiungi.

    • In Campo fare clic sul campo sul quale filtrare.

    • In Operazione fare clic sull'operazione per qualificare il valore del filtro per questo campo.

    • In Valore digitare il valore di qualifica.

  5. Per rimuovere un filtro, selezionare il filtro nella finestra di dialogo Filtro e quindi fare clic su Rimuovi.

  6. Per rimuovere tutti i filtri esistenti, nella finestra di dialogo Filtro fare clic su Reimposta.

Strumenti di amministrazione remota del server può essere installato su un computer che esegue Windows Server 2008 R2 o Windows Server 2008 tramite l'Aggiunta guidata funzionalità.

Per eseguire questa procedura, è necessario essere un amministratore del server. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per installare Strumenti di amministrazione remota del server per Servizi certificati Active Directory

  1. Aprire Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità per avviare l'Aggiunta guidata funzionalità.

  3. Nella pagina Selezione funzionalità fare clic sul segno più (+) a sinistra della casella di controllo Strumenti di amministrazione remota del server e quindi sul segno più (+) a sinistra della casella di controllo Strumenti di amministrazione ruoli.

  4. Selezionare la casella di controllo Servizi certificati Active Directory, fare clic su Avanti e quindi su Installa.

  5. Al termine dell'installazione fare clic su Chiudi.

Per svolgere attività di amministrazione remota da un computer che esegue Windows Vista, è possibile ottenere il pacchetto Strumenti di amministrazione remota del server dall'Area download Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=89361.

Ulteriori riferimenti

  • Gestire un'Autorità di certificazione


Attività di gestione occasionali

È necessario svolgere le attività di gestione seguenti durante la distribuzione iniziale di un'Autorità di certificazione (CA), oppure quando sono necessarie modifiche sostanziali.

  • Proteggere Servizi certificati Active Directory

  • Configurare la revoca di un certificato

  • Distribuire modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=142228)

  • Gestire l'archiviazione e il recupero delle chiavi

  • Gestire i moduli criteri e uscita

  • Proteggere una CA dalla perdita di dati


Proteggere Servizi certificati Active Directory

Quando si sviluppa un'infrastruttura di Autorità di certificazione (CA) è importante definire e implementare un modello di gestione di Servizi certificati Active Directory. Questo modello di gestione integrerà il piano di delega esistente per la gestione della sicurezza e, se necessario, può aiutare a soddisfare i requisiti di Common Criteria per la separazione dei ruoli.

Per impedire che una persona singola possa compromettere i servizi dell'infrastruttura a chiave pubblica (PKI), è preferibile distribuire i ruoli di gestione tra più persone nell'organizzazione.

Per comprendere i ruoli e le attività associati alla gestione di Servizi certificati Active Directory, vedere Implementare l'amministrazione basata sui ruoli.

Per importanti attività aggiuntive relative alla sicurezza e ai ruoli di gestione, vedere:

  • Limitare i gestori di certificati

  • Definire agenti di registrazione con restrizioni

  • Configurare il controllo eventi CA

  • Inviare un messaggio di posta elettronica quando si verifica un evento di certificazione


Implementare l'amministrazione basata sui ruoli

È possibile utilizzare l'amministrazione basata sui ruoli per organizzare gli amministratori dell'Autorità di certificazione (CA) in ruoli CA predefiniti distinti, ognuno con il proprio gruppo di attività. I ruoli vengono assegnati in base alle impostazioni di sicurezza di ogni utente. All'utente viene infatti assegnato un ruolo assegnandogli le impostazioni di sicurezza specifiche associate a tale ruolo. Un utente che dispone di un tipo di autorizzazione, ad esempio Gestione CA, potrà pertanto eseguire attività CA specifiche che non possono essere eseguite da un utente con un altro tipo di autorizzazione, ad esempio Rilascio e gestione certificati.

Nella tabella seguente vengono descritti i ruoli, gli utenti e i gruppi che possono essere utilizzati per implementare l'amministrazione basata sui ruoli. Per assegnare un ruolo a un utente o a un gruppo, è necessario assegnare all'utente o al gruppo le autorizzazioni di sicurezza, le appartenenze ai gruppi o i diritti utente corrispondenti del ruolo. Le autorizzazioni di sicurezza, le appartenenze ai gruppi e i diritti utente vengono utilizzati per stabilire quali utenti hanno determinati ruoli.

Ruoli e gruppi | Autorizzazione di sicurezza | Descrizione
Amministratore della CA | Gestione CA | Consente di configurare e gestire la CA. Questo è un ruolo CA e consente di assegnare tutti gli altri ruoli CA e di rinnovare il certificato CA. Queste autorizzazioni vengono assegnate tramite lo snap-in Autorità di certificazione.
Gestore di certificati | Rilascio e gestione certificati | Consente di approvare le richieste di registrazione e revoca dei certificati. Questo è un ruolo CA e a volte viene indicato come responsabile CA. Queste autorizzazioni vengono assegnate tramite lo snap-in Autorità di certificazione.
Backup Operators | Backup di file e directory Ripristino di file e directory | Consentono di eseguire operazioni di backup e ripristino del sistema. Il backup è una funzionalità del sistema operativo.
Auditor | Gestione file registro di controllo e di sicurezza | Consente di configurare, visualizzare e gestire i registri di controllo. Il controllo è una funzionalità del sistema operativo e l'auditor è un ruolo del sistema operativo.
Iscritti | Lettura Registrazione | Gli iscritti sono client autorizzati a richiedere certificati a una CA. Questo non è un ruolo CA.

Tutti i ruoli CA vengono assegnati e modificati dai membri del gruppo Administrators, Enterprise Admins o Domain Admins locale. Nelle CA dell'organizzazione (Enterprise) gli amministratori locali, gli amministratori dell'organizzazione e gli amministratori di dominio sono amministratori della CA per impostazione predefinita. In una CA autonoma (Standalone) invece solo gli amministratori locali sono amministratori della CA per impostazione predefinita. Se una CA autonoma (Standalone) è installata in un server che viene aggiunto a un dominio Active Directory, gli amministratori di dominio sono anche amministratori della CA.

I ruoli di amministratore della CA e di gestore di certificati possono essere assegnati agli utenti di Active Directory o agli utenti locali in Gestione account di sicurezza (SAM, Security Accounts Manager) nel computer locale, ovvero nel database degli account di sicurezza locale. È consigliabile assegnare i ruoli ad account di gruppo anziché a singoli account utente.

Solo l'amministratore della CA, il gestore di certificati, l'auditor e Backup Operators sono ruoli CA. Gli altri utenti descritti nella tabella sono importanti per l'amministrazione basata sui ruoli ed è necessario acquisire familiarità con essi prima di assegnare i ruoli CA.

Solo gli amministratori della CA e i gestori di certificati vengono assegnati tramite lo snap-in Autorità di certificazione. Per cambiare le autorizzazioni di un utente o di un gruppo, è necessario cambiare le autorizzazioni di sicurezza, l'appartenenza ai gruppi o i diritti utente dell'utente.

Per impostare le autorizzazioni di sicurezza degli amministratori della CA e dei gestori di certificati per una CA

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Sicurezza e specificare le autorizzazioni di sicurezza.

Ruoli e attività

A ogni ruolo CA è associato un elenco specifico di attività di amministrazione delle CA. Nella tabella seguente vengono elencate tutte le attività di amministrazione delle CA insieme ai ruoli a cui sono associate.

Attività | Amministratore della CA | Gestore di certificati | Auditor | Operatore di backup | Amministratore locale | Note
Installare CA |  |  |  |  | X |
Configurare moduli criteri e di uscita | X |  |  |  |  |
Arrestare e avviare il servizio Servizi certificati Active Directory | X |  |  |  |  |
Configurare estensioni | X |  |  |  |  |
Configurare ruoli | X |  |  |  |  |
Rinnovare chiavi CA |  |  |  |  | X |
Definire agenti di recupero chiavi | X |  |  |  |  |
Configurare limitazioni per i gestori di certificati | X |  |  |  |  |
Eliminare una singola riga nel database CA | X |  |  |  |  |
Eliminare più righe nel database CA (eliminazione di massa) | X | X |  |  |  | L'utente deve essere sia amministratore della CA che gestore di certificati. Questa attività non può essere eseguita se viene applicata la separazione dei ruoli.
Attivare la separazione dei ruoli |  |  |  |  | X |
Rilasciare e approvare certificati |  | X |  |  |  |
Negare certificati |  | X |  |  |  |
Revocare certificati |  | X |  |  |  |
Riattivare certificati in attesa |  | X |  |  |  |
Rinnovare certificati |  | X |  |  |  |
Attivare, pubblicare o configurare pianificazioni di elenchi di revoche di certificati (CRL, Certificate Revocation List) | X |  |  |  |  |
Recuperare chiavi archiviate |  | X |  |  |  | Solo un gestore di certificati può recuperare dal database CA la struttura dati delle chiavi crittografata. È necessaria la chiave privata di un agente di recupero chiavi valido per decrittografare la struttura dati delle chiavi e generare un file PKCS #12.
Configurare parametri di controllo |  |  | X |  |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system audit.
Controllare registri |  |  | X |  |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system audit.
Eseguire il backup del sistema |  |  |  | X |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system backup.
Ripristinare il sistema |  |  |  | X |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system backup.
Leggere il database CA | X | X | X | X |  | Per impostazione predefinita, l'amministratore locale dispone dei diritti utente system audit e system backup.
Leggere le informazioni di configurazione delle CA | X | X | X | X |  | Per impostazione predefinita, l'amministratore locale dispone dei diritti utente system audit e system backup.

Ulteriori considerazioni

  • Gli iscritti sono autorizzati a leggere le proprietà delle CA e i CRL, nonché a richiedere certificati. In una CA dell'organizzazione (Enterprise) un utente deve disporre delle autorizzazioni di lettura e registrazione per il modello di certificato per poter richiedere un certificato. Gli amministratori delle CA, i gestori di certificati, gli auditor e i membri del gruppo Backup Operators dispongono implicitamente delle autorizzazioni di lettura.

  • Un auditor dispone del diritto utente system audit.

  • Un membro del gruppo Backup Operators dispone del diritto utente system backup. È inoltre autorizzato ad avviare e arrestare il servizio Servizi certificati Active Directory.

Assegnare ruoli

L'amministratore di una CA assegna gli utenti ai diversi ruoli dell'amministrazione basata sui ruoli applicando all'account dell'utente le impostazioni di sicurezza richieste da un ruolo. L'amministratore della CA può assegnare un utente a più ruoli, ma la CA risulterà più sicura se ogni utente verrà assegnato a un solo ruolo. Questa strategia di delega consente di limitare il numero delle attività CA che possono essere compromesse in caso di violazione dell'account di un utente.

Responsabilità degli amministratori

Come impostazione di installazione predefinita, per una CA autonoma i membri del gruppo Administrators locale sono amministratori della CA. Per una CA dell'organizzazione (Enterprise) invece sono amministratori della CA i membri dei gruppi Administrators, Enterprise Admins e Domain Admins locali. Per limitare il potere di questi account, rimuoverli dai ruoli di amministratore della CA e di gestore di certificati al momento dell'assegnazione di tutti i ruoli CA.

È consigliabile che gli account di gruppo a cui vengono assegnati ruoli di amministratore della CA o di gestore di certificati non siano membri del gruppo Administrators locale. È opportuno inoltre assegnare i ruoli CA solo ad account di gruppo piuttosto che a singoli account utente.

Nota

Per rinnovare un certificato CA, è necessaria l'appartenenza al gruppo Administrators locale della CA. I membri di tale gruppo possono avere autorità amministrativa su tutti gli altri ruoli CA.


Limitare i gestori di certificati

I gestori di certificati possono approvare le richieste di registrazione e revoca dei certificati., rilasciare certificati e gestire i certificati. Per configurare questo ruolo, si assegna a un utente o a un gruppo l'autorizzazione Rilascio e gestione certificati.

Quando si assegna questa autorizzazione a un utente o a un gruppo, è possibile restringere ulteriormente le loro funzioni di gestione certificati in base ai gruppi e ai modelli di certificato. Ad esempio, è possibile implementare una restrizione in modo che possano solo approvare richieste o revocare certificati di accesso smart card per gli utenti di un determinato ufficio o unità organizzativa che funge da base di un gruppo di sicurezza.

Questa restrizione è basata su un sottoinsieme dei modelli di certificato attivati per l'Autorità di certificazione (CA) e sui gruppi di utenti con autorizzazioni di registrazione per tale modello di certificato dalla CA.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un membro del gruppo Enterprise Admins oppure di un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare restrizioni per i gestori di certificati per una CA

  1. Aprire lo snap-in Autorità di certificazione e fare clic con il pulsante destro del mouse sul nome della CA.

  2. Scegliere Proprietà e quindi fare clic sulla scheda Sicurezza.

  3. Verificare che l'utente o il gruppo selezionato disponga dell'autorizzazione Rilascio e gestione certificati. Se non dispone di questa autorizzazione, selezionare la casella di controllo Consenti e quindi fare clic su Applica.

  4. Fare clic sulla scheda Gestori certificati.

  5. Fare clic su Limita gestori di certificati e verificare che sia visualizzato il nome del gruppo o dell'utente.

  6. In Modelli di certificato fare clic su Aggiungi, selezionare il modello per i certificati che si desidera siano gestiti dall'utente o dal gruppo e quindi fare clic su OK. Ripetere questo passaggio fino a selezionare tutti i modelli di certificato che si desidera siano gestiti da questo gestore di certificati.

  7. In Autorizzazioni fare clic su Aggiungi, digitare il nome del client per il quale si desidera che il gestore di certificati gestisca i tipi di certificato definiti e quindi fare clic su OK.

  8. Se si desidera impedire al gestore di certificati di gestire i certificati per un determinato utente, computer o gruppo, selezionare tale utente, computer o gruppo in Autorizzazioni e fare clic su Nega.

  9. Terminata la configurazione delle restrizioni per i gestori di certificati, fare clic su OK o su Applica.

Ulteriori riferimenti

  • Proteggere Servizi certificati Active Directory


Definire agenti di registrazione con restrizioni

Un agente di registrazione è un utente che può registrare un certificato per conto di un altro client. A differenza del gestore di certificati, l'agente di registrazione può solo elaborare la richiesta di registrazione e non può approvare richieste in sospeso o revocare certificati rilasciati.

Windows Server 2008 R2 include tre modelli di certificato che abilitano diversi tipi di agenti di registrazione:

  • Agente di registrazione. Utilizzato per richiedere certificati per conto di un altro soggetto.

  • Agente di registrazione (computer). Utilizzato per richiedere certificati per conto di un altro soggetto computer.

  • Agente di registrazione di Exchange (richiesta offline) Utilizzato per richiedere certificati per conto di un altro soggetto e specificare il nome del soggetto nella richiesta. Questo modello è utilizzato per il certificato Agente di registrazione utilizzato dal servizio Registrazione dispositivi di rete.

Quando si crea un agente di registrazione, è possibile restringere ulteriormente le sue possibilità di registrare certificati per conto di altri in base ai gruppi e ai modelli di certificato. Ad esempio, è possibile implementare una restrizione in modo che l'agente di registrazione possa solo registrare certificati di accesso smart card per gli utenti di un determinato ufficio o unità organizzativa che funge da base di un gruppo di sicurezza.

Questa restrizione è basata su un sottoinsieme dei modelli di certificato attivati per l'Autorità di certificazione (CA) e sui gruppi di utenti con autorizzazioni di registrazione per tale modello di certificato dalla CA.

Importante

Le restrizioni per gli agenti di registrazione possono essere applicate solo alle CA basate su Windows Server 2008. È inoltre necessario configurare adeguatamente i criteri degli agenti di registrazione.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un membro del gruppo Enterprise Admins oppure di un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare restrizioni per gli agenti di registrazione per una CA

  1. Aprire lo snap-in Autorità di certificazione, fare clic con il pulsante destro del mouse sul nome della CA e quindi scegliere Proprietà.

  2. Fare clic sulla scheda Agenti di registrazione, fare clic su Limita agenti di registrazione e quindi su OK nel messaggio visualizzato.

  3. In Agenti di registrazione fare clic su Aggiungi, digitare i nomi degli utenti o dei gruppi che si desidera configurare e quindi fare clic su OK. Fare clic su Everyone e quindi su Rimuovi.

  4. In Modelli di certificato fare clic su Aggiungi, selezionare il modello per i certificati che si desidera possano essere registrati dall'utente o dal gruppo e quindi fare clic su OK. Ripetere questo passaggio fino a selezionare tutti i modelli di certificato che si desidera abilitare per questo agente di registrazione. Terminata l'aggiunta dei modelli di certificato, fare clic su <Tutti> e quindi su Rimuovi.

  5. In Autorizzazioni fare clic su Aggiungi, digitare i nomi degli utenti o dei gruppi per i quali si desidera che l'agente di registrazione gestisca i tipi di certificato definiti e quindi fare clic su OK. Fare clic su Everyone e quindi su Rimuovi.

  6. Se si desidera impedire all'agente di registrazione di gestire i certificati per un utente, computer o gruppo, selezionare tale utente, computer o gruppo in Autorizzazioni e quindi fare clic su Nega.

  7. Terminata la configurazione delle restrizioni per gli agenti di registrazione, fare clic su OK o su Applica.
Nota

L'utente o il gruppo al quale sono state applicate le restrizioni per gli agenti di registrazione deve avere un certificato Agente di registrazione valido per la CA prima di poter fungere da agente di registrazione, che le autorizzazioni limitate per l'agente di registrazione siano state o meno configurate.

Ulteriori riferimenti

  • Proteggere Servizi certificati Active Directory


Configurare il controllo eventi CA

È possibile controllare vari eventi relativi alla gestione e alle attività di un'Autorità di certificazione (CA):

  • Eseguire il backup e il ripristino del database CA.

  • Modificare la configurazione della CA.

  • Modificare le impostazioni di protezione della CA.

  • Rilasciare certificati e gestire le relative richieste.

  • Revocare certificati e pubblicare elenchi di revoche di certificati (CRL).

  • Archiviare e recuperare le chiavi archiviate.

  • Avviare e arrestare Servizi certificati Active Directory.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un revisore della CA. Il revisore della CA deve eseguire questa procedura se la CA è stata configurata per imporre l'amministrazione in base ai ruoli. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il controllo eventi CA

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Controllo fare clic sugli eventi che si desidera controllare e quindi fare clic su OK.

  5. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Arresta servizio.

  6. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Avvia servizio.

Ulteriori considerazioni

  • Per poter controllare gli eventi, il computer deve essere anche configurato per il controllo dell'accesso agli oggetti. Le opzioni dei criteri di controllo possono essere visualizzate e gestite in Criteri di gruppo locale o di dominio nel percorso Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza\Criteri locali.

Ulteriori riferimenti

  • Proteggere Servizi certificati Active Directory

  • Proteggere una CA dalla perdita di dati


Inviare un messaggio di posta elettronica quando si verifica un evento di certificazione

La procedura seguente configura un'Autorità di certificazione (CA) per l'invio di un messaggio di posta elettronica quando si verifica un evento di certificazione.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per inviare un messaggio di posta elettronica quando si verifica un evento di certificazione

  • A un prompt dei comandi con privilegi elevati digitare:

    certutil -setreg exit\smtp\<smtpserverServerName>

    certutil -setreg exit\smtp\<eventfilter +Event>
Attenzione

La modifica non corretta del Registro di sistema potrebbe danneggiare gravemente il sistema. Prima di apportare modifiche nel Registro di sistema, è consigliabile eseguire il backup dei dati presenti nel computer.

Nelle tabelle seguenti sono illustrati i valori e le opzioni del comando disponibili per questa procedura.

Valore | Descrizione
certutil | Nome dello strumento da riga di comando.
-setreg | Consente di modificare il Registro di sistema
exit\smtp\smtpserver | Valore del Registro di sistema contenente il nome del server SMTP (Simple Mail Transfer Protocol).
exit\smtp\eventfilter | Valore del Registro di sistema contenente l'elenco degli eventi che devono essere monitorati dalla CA. Al verificarsi di uno di questi eventi, la CA invierà un messaggio di posta elettronica.
+ | Indica di aggiungere questa voce alle eventuali altre voci attualmente archiviate in questo valore del Registro di sistema.
Evento | Consente di specificare l'evento da aggiungere all'elenco degli eventi che devono essere monitorati dalla CA. Un evento può essere uno qualsiasi dei valori riportati nella tabella seguente.

Valore evento | Descrizione
ExitEvent_CertIssued | Specifica l'azione di rilascio di un certificato.
ExitEvent_CertPending | Specifica l'azione di ricezione di una richiesta di certificato da parte della CA e della sua impostazione in sospeso.
ExitEvent_CertDenied | Specifica l'azione di ricezione di una richiesta di certificato da parte della CA e della negazione della richiesta.
ExitEvent_CertRevoked | Specifica l'azione di revoca di un certificato esistente.
ExitEvent_CRLIssued | Specifica l'azione di rilascio di un elenco di revoche di certificati (CRL).
ExitEvent_Startup | Specifica l'azione della CA all'avvio.
ExitEvent_Shutdown | Specifica l'azione della CA all'arresto.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  • Quando si verificano gli eventi ExitEvent_CRLIssued, ExitEvent_Startup ed ExitEvent_Shutdown, la CA non dispone di un indirizzo di posta elettronica perché non vi sono utenti associati a tali eventi. Quando si utilizzano questi eventi è pertanto necessario configurare un indirizzo di posta elettronica. Per configurare l'indirizzo di posta elettronica al quale inviare il messaggio al verificarsi di questi eventi, digitare i comandi certutil seguenti al prompt dei comandi:

    certutil -setreg exit\smtp\CRLIssued\To<E-mailString>
certutil -setreg exit\smtp\Startup\To<E-mailString>
certutil -setreg exit\smtp\Shutdown\To<E-mailString>
    E-mailString specifica un indirizzo o una stringa di indirizzi di posta elettronica separati da punto e virgola.

  • Se il server SMTP non è impostato per accettare connessioni anonime, la CA deve essere configurata per specificare un nome utente e una password alla connessione. Per configurare l'autenticazione della CA con il server SMTP, digitare i comandi certutil seguenti al prompt dei comandi:

    certutil -setreg exit\smtp\SMTPAuthenticate 1
certutil -setsmtpinfo<UserName>
    UserName specifica il nome utente di un account valido sul server SMTP. Verrà richiesto l'inserimento della password per questo nome utente.

  • Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare:

    certutil -setreg -?
  • Per ulteriori informazioni sullo strumento da riga di comando certutil, vedere la guida del comando all'indirizzo http://go.microsoft.com/fwlink/?LinkId=81249.

Ulteriori riferimenti

  • Proteggere Servizi certificati Active Directory


Configurare la revoca di un certificato

Ogni certificato è rilasciato con un determinato periodo di validità. La revoca di un certificato lo invalida come credenziale di sicurezza attendibile prima della scadenza del periodo di validità originale. Vi sono vari motivi per i quali un certificato può divenire inattendibile come credenziale di sicurezza prima della scadenza programmata. Esempi:

  • Compromissione accertata o sospettata della chiave privata del soggetto del certificato.

  • Compromissione accertata o sospettata della chiave privata di un'Autorità di certificazione (CA).

  • Scoperta che un certificato era stato ottenuto in modo fraudolento.

  • Modifica dello stato del soggetto del certificato come entità attendibile.

  • Modifica del nome del soggetto del certificato.

Non sempre è possibile contattare una CA o un altro server attendibile per ottenere informazioni sulla validità di un certificato. Per poter controllare lo stato di un certificato, il client deve avere accesso ai dati di revoca per determinare se il certificato è valido o è stato revocato. Per garantire l'utilizzo in diversi scenari, Servizi certificati Active Directory supporta i metodi standard per la revoca dei certificati, inclusa la pubblicazione degli elenchi di revoche di certificati (CRL) e dei Delta CRL, che possono essere resi disponibili per i client in diverse posizioni, quali Servizi di dominio Active Directory, server Web e condivisioni di rete

Nota

In Windows Server 2008 R2 e Windows Server 2008 è possibile utilizzare un Risponditore in linea per migliorare l'accesso ai dati CRL in ambienti di rete complessi. Il Risponditore in linea utilizza i dati di revoca dei certificati presenti nei CRL ed elabora singolarmente le richieste di stato dei certificati provenienti dai client.

Gli elenchi CRL sono elenchi completi, firmati digitalmente, di certificati revocati. I client possono recuperare questi elenchi, pubblicati periodicamente, memorizzarli nella cache per la durata configurata del CRL e utilizzarli per verificare lo stato di revoca di un certificato.

I CRL possono raggiungere dimensioni considerevoli se la CA rilascia e revoca un gran numero di certificati; per questo è anche possibile pubblicare dei CRL intermedi di dimensioni ridotte, detti Delta CRL. I Delta CRL contengono solo i certificati revocati dopo la pubblicazione dell'ultimo CRL normale. I client possono così limitarsi a recuperare i Delta CRL e creare più rapidamente un elenco completo dei certificati revocati. L'utilizzo dei Delta CRL consente inoltre la pubblicazione più frequente dei dati di revoca, in quanto le dimensioni contenute dei Delta CRL comportano generalmente tempi di trasferimento ridotti rispetto ai CRL completi.

Ulteriori riferimenti

  • Specificare i punti di distribuzione CRL

  • Configurare i periodi di sovrapposizione CRL e Delta CRL

  • Pianificare la pubblicazione di elenchi di revoche di certificati

  • Gestire la revoca dei certificati

  • Configurare i servizi Risponditore in linea in una rete


Specificare i punti di distribuzione CRL

È possibile aggiungere, rimuovere o modificare i punti di distribuzione CRL nei certificati rilasciati mediante la procedura seguente. La modifica dell'URL di un punto di distribuzione CRL interesserà tuttavia solo i nuovi certificati rilasciati. I certificati rilasciati in precedenza continueranno a fare riferimento al percorso originale.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per specificare i punti di distribuzione CRL nei certificati rilasciati

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione e quindi fare clic sulla scheda Estensioni. Accertarsi che Selezionare l'estensione sia impostata su Punto di distribuzione CRL.

  4. Eseguire una o più delle operazioni seguenti. L'elenco dei punti di distribuzione CRL si trova nella casella Specificare le posizioni da cui gli utenti possono ottenere un elenco di revoche di certificati (CRL).

    Per aggiungere un nuovo punto di distribuzione CRL

    Fare clic su Aggiungi, digitare il nome del nuovo punto di distribuzione CRL e quindi fare clic su OK.

    Per rimuovere un punto di distribuzione CRL dall'elenco

    Fare clic sul punto di distribuzione CRL, scegliere Rimuovi e quindi fare clic su OK.

    Per indicare che si desidera utilizzare un URL come punto di distribuzione CRL

    Fare clic sul punto di distribuzione CRL, selezionare la casella di controllo Includi nell'estensione dei punti di distribuzione dei certificati emessi e quindi fare clic su OK.

    Per indicare che non si desidera utilizzare un URL come punto di distribuzione CRL

    Fare clic sul punto di distribuzione CRL, deselezionare la casella di controllo Includi nell'estensione dei punti di distribuzione dei certificati emessi e quindi fare clic su OK.

    Per indicare che si desidera utilizzare un URL come punto di distribuzione Delta CRL

    Fare clic sul punto di distribuzione CRL, selezionare la casella di controllo Pubblica Delta CRL in questa posizione e quindi fare clic su OK.

    Per indicare che non si desidera utilizzare un URL come punto di distribuzione Delta CRL

    Fare clic sul punto di distribuzione CRL, deselezionare la casella di controllo Pubblica Delta CRL in questa posizione e quindi fare clic su OK.

    Per indicare che si desidera pubblicare questa posizione nei CRL per indirizzare i client a un Delta CRL

    Fare clic sul punto di distribuzione CRL, selezionare la casella di controllo Includi nei CRL. I client la utilizzeranno per trovare i percorsi Delta CRL e quindi fare clic su OK.

    Per indicare che non si desidera pubblicare questa posizione nei CRL per indirizzare i client a un Delta CRL

    Fare clic sul punto di distribuzione CRL, deselezionare la casella di controllo Includi nei CRL. I client la utilizzeranno per trovare i percorsi Delta CRL e quindi fare clic su OK.

  5. Fare clic su Sì per arrestare e riavviare Servizi certificati Active Directory.

Gli URL dei CRL possono essere indirizzi HTTP, FTP, LDAP o di file. Per specificare l'indirizzo del CRL è possibile utilizzare le variabili seguenti.

Variabile | Valore
CAName | Nome della CA
CAObjectClass | Identificatore di classe di oggetti per una CA, utilizzato per la pubblicazione in un URL LDAP
CATruncatedName | Nome "puro" della CA, troncato a 32 caratteri con un hash alla fine
CDPObjectClass | Identificatore di classe di oggetti per i punti di distribuzione CRL, utilizzato per la pubblicazione in un URL LDAP
CertificateName | Estensione di rinnovo della CA
ConfigurationContainer | Posizione del contenitore della configurazione in Servizi di dominio Active Directory
CRLNameSuffix | Aggiunge un suffisso al nome del file quando si pubblica un CRL in un indirizzo di file o URL
DeltaCRLAllowed | Quando si pubblica un Delta CRL, sostituisce la variabile CRLNameSuffix con un suffisso separato per distinguere il Delta CRL dal CRL
ServerDNSName | Nome DNS del server CA
ServerShortName | Nome NetBIOS del server CA

Ulteriori riferimenti

  • Configurare la revoca di un certificato

  • Gestire la revoca dei certificati


Configurare i periodi di sovrapposizione CRL e Delta CRL

È possibile regolare la relazione tra un elenco di revoche di certificati (CRL) e un Delta CRL configurando un periodo di sovrapposizione tra i due. Questa impostazione è particolarmente utile in caso di ritardo nella pubblicazione del successivo Base CRL o Delta CRL, oppure se il client non riesce a ottenere un nuovo CRL o Delta CRL nel momento previsto per la pubblicazione.

Il periodo di sovrapposizione dei CRL è il tempo, alla fine della durata di un CRL pubblicato, durante il quale un client può ottenere un nuovo CRL prima che il CRL precedente sia considerato inutilizzabile. L'impostazione predefinita per questo valore è il 10% della durata del CRL. Poiché in alcuni ambienti la replica di un CRL può richiedere un tempo maggiore, questa impostazione può essere configurata manualmente.

Nota

Il valore massimo per il periodo di sovrapposizione di un CRL o Delta CRL è di 12 ore.

In caso di pubblicazione recente di un Base CRL e del Delta CRL, in entrambi i CRL può essere visualizzato un certificato revocato. Ciò avviene perché il Delta CRL più recente può ancora puntare al Base CRL precedente durante la replica del nuovo Base CRL. La presenza del certificato in entrambi i CRL garantisce la disponibilità delle informazioni di revoca.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare i periodi di sovrapposizione CRL e Delta CRL

  1. Al prompt dei comandi digitare:

    certutil -setreg ca\CRLOverlapUnits Value

    certutil -setreg ca\CRLOverlapPeriod Units

    certutil -setreg ca\CRLDeltaOverlapUnits Value

    certutil -setreg ca\DeltaOverlapPeriod Units

  2. Aprire lo snap-in Autorità di certificazione.

  3. Nell'albero della console fare clic sul nome della CA.

  4. Scegliere Tutte le attività dal menu Azione e fare clic su Arresta servizio per arrestare il servizio.

  5. Scegliere Tutte le attività dal menu Azione e fare clic su Avvia servizio per avviare il servizio.
Attenzione

La modifica non corretta del Registro di sistema potrebbe danneggiare gravemente il sistema. Prima di apportare modifiche nel Registro di sistema, è consigliabile eseguire il backup di tutti i dati importanti presenti nel computer.

Nella tabella seguente sono elencati i valori che possono essere utilizzati nella sintassi di Certutil descritta in questa procedura.

Valore | Descrizione
Certutil | Specifica il nome dello strumento da riga di comando.
-setreg | Consente di modificare il Registro di sistema
ca\CRLOverlapUnits | Indica il valore del Registro di sistema che memorizza l'impostazione della sovrapposizione del CRL.
ca\CRLDelataOverlapUnits | Indica il valore del Registro di sistema che memorizza l'impostazione della sovrapposizione del Delta CRL.
Valore | Rappresenta il valore numerico sul quale impostare questa opzione.
ca\CRLOverlapPeriod | Indica il valore del Registro di sistema che memorizza l'impostazione del tipo di unità della sovrapposizione del CRL.
ca\DeltaOverlapPeriod | Indica il valore del Registro di sistema che memorizza l'impostazione del tipo di unità della sovrapposizione del Delta CRL.
Unità di misura | Indica il tipo di unità di misura per il periodo di sovrapposizione. I valori validi sono Minutes, Hours e Days.
Nota

Se l'ambiente in uso non è configurato per il rilascio di Delta CRL, le impostazioni di CRLDeltaOverlapUnits e DeltaOverlapPeriod non avranno effetto.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

Ulteriori riferimenti

  • Configurare la revoca di un certificato

  • Pianificare la pubblicazione di elenchi di revoche di certificati


Pianificare la pubblicazione di elenchi di revoche di certificati

È necessario definire intervalli di pubblicazione regolari per i dati di revoca dei certificati, in modo che i client abbiano sempre a disposizione un elenco di revoche di certificati (CRL) accurato. Nel pianificare questi intervalli, occorre trovare il giusto equilibrio tra la necessità di disporre di dati accurati e aggiornati e l'impatto sui client di download frequenti di nuovi CRL.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per pianificare la pubblicazione del CRL

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic su Certificati revocati.

  3. Scegliere Proprietà dal menu Azione.

  4. In Intervallo pubblicazione CRL digitare l'incremento e selezionare l'unità di tempo da utilizzare per la pubblicazione automatica del CRL.

All'intervallo definito verrà pubblicato per impostazione predefinita un nuovo CRL nella cartella seguente: systemroot\system32\CertSrv\CertEnroll\. Se il computer fa parte di un dominio e dispone dell'autorizzazione in scrittura in Servizi di dominio Active Directory, il CRL verrà pubblicato anche in Servizi di dominio Active Directory.

Il periodo di pubblicazione di un CRL non corrisponde al suo periodo di validità. Per impostazione predefinita, il periodo di validità di un CRL supera il periodo di pubblicazione del 10% (con un massimo di 12 ore) per consentire la replica di directory.

Pianificare la pubblicazione dei Delta CRL

È possibile estendere la pianificazione della pubblicazione del CRL ai Delta CRL.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per pianificare la pubblicazione dei Delta CRL

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic su Certificati revocati.

  3. Scegliere Proprietà dal menu Azione.

  4. Selezionare la casella di controllo Pubblica Delta CRL.

  5. In Intervallo pubblicazione digitare l'incremento e selezionare l'unità di tempo da utilizzare per la pubblicazione automatica del Delta CRL.

Ulteriori riferimenti

  • Configurare la revoca di un certificato

  • Configurare i periodi di sovrapposizione CRL e Delta CRL


Gestire l'archiviazione e il recupero delle chiavi

Se gli utenti smarriscono le proprie chiavi private, tutte le informazioni crittografate in modo permanente con la chiave pubblica corrispondente diventano inaccessibili. L'archiviazione e il recupero delle chiavi aiutano a proteggere i dati crittografati da perdite permanenti se, ad esempio, è necessario reinstallare un sistema operativo, l'account utente per il quale la chiave di crittografia era stata rilasciata originariamente non è più disponibile o la chiave non è più accessibile per altri motivi. Al fine di proteggere le chiavi private, le Autorità di certificazione dell'organizzazione (enterprise) Microsoft possono archiviare le chiavi degli utenti nel proprio database al momento del rilascio dei certificati. Tali chiavi vengono crittografate e archiviate dalla CA.

Questo archivio di chiavi private rende possibile il recupero delle chiavi in un secondo momento. Il processo di recupero di una chiave prevede che un amministratore recuperi il certificato e la chiave privata crittografati e quindi che un agente di recupero chiavi provveda a decrittografarli. Quando viene ricevuta una richiesta di recupero chiave firmata in modo corretto, al richiedente vengono forniti il certificato e la chiave privata dell'utente. Il richiedente utilizzerà quindi la chiave secondo le esigenze o la trasferirà in modo protetto all'utente, il quale continuerà a utilizzarla. Finché la chiave privata non è compromessa, non è necessario che il certificato venga sostituito o rinnovato con una chiave diversa.

L'archiviazione e il recupero chiavi non sono attivati per impostazione predefinita, in quanto molte organizzazioni considererebbero l'archiviazione della chiave privata in più posizioni come una vulnerabilità di sicurezza. Le organizzazioni devono quindi prendere decisioni esplicite sui certificati per i quali utilizzare l'archiviazione e il recupero chiavi e sulle persone che possono recuperare le chiavi archiviate. In tal modo si aiuta a garantire che l'archiviazione e il recupero chiavi siano utilizzati per migliorare la sicurezza piuttosto che per indebolirla.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare un ambiente per l'archiviazione delle chiavi dei certificati EFS (Encrypting File System)

  1. Creare un account di agente di recupero chiavi o designare un utente esistente come agente di recupero chiavi.

  2. Configurare il modello di certificato dell'agente di recupero chiavi e registrare un certificato per l'agente. Per informazioni, vedere Identificare un agente di recupero chiavi.

  3. Registrare il nuovo agente di recupero chiavi con la CA. Per informazioni, vedere Abilitare l'archiviazione chiavi per una CA.

  4. Configurare un modello di certificato, come EFS di base, per l'archiviazione chiavi, e registrare il nuovo certificato per gli utenti. Se gli utenti dispongono già di certificati EFS, accertarsi che il nuovo certificato sostituisca il certificato che non prevede l'archiviazione chiavi. Per informazioni, vedere Configurare un modello di certificato per l'archiviazione chiavi.

  5. Registrare per gli utenti certificati di crittografia basati sul nuovo modello di certificato.

    Gli utenti non sono protetti mediante l'archiviazione chiavi finché non registrano un certificato per cui è attivato il recupero chiavi. Se dispongono di certificati identici rilasciati prima dell'attivazione del recupero chiavi, i dati crittografati con tali certificati non sono protetti mediante l'archiviazione chiavi.

Per ulteriori informazioni sull'archiviazione e il recupero chiavi, visitare la pagina sull'archiviazione e il recupero chiavi in Windows Server 2008 all'indirizzo http://go.microsoft.com/fwlink/?LinkID=92523.

Ulteriori riferimenti

  • Recuperare una chiave persa


Identificare un agente di recupero chiavi

Un agente di recupero chiavi è una persona autorizzata a recuperare un certificato per conto di un utente finale. Poiché il ruolo di agente di recupero chiavi può comportare l'accesso a dati sensibili, questa responsabilità dovrà essere affidata solo a persone della massima fiducia.

Per identificare un agente di recupero chiavi, è necessario configurare il relativo modello di certificato in modo da consentire alla persona con tale ruolo di registrare un certificato di agente di recupero chiavi.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il modello di certificato dell'agente di recupero chiavi

  1. Aprire lo snap-in Modelli di certificato.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul modello di certificato Agente di recupero chiavi.

  3. Fare clic su Duplica modello.

  4. Nella finestra di dialogo Duplica modello fare clic su Windows 2003 Server Enterprise a meno che tutte le autorità di certificazione (CA) e i computer client non eseguano Windows Server 2008 R2, Windows Server 2008, Windows 7 o Windows Vista.

  5. In Modello digitare un nuovo nome visualizzato per il modello e quindi modificare altre proprietà facoltative, se necessario.

  6. Nella scheda Sicurezza fare clic su Aggiungi, digitare i nomi degli utenti per i quali si desidera emettere i certificati di agente di recupero chiavi e quindi fare clic su OK.

  7. In Nomi di gruppi o di utenti selezionare i nomi utente appena aggiunti. In Autorizzazioni selezionare le caselle di controllo Lettura e Registrazione e quindi fare clic su OK.

    Nota

    Per migliorare la sicurezza e il controllo del processo di recupero chiavi, per i certificati degli agenti di recupero chiavi è consigliabile non utilizzare la registrazione automatica.

Prima che il nuovo agente di recupero chiavi possa registrare un certificato basato sul nuovo modello di certificato creato, è innanzitutto necessario aggiungere il modello alla CA. Per informazioni sull'esecuzione di questa procedura, vedere la pagina relativa all'aggiunta di un modello di certificato a un'autorità di certificazione (http://go.microsoft.com/fwlink/?LinkId=147110).

Se il certificato è configurato con le autorizzazioni Lettura e Registrazione, per ottenere un certificato di recupero chiavi il nuovo agente di recupero chiavi deve utilizzare lo snap-in Certificati e l'Importazione guidata certificati. Se il modello di certificato è configurato con l'autorizzazione Registrazione automatica, il certificato verrà emesso automaticamente al successivo accesso dell'utente alla rete.

Nota

Per impostazione predefinita, la casella di controllo Approvazione gestore certificati CA nella scheda Requisiti di rilascio è selezionata. Se questa casella di controllo rimane selezionata, un gestore CA dovrà approvare la richiesta prima dell'emissione del certificato dell'agente di recupero chiavi.

La procedura successiva, Abilitare l'archiviazione chiavi per una CA, potrà essere eseguita solo dopo che l'agente di recupero chiavi avrà ottenuto il certificato.

Ulteriori riferimenti

  • Gestire l'archiviazione e il recupero delle chiavi


Abilitare l'archiviazione chiavi per una CA

Per poter utilizzare un certificato di recupero chiavi, un agente di recupero chiavi deve registrare il certificato ed essere registrato come agente di recupero per l'Autorità di certificazione (CA).

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per abilitare l'archiviazione chiavi per una CA

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Agenti recupero dati e quindi su Archivia la chiave.

  5. In Numero di agenti di recupero dati da utilizzare digitare il numero di agenti di recupero chiave da utilizzare per crittografare la chiave archiviata.

    Il Numero di agenti di recupero dati da utilizzare deve essere compreso tra uno e il numero di certificati di agenti di recupero chiavi configurati.

  6. Fare clic su Aggiungi. Selezionare quindi i certificati di recupero chiave visualizzati in Selezione agenti di recupero chiavi e fare clic su OK.

  7. I certificati verranno visualizzati nell'elenco Certificati degli agenti di recupero chiavi, ma lo stato indicato sarà Non caricato.

  8. Fare clic su OK o su Applica. Quando viene richiesto di riavviare la CA, fare clic su Sì. Dopo il riavvio della CA, lo stato dei certificati sarà indicato come Valido.

L'elenco dei Certificati degli agenti di recupero chiavi può includere i valori di stato e le cause riportati nella tabella seguente.

Stato | Causa
Scaduto | La data di scadenza del certificato è trascorsa e il certificato non può quindi essere utilizzato.
Non valido | Il certificato può essere in un formato non corretto o causare un errore durante il caricamento.
Non trovato | Il certificato è stato configurato ma non può essere individuato dalla CA.
Non caricato | Il certificato è stato configurato ma non è stato ancora caricato dalla CA.
Revocato | Il certificato è stato revocato e non può essere utilizzato.
Non considerato attendibile | La CA radice di questo certificato non è considerata attendibile dalla CA.
Valido | Il certificato è stato caricato dalla CA e funziona normalmente.

Se il valore Numero di agenti di recupero dati da utilizzare supera il numero di certificati di agenti di recupero dati con stato Valido, le richieste di registrazione che necessitano di archiviazione chiavi avranno esito negativo.

Ulteriori riferimenti

  • Gestire l'archiviazione e il recupero delle chiavi


Configurare un modello di certificato per l'archiviazione chiavi

Il processo di archiviazione chiavi ha luogo al momento dell'emissione di un certificato. Prima di emettere certificati basati su un modello, è pertanto necessario modificare il modello per includere l'archiviazione delle chiavi.

L'utilizzo dell'archiviazione chiavi è consigliato con il modello di certificato base EFS (Encrypting File System), al fine di proteggere gli utenti dalle perdite di dati, ma può essere utile anche per altri tipi di certificati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare un modello di certificato per l'archiviazione e il recupero chiavi

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Duplica modello.

  3. Nella finestra di dialogo Duplica modello fare clic su Windows 2003 Server Enterprise a meno che tutte le autorità di certificazione (CA) e i computer client non eseguano Windows Server 2008 R2, Windows Server 2008, Windows 7 o Windows Vista.

  4. In Modello digitare un nuovo nome visualizzato per il modello e quindi modificare altre proprietà facoltative, se necessario.

  5. Nella scheda Sicurezza fare clic su Aggiungi, digitare i nomi degli utenti o dei gruppi per i quali si desidera emettere i certificati e quindi fare clic su OK.

  6. In Nomi di gruppi o di utenti selezionare i nomi degli utenti o dei gruppi appena aggiunti. In Autorizzazioni selezionare le caselle di controllo Lettura e Registrazione e, se si desidera emettere automaticamente il certificato, selezionare anche la casella di controllo Registrazione automatica.

    Nota

    Per implementare la registrazione automatica è necessario selezionare tutte e tre le caselle di controllo.

  7. Nella scheda Gestione richiesta selezionare la casella di controllo Archivia chiave privata di crittografia del soggetto.

  8. Se gli utenti dispongono già di certificati EFS non configurati per l'archiviazione e il recupero chiavi, fare clic sulla scheda Modelli sostituiti, su Aggiungi e quindi sul nome del modello che si desidera sostituire.

  9. Fare clic su OK.

Gli utenti non sono protetti mediante l'archiviazione chiavi finché non registrano un certificato per cui è attivato il recupero chiavi. Se dispongono di certificati identici emessi prima dell'attivazione del recupero chiavi, non sono protetti mediante l'archiviazione chiavi. Se un modello viene modificato, i client che dispongono già di un certificato valido basato su tale modello devono eseguire una nuova registrazione per ricevere un certificato basato sul modello modificato. Per ulteriori informazioni sull'esecuzione di una nuova registrazione di client, vedere la pagina relativa alla nuova registrazione dei possessori di certificati (http://go.microsoft.com/fwlink/?LinkId=147103).

Ulteriori riferimenti

  • Gestire l'archiviazione e il recupero delle chiavi


Recuperare una chiave persa

Se un utente perde una chiave privata, non sarà in grado di recuperare dati crittografati con tale chiave. Sarà necessario recuperare la chiave e ripristinarla nel computer client per poter decrittografare e utilizzare i dati.

Il processo di recupero completo comprende tre procedure:

  • Ottenere il numero di serie del certificato archiviato.

  • Eseguire il recupero della chiave.

  • Ripristinare la chiave nel computer client.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per ottenere il numero di serie di un certificato archiviato

  1. Accedere al computer che ospita l'Autorità di certificazione (CA).

  2. Aprire lo snap-in Autorità di certificazione.

  3. Nell'albero della console fare clic sul nome della CA e quindi su Certificati emessi.

  4. Scegliere Aggiungi/Rimuovi colonne dal menu Visualizza.

  5. In Colonne disponibili fare clic su Chiave archiviata e quindi su Aggiungi.

    Chiave archiviata dovrebbe ora essere visualizzato inColonne visualizzate.

  6. Fare clic su OK e quindi, nel riquadro dei dettagli, scorrere verso destra e verificare che per l'ultimo certificato rilasciato all'utente sia presente il valore Sì nella colonna Chiave archiviata.

  7. Fare doppio clic sul certificato.

  8. Fare clic sulla scheda Dettagli. Prendere nota del numero di serie del certificato, senza includere gli spazi tra le coppie di cifre. Queste informazioni saranno necessarie per completare la procedura di recupero.

    Il numero di serie sarà una stringa esadecimale lunga 20 caratteri. Il numero di serie della chiave privata corrisponde al numero di serie del certificato. Nella descrizione della procedura, si farà riferimento al numero di serie con il termine serialnumber.

  9. Fare clic su OK e chiudere lo snap-in Autorità di certificazione.

  10. Al prompt dei comandi digitare:

    Certutil -getkey <serialnumber> outputblob
    Nota

    La sezione Informazioni destinatario dell'output di questo comando contiene i numeri di serie dei certificati degli agenti di recupero chiavi le cui chiavi private sono necessarie per decrittografare il BLOB e recuperare la chiave.

  11. Al prompt dei comandi digitare:

    dir outputblob
    Nota

    Se il file outputblob non esiste, è possibile che il numero di serie del certificato sia stato digitato in modo errato. Il file outputblob è un file PKCS #7 contenente i certificati degli agenti di recupero chiavi e il certificato e la catena dell'utente. Il contenuto interno è un file PKCS #7 crittografato contenente la chiave privata, crittografata con i certificati degli agenti di recupero chiavi.

L'amministratore di dominio deve trasferire il file di output all'agente di recupero chiavi, che esegue l'effettiva procedura di recupero.

Per eseguire questa procedura, è necessario essere un utente con un certificato di agente di recupero chiavi registrato con la CA. Il certificato dell'agente di recupero chiavi deve essere archiviato nell'archivio certificati personali dell'agente sul computer dove si eseguirà la procedura di recupero chiavi. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per recuperare il certificato archiviato

  1. Al prompt dei comandi digitare:

    Certutil -recoverkey outputblob <filename>.pfx

  2. Quando richiesto, immettere una nuova password, quindi confermarla digitandola una seconda volta.

  3. Copiare il file PFX salvato nel computer dove si eseguirà il recupero.

  4. Chiudere tutte le finestre e disconnettersi dal computer.

Dopo aver recuperato la chiave, è necessario importarla nel computer in cui sono archiviati i dati.

Per eseguire questa procedura è necessario essere il client al quale era stato rilasciato il certificato o un amministratore del computer client. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per importare la chiave recuperata

  1. Aprire lo snap-in certificati dell'utente al quale era stato rilasciato il certificato.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Personale, scegliere Tutte le attività e quindi fare clic su Importa.

  3. Nell'Importazione guidata certificati fare clic su Avanti.

  4. In Nome file digitare il percorso e il nome del file PFX e quindi fare clic su Avanti.

  5. In Password digitare la password inserita nella procedura precedente e quindi fare clic su Avanti.

  6. Nella pagina Archivio certificati fare clic su Selezionare automaticamente l'archivio certificati secondo il tipo di certificato e quindi fare clic su Avanti.

  7. Nella pagina Completamento dell'Importazione guidata certificati fare clic su Fine.

  8. Per verificare l'avvenuta importazione del certificato recuperato, nell'albero della console fare doppio clic su Personale e quindi fare clic su Certificati.

  9. Fare doppio clic sul certificato. Fare clic sulla scheda Dettagli e quindi verificare che il numero di serie corrisponda all'originale.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

Ulteriori riferimenti

  • Gestire l'archiviazione e il recupero delle chiavi


Gestire i moduli criteri e uscita

I moduli criteri determinano se una richiesta di certificato deve essere approvata, negata o posta in sospeso in modo automatico. I moduli uscita offrono l'opportunità di eseguire determinate attività dopo il rilascio di un certificato.

Servizi certificati Active Directory comprende un modulo criteri (Certpdef.dll) e un modulo uscita (Certxds.dll). Il modulo criteri contiene due criteri distinti: dell'organizzazione (enterprise) e autonomo (Standalone). Per confrontare le Autorità di certificazione (CA) che utilizzano criteri enterprise con quelle che utilizzano criteri standalone, vedere Autorità di certificazione dell'organizzazione (enterprise) e Autorità di certificazione autonome (Standalone).

L'amministratore della CA può sostituire questi moduli predefiniti con moduli criteri e uscita personalizzati o di un altro fornitore. Inoltre, se è stato eseguito l'aggiornamento a Servizi certificati Active Directory di Windows Server 2008 R2 o Windows Server 2008 da Servizi certificati di una versione precedente di Windows, è possibile utilizzare lo stesso modulo criteri utilizzato prima dell'aggiornamento. Quando si visualizzano le proprietà della CA, il modulo criteri verrà elencato come modulo criteri legacy oppure con il nome originale, a seconda delle modalità con le quali era stato creato.

Modulo criteri

Il modulo criteri di una CA basata su Windows Server 2008 R2 determina l'azione predefinita della CA alla ricezione di una richiesta di certificato: approva, nega o poni in sospeso.

Nella maggior parte dei casi è consigliabile che l'amministratore di una CA autonoma (Standalone) ponga in sospeso tutte le richieste di certificati in ingresso. In caso contrario, poiché la CA autonoma non verifica l'identità dei richiedenti attraverso Servizi di dominio Active Directory, non vi è modo di verificare l'identità e la validità del richiedente il certificato.

Nella CA può essere caricato un solo modulo criteri alla volta.

Modulo uscita

Il modulo uscita di una CA basata su Windows Server 2008 R2 può essere configurato per eseguire le seguenti funzioni:

  • Inviare un messaggio di posta elettronica quando si verifica un evento di certificazione.

  • Pubblicare certificati nel file system.

Questo elenco non esaurisce tutte le funzioni del modulo uscita. A differenza di ciò che avviene con il modulo criteri, più moduli uscita possono essere utilizzati contemporaneamente da una CA.

Personalizzare i moduli criteri e uscita dei Servizi certificati Active Directory

Per configurare le impostazioni dei moduli criteri e uscita predefiniti, vedere Configurare i moduli criteri e uscita.

Per configurare le opzioni per l'invio di messaggi di posta elettronica, vedere Inviare un messaggio di posta elettronica quando si verifica un evento di certificazione.

Servizi certificati Active Directory comprende interfacce programmabili che consentono agli sviluppatore di creare moduli criteri personalizzati. Per ulteriori informazioni sull'architettura di Servizi certificati, visitare la pagina all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91405.

Se si è creato un modulo criteri personalizzato e si desidera cambiare il modulo criteri, vedere Selezionare un modulo criteri diverso.

Se si è creato un modulo uscita personalizzato e si desidera cambiare o aggiungere un modulo uscita, vedere Selezionare un modulo uscita diverso.


Configurare i moduli criteri e uscita

L'amministratore di un'Autorità di certificazione (CA) può configurare le impostazioni dei moduli criteri e uscita predefiniti di Servizi certificati Active Directory mediante lo snap-in Autorità di certificazione.

È possibile configurare le impostazioni di modulo criteri seguenti:

  • L'azione predefinita della CA alla ricezione di una richiesta di certificato valida. È possibile specificare se una CA autonoma (Standalone) deve contrassegnare le richieste di certificati in ingresso come in sospeso oppure deve rilasciare automaticamente il certificato. Nella maggior parte dei casi, per ragioni di sicurezza, è consigliabile che tutte le richieste di certificati in ingresso in una CA autonoma (Standalone) siano poste in sospeso.

    Per modificare l'azione predefinita di una CA alla ricezione di una richiesta di certificato, vedere Impostare l'azione predefinita alla ricezione di una richiesta di certificato.

È possibile configurare le impostazioni di modulo uscita seguenti:

  • Consentire la pubblicazione dei certificati nel file system. È possibile selezionare se consentire la pubblicazione dei certificati nel file system. La pubblicazione effettiva avviene solo se nella richiesta di certificato è specificato il percorso del file system in cui pubblicare il certificato.

    Per consentire o proibire la pubblicazione dei certificati nel file system, vedere Pubblicare certificati nel file system.

  • Inviare un messaggio di posta elettronica quando si verifica un evento di certificazione. È possibile configurare la CA per l'invio di un messaggio di posta elettronica quando si verifica un evento di certificazione, ad esempio il rilascio di un certificato o l'impostazione sullo stato in sospeso di una richiesta di certificato.

    Per configurare le opzioni per l'invio di messaggi di posta elettronica, vedere Inviare un messaggio di posta elettronica quando si verifica un evento di certificazione.

Ulteriori riferimenti

  • Gestire i moduli criteri e uscita


Selezionare un modulo criteri diverso

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per selezionare un modulo criteri diverso

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Modulo criterio fare clic su Seleziona.

  5. Fare clic sul nuovo modulo criteri e quindi su OK.

  6. Se il modulo criteri dispone di una propria interfaccia di configurazione, è possibile configurarlo facendo clic su Proprietà.

  7. Arrestare e riavviare l'Autorità di certificazione.

Ulteriori considerazioni

  • Per registrare un nuovo modulo criteri in modo che sia disponibile nell'elenco dei moduli criteri, visitare la pagina sull'architettura di Servizi certificati all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91405.

  • Può essere attivo un solo modulo criteri alla volta.

  • Per arrestare e riavviare la CA, al prompt dei comandi digitare:

    net stop certsvc
net start certsvc

Ulteriori riferimenti

  • Gestire i moduli criteri e uscita


Selezionare un modulo uscita diverso

I moduli uscita offrono l'opportunità di eseguire determinate attività dopo il rilascio di un certificato. È possibile sostituire il modulo uscita predefinito con un modulo uscita diverso. Per registrare un nuovo modulo uscita in modo che sia disponibile nell'elenco dei moduli uscita, visitare la pagina sui moduli uscita all'indirizzo http://go.microsoft.com/fwlink/?LinkId=91407.

Nota

È possibile attivare contemporaneamente più moduli uscita.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per selezionare un modulo uscita diverso

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Modulo uscita fare clic su Aggiungi.

  5. Fare clic sul nuovo modulo uscita e quindi su OK.

  6. Se il modulo uscita dispone di una propria interfaccia di configurazione, è possibile configurarlo facendo clic su Proprietà.

  7. Arrestare e riavviare Servizi certificati Active Directory.

Ulteriori riferimenti

  • Gestire i moduli criteri e uscita


Proteggere una CA dalla perdita di dati

Un'Autorità di certificazione (CA) è una risorsa importante per qualsiasi organizzazione. È pertanto importante prevenire i problemi potenziali, quali gli errori del disco rigido o il danneggiamento del database, mediante l'esecuzione regolare di backup e ripristini della CA. Il backup completo di un server comprende anche il backup della CA installata sul server. È comunque possibile eseguire il backup e il ripristino limitati alla sola CA. Inoltre, in caso di hardware non recente, può essere consigliabile decidere di spostare una CA su un nuovo hardware, sia per migliorare le prestazioni, sia per dismettere l'hardware più datato prima che si verifichi un errore di un componente critico.

  • Eseguire il backup di un'Autorità di certificazione

  • Ripristinare una CA da una copia di backup


Eseguire il backup di un'Autorità di certificazione

È possibile eseguire il backup di un'Autorità di certificazione (CA) senza dover eseguire il backup dell'intero server sul quale è installata la CA. Nella maggior parte dei casi è tuttavia consigliabile utilizzare lo snap-in Backup per eseguire il backup e il ripristino della CA e del server allo stesso tempo.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un membro del gruppo Backup Operators oppure di un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per eseguire il backup di una CA mediante lo snap-in Autorità di certificazione

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Tutte le attività dal menu Azione e fare clic su Esegui backup CA.

  4. Seguire le istruzioni visualizzate durante il Backup guidato Autorità di certificazione.

È inoltre possibile eseguire il backup della CA mediante lo strumento da riga di comando Certutil.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un membro del gruppo Backup Operators oppure di un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per eseguire il backup di una CA mediante Certutil

  • Al prompt dei comandi digitare:

    certutil -backup <BackupDirectory>

    BackupDirectory è il percorso utilizzato per archiviare i dati di backup.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

Ulteriori riferimenti

  • Proteggere una CA dalla perdita di dati


Ripristinare una CA da una copia di backup

In generale, è consigliabile utilizzare lo snap-in Backup per eseguire il backup e il ripristino di un'Autorità di certificazione (CA) e del server allo stesso tempo. In alcune situazioni, tuttavia, può essere preferibile ripristinare unicamente una CA, senza eseguire il ripristino dell'intero server sul quale la CA è installata.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un membro del gruppo Backup Operators oppure di un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per ripristinare una CA da una copia di backup mediante lo snap-in Autorità di certificazione

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Tutte le attività dal menu Azione e fare clic su Ripristina CA.

  4. Seguire le istruzioni visualizzate durante il Ripristino guidato Autorità di certificazione.

È inoltre possibile eseguire questa procedura mediante lo strumento da riga di comando Certutil.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un membro del gruppo Backup Operators oppure di un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per ripristinare una CA da una copia di backup mediante Certutil

  • Al prompt dei comandi digitare:

    certutil -restore <BackupDirectory>

    BackupDirectory specifica il percorso dei dati di backup.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

Ulteriori riferimenti

  • Proteggere una CA dalla perdita di dati


Attività di gestione ricorrenti

Le attività seguenti verranno probabilmente eseguite su base giornaliera, settimanale o con altra periodicità frequente.

  • Gestire le registrazioni dei certificati

  • Gestire la revoca dei certificati


Gestire le registrazioni dei certificati

L'amministratore di un'Autorità di certificazione (CA) può gestire la registrazione dei certificati nei modi seguenti:

  • Configurare le opzioni di registrazione e registrazione automatica certificati nei modelli di certificato. Per ulteriori informazioni, vedere la pagina relativa all'emissione di certificati basati su modelli (http://go.microsoft.com/fwlink/?LinkId=142333.

  • Attivare le opzioni di registrazione automatica certificati in Criteri di gruppo. Per ulteriori informazioni, vedere Configurare la registrazione automatica dei certificati.

  • Configurare le opzioni predefinite di gestione richieste per la CA. Per ulteriori informazioni, vedere Impostare l'azione predefinita alla ricezione di una richiesta di certificato.

    Nota

    È possibile specificare se una CA autonoma (Standalone) deve contrassegnare le richieste di certificati in ingresso come in sospeso oppure deve rilasciare automaticamente il certificato. Nella maggior parte dei casi, per ragioni di sicurezza, è consigliabile che tutte le richieste di certificati in ingresso in una CA autonoma siano contrassegnate come in sospeso.

  • Scegliere se consentire la pubblicazione dei certificati nel file system. La pubblicazione effettiva avviene solo se nella richiesta di certificato è specificato il percorso del file system in cui pubblicare il certificato. Per ulteriori informazioni, vedere Pubblicare certificati nel file system.

  • Valutare le richieste di certificati in sospeso e intraprendere le azioni opportune. Per ulteriori informazioni, vedere Rivedere richieste di certificati in sospeso.

Ulteriori riferimenti

  • Attività di gestione ricorrenti


Configurare la registrazione automatica dei certificati

Molti certificati possono essere distribuiti senza che il client riceva alcuna informazione sul processo di registrazione. Tra questi, la maggior parte dei tipi di certificati rilasciati a computer e servizi, così come molti certificati rilasciati agli utenti.

Per registrare automaticamente certificati per i client in un ambiente di dominio, è necessario:

  • Configurare un modello di certificato con le autorizzazioni di registrazione automatica. Per ulteriori informazioni, vedere la pagina relativa all'emissione di certificati basati su modelli (http://go.microsoft.com/fwlink/?LinkId=142333.

  • Configurare un criterio di registrazione automatica per il dominio.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare i Criteri di gruppo di registrazione automatica per un dominio

  1. In un controller di dominio che esegue Windows Server 2008 R2 o Windows Server 2008 fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo.

  2. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  3. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  4. In Console Gestione Criteri di gruppo passare a Configurazione utente, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  5. Fare doppio clic su Client Servizi certificati - registrazione automatica.

  6. Selezionare la casella di controllo Registra i certificati automaticamente per attivare la registrazione automatica. Se si desidera impedire la registrazione automatica, selezionare la casella di controllo Non effettuare la registrazione automatica dei certificati.

  7. Se si attiva la registrazione automatica dei certificati, sono disponibili le seguenti opzioni:

    • Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati attiva la registrazione automatica per il rinnovo dei certificati, l'emissione di certificati con richiesta in sospeso e la rimozione automatica di certificati revocati dall'archivio certificati di un utente.

    • Aggiorna i certificati che utilizzano modelli di certificato attiva la registrazione automatica per l'emissione di certificati in sostituzione di certificati emessi.

  8. Fare clic su OK per accettare le modifiche.

Ulteriori riferimenti

  • Gestire le registrazioni dei certificati


Impostare l'azione predefinita alla ricezione di una richiesta di certificato

È possibile configurare il modulo criteri in modo che approvi automaticamente tutte le richieste di certificati oppure che ponga le richieste in sospeso in attesa che un amministratore le riveda e intraprenda le azioni opportune. La scelta dipenderà probabilmente dalle implicazioni di sicurezza dei certificati rilasciati, dai destinatari dei certificati e da altri fattori.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per impostare l'azione predefinita alla ricezione di una richiesta di certificato

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Modulo criteri fare clic su Proprietà.

  5. Selezionare l'opzione desiderata.

    • Per fare in modo che l'amministratore della CA riveda ogni richiesta di certificato prima del rilascio, selezionare Imposta lo stato della richiesta certificato in modo che risulti in sospeso.

    • Per fare in modo che la CA rilasci i certificati in base alla configurazione del modello di certificato, selezionare Utilizza le impostazioni contenute nel modello di certificato. Altrimenti, emetti automaticamente il certificato.

  6. Arrestare e riavviare l'Autorità di certificazione.
Attenzione

Nella maggior parte dei casi, per ragioni di sicurezza, è consigliabile che tutte le richieste di certificati in ingresso in una CA autonoma (Standalone) siano poste in sospeso. Diversamente dalle CA dell'organizzazione (enterprise), le CA autonome (Standalone) non utilizzano Servizi di dominio Active Directory, anche se disponibile, per verificare se un determinato utente o computer è autorizzato a ottenere automaticamente un certificato dalla CA. Nel caso delle CA autonome, l'amministratore della CA è responsabile della verifica dell'identità del richiedente del certificato.

Se si modificano le impostazioni da Imposta lo stato della richiesta certificato in modo che risulti in sospeso a Utilizza le impostazioni contenute nel modello di certificato. Altrimenti, emetti automaticamente il certificato, le nuove impostazioni verranno applicate solo alle richieste di certificati inviate alla CA dopo la modifica dell'azione predefinita. Se la CA ha richieste in sospeso, queste rimarranno in sospeso finché l'amministratore della CA rilascerà i certificati o negherà le richieste.

Ulteriori riferimenti

  • Gestire le registrazioni dei certificati

  • Rivedere richieste di certificati in sospeso


Rivedere richieste di certificati in sospeso

Uno dei compiti più importanti e comuni di un amministratore o di un gestore di certificati di un'Autorità di certificazione (CA) consiste nel rivedere le richieste di certificati in sospeso per decidere se il certificato richiesto deve essere rilasciato o meno.

Nella maggior parte dei casi, per ragioni di sicurezza, è consigliabile che tutte le richieste di certificato in ingresso in una CA autonoma (Standalone) siano poste in sospeso. Diversamente dalle CA dell'organizzazione (enterprise), le CA autonome (Standalone) non utilizzano Servizi di dominio Active Directory, anche se disponibile, per verificare se un determinato utente o computer è autorizzato a ottenere automaticamente un certificato dalla CA. Nel caso delle CA autonome, l'amministratore della CA è responsabile della verifica dell'identità del richiedente del certificato.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un gestore di certificati. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per rivedere le richieste di certificati in sospeso

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic su Richieste in sospeso.

  3. Nel riquadro dei dettagli esaminare ogni richiesta di certificato, in particolare i valori del nome del richiedente, dell'indirizzo di posta elettronica del richiedente e di qualsiasi altro campo che si ritiene contenga informazioni critiche per il rilascio del certificato.

Ulteriori considerazioni

  • È anche possibile rilasciare certificati per richieste non riuscite utilizzando la stessa procedura nel contenitore Richieste non riuscite. Non è tuttavia possibile verificare tutti i requisiti di sicurezza per un certificato rilasciato in seguito a una richiesta non riuscita. Occorre quindi usare cautela.

Ulteriori riferimenti

  • Gestire le registrazioni dei certificati

  • Impostare l'azione predefinita alla ricezione di una richiesta di certificato


Pubblicare certificati nel file system

Per pubblicare i certificati rilasciati nel file system è possibile utilizzare la procedura seguente.

Per richiedere un certificato e ottenerne la pubblicazione nel file system, è necessario includere l'attributo certfile:true nella richiesta. Dopo il rilascio, il certificato viene copiato in FileName.cer, dove FileName è l'ID della richiesta di certificato.

Il file viene copiato nella cartella CertEnroll dell'Autorità di certificazione (CA).

Nota

Non è possibile utilizzare questo metodo per sovrascrivere i file.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per pubblicare certificati nel file system

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Modulo uscita fare clic su Proprietà.

  5. Nella scheda Impostazioni pubblicazione selezionare la casella di controllo Consenti la pubblicazione di certificati nel file system e quindi fare clic su OK.

  6. Arrestare e riavviare l'Autorità di certificazione.

Ulteriori riferimenti

  • Gestire le registrazioni dei certificati


Gestire la revoca dei certificati

I certificati possono essere revocati qualora:

  • La chiave sia stata compromessa.

  • L'Autorità di certificazione (CA) che ha rilasciato il certificato sia stata compromessa.

  • Il certificato non sia più valido per lo scopo per il quale era stato rilasciato, oppure sia stato sostituito da un altro certificato.

  • Il client abbia perso i requisiti per il certificato.

Per eseguire questa procedura, è necessario essere un amministratore della CA o un gestore di certificati. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per revocare un certificato

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic su Certificati emessi.

  3. Nel riquadro dei dettagli fare clic sul certificato che si desidera revocare.

  4. Scegliere Tutte le attività dal menu Azione e fare clic su Revoca certificato.

  5. Selezionare il motivo della revoca del certificato, regolare l'ora della revoca, se necessario, e quindi fare clic su Sì.

Sono disponibili i codici motivo seguenti:

  • Non specificato

  • Compromissione chiave

  • Compromissione CA

  • Modifica affiliazione

  • Sostituito

  • Termine operazione

  • Sospensione certificato

Se si specifica "Sospensione certificato" come motivo della revoca del certificato, ciò significa in genere che si prevede di annullare la revoca in futuro. È possibile annullare la revoca solo dei certificati revocati con motivo "Sospensione certificato".

Per eseguire questa procedura, è necessario essere un amministratore della CA o un gestore di certificati. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per annullare la revoca di un certificato

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic su Certificati revocati.

  3. Nel riquadro dei dettagli fare clic sul certificato per il quale si desidera annullare la revoca.

  4. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Annulla revoca del certificato.

  5. Selezionare il motivo dell'annullamento della revoca, regolare l'ora della revoca, se necessario, e quindi fare clic su Sì.

Per essere significativa, la revoca di un certificato deve essere accompagnata dalla pubblicazione e distribuzione dei dati della revoca.

Ulteriori riferimenti

  • Configurare la revoca di un certificato


Utilizzare il servizio Registrazione dispositivi di rete

Il servizio Registrazione dispositivi di rete consente al software dei router e di altri dispositivi di rete che non dispone di credenziali di dominio di ottenere certificati tramite il protocollo SCEP (Simple Certificate Enrollment Protocol).

Nota

Il protocollo SCEP è stato sviluppato per supportare il rilascio sicuro e scalabile di certificati ai dispositivi di rete tramite Autorità di certificazione (CA) esistenti. Il protocollo supporta la distribuzione delle chiavi pubbliche di Autorità di certificazione e di registrazione, la registrazione di certificati, la revoca di certificati, le query sui certificati e le query sulle revoche di certificati.

Il servizio Registrazione dispositivi di rete svolge le seguenti funzioni:

  • Genera e fornisce agli amministratori password di registrazione singole.

  • Invia alla CA richieste di registrazione SCEP.

  • Recupera i certificati registrati dalla CA e li inoltra al dispositivo di rete.

La registrazione di un certificato con il servizio Registrazione dispositivi di rete coinvolge il software utilizzato per gestire il dispositivo di rete, l'Autorità di registrazione, il computer che ospita il servizio Registrazione dispositivi di rete e la CA.

Per eseguire questa procedura è necessario essere l'Autorità di registrazione della CA e un amministratore del dispositivo di rete. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per richiedere e registrare un certificato tramite il servizio Registrazione dispositivi di rete

  1. Eseguire il software utilizzato per gestire il dispositivo di rete e utilizzarlo per generare una coppia di chiavi RSA pubblica/privata configurate per uno degli scopi seguenti:

    • Firma e verifica della firma

    • Crittografia e decrittografia

    • Firma., verifica della firma, crittografia e decrittografia

  2. Utilizzare il software del dispositivo per inoltrare questa coppia di chiavi all'Autorità di registrazione sul computer che ospita il servizio Registrazione dispositivi di rete.

  3. Aprire un Web browser e passare all'indirizzo http://localhost/certsrv/mscep_admin.

  4. Se la tabella delle password non è piena, il servizio Registrazione dispositivi di rete creerà una password casuale e la incorporerà in una pagina HTML che verrà restituita al chiamante.

    Nota

    Ogni volta che ci si connette a questo URL, viene visualizzata una password di verifica diversa. Ogni password di verifica è valida per 60 minuti e può essere utilizzata una sola volta.

  5. Utilizzare il software del dispositivo, insieme alla password, per inviare una richiesta di certificato attraverso il servizio Registrazione dispositivi di rete, che inoltra la richiesta alla CA.

  6. Se la richiesta di registrazione ha esito positivo, il certificato richiesto verrà restituito al dispositivo dalla CA attraverso il servizio Registrazione dispositivi di rete.

Per impostazione predefinita, il servizio Registrazione dispositivi di rete può memorizzare nella cache solo cinque password alla volta. Se la cache delle password è piena quando si invia una richiesta di password, è necessario eseguire una delle operazioni seguenti prima di inviare nuovamente la richiesta:

  • Attendere che una delle password sia scaduta prima di inviare una nuova richiesta.

  • Arrestare e riavviare Internet Information Services (IIS)) per eliminare tutte le password archiviate nella cache.

  • Configurare il servizio per la memorizzazione nella cache di più di cinque password alla volta.

Ulteriori riferimenti

  • Gestire un'Autorità di certificazione

  • Configurare il servizio Registrazione dispositivi di rete


Utilizzare i criteri per gestire Servizi certificati Active Directory

In un ambiente Servizi di dominio Active Directory è possibile utilizzare Criteri di gruppo di dominio per gestire i tipi seguenti di attività relative ai certificati:

  • Credenziali mobili

  • Registrazione automatica dei certificati

  • Convalida del percorso dei certificati

  • Distribuzione dei certificati

Credenziali mobili

Le credenziali mobili consentono l'archiviazione indipendente dal profilo utente e l'utilizzo su qualsiasi computer della rete di certificati X.509, richieste di certificati e chiavi private specifiche di un utente di Servizi di dominio Active Directory.

I certificati digitali e le chiavi private interessano quantità relativamente piccole di dati da archiviare in modo sicuro. Grazie ai criteri per le credenziali mobili è possibile gestire l'utilizzo di queste credenziali su più computer in modo rispondente ai requisiti relativi a dimensioni e archiviazione sicura dei certificati digitali e delle chiavi private. In Windows Server 2008 R2 e Windows Server 2008, i criteri per le credenziali mobili includono il roaming non solo di certificati e chiavi, ma anche di nomi utente e password archiviati.

Per ulteriori informazioni, vedere Abilitare le credenziali mobili.

Per ulteriori informazioni sulle credenziali mobili e sulle principali differenze tra le relative implementazioni in Windows Server 2008, Windows Server 2003, Windows Vista e Windows XP, vedere la pagina sulle credenziali mobili per la configurazione dei client di Servizi certificati e la risoluzione dei relativi problemi all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85332.

Registrazione automatica dei certificati

In molte organizzazioni viene utilizzato Criteri di gruppo per registrare automaticamente certificati per utenti, computer e servizi.

Per ulteriori informazioni, vedere Configurare la registrazione automatica dei certificati.

Convalida del percorso dei certificati

Con il diffondersi dell'utilizzo dei certificati per la sicurezza delle comunicazioni e dei dati, gli amministratori possono utilizzare criteri di attendibilità dei certificati per migliorare il controllo dell'utilizzo dei certificati e delle prestazioni dell'infrastruttura a chiave pubblica mediante le opzioni di convalida del percorso dei certificati.

Le impostazioni di convalida del percorso dei certificati in Criteri di gruppo consente agli amministratori di gestire gli archivi, gli autori attendibili, il recupero dalla rete e la verifica delle revoche.

Per ulteriori informazioni, vedere Gestire la convalida del percorso dei certificati.

Distribuzione dei certificati

Le funzioni di distribuzione dei certificati in Criteri di gruppo rappresentano uno strumento utile per la gestione dell'attendibilità dei certificati in un'organizzazione. Consentono infatti di garantire che determinati certificati siano attendibili e che la creazione della catena di certificati avvenga con il minimo intervento da parte degli utenti. È inoltre possibile bloccare l'utilizzo dei certificati che non possono essere revocati direttamente in quanto rilasciati da un'Autorità di certificazione (CA) esterna.

Per ulteriori informazioni, vedere Utilizzare i criteri per distribuire i certificati.

Ulteriori riferimenti

  • Gestire un'Autorità di certificazione


Abilitare le credenziali mobili

Per utilizzare le credenziali mobili, tutti i controller di dominio dell'organizzazione devono eseguire Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 Service Pack 1 (SP1). I client utilizzati per le credenziali mobili, inoltre, devono eseguire Windows 7, Windows Vista, Windows XP Service Pack 2 (SP2), Windows Server 2003 SP1 oppure Windows Server 2008.

Se nell'ambiente Active Directory è presente almeno un controller di dominio che esegue Windows Server 2008 R2 o Windows Server 2008, è possibile utilizzare Criteri di gruppo per configurare le credenziali mobili.

Se non è presente un controller di dominio che esegue Windows Server 2008 R2o Windows Server 2008, è necessario completare le procedure seguenti prima di configurare le credenziali mobili tramite Criteri di gruppo:

  1. Preparare Servizi di dominio Active Directory. Servizi di dominio Active Directory deve essere preparato per archiviare i certificati degli utenti, le chiavi e le chiavi master DPAPI (Data Protection Application Programming Interface).

  2. Escludere le directory nei profili mobili. Se si utilizzano i profili mobili, è necessario escludere dal roaming determinate directory per evitare conflitti con le credenziali mobili.

  3. Installare il modello ADM di Criteri di gruppo. Le credenziali mobili verranno attivate mediante un modello ADM di Criteri di gruppo che imposta i valori del registro di sistema appropriati su un computer client.

Per assistenza su questi passaggi preparatori nelle reti con controller di dominio che eseguono ancora Windows Server 2003, visitare la pagina sulle credenziali mobili per la configurazione dei client di Servizi certificati e la risoluzione dei relativi problemi all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85332.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Enterprise Admins o Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare le credenziali mobili per un dominio mediante Criteri di gruppo

  1. In un controller di dominio che esegue Windows Server 2008 R2 o Windows Server 2008 fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo.

  2. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  3. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  4. In Console Gestione Criteri di gruppo passare a Configurazione utente, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  5. Fare doppio clic su Client Servizi certificati - Credenziali mobili.

  6. Fare clic su Attivate per configurare le credenziali mobili o su Disattivate per bloccarne l'uso.

  7. Se si è fatto clic su Attivate, sarà inoltre possibile personalizzare le opzioni seguenti:

    • Durata massima delle credenziali contrassegnate per la rimozione definitiva espressa in giorni. Consente di definire il tempo per il quale una credenziale mobile rimarrà in Servizi di dominio Active Directory per un certificato o una chiave eliminati localmente.

    • Numero massimo di credenziali mobili per utente. Consente di delfine il numero massimo di certificati e chiavi utilizzabili con le credenziali mobili.

    • Dimensioni massime (in byte) di una credenziale mobile. Consente di limitare il roaming per le credenziali che superano le dimensioni specificate.

    • Rendi comuni password e nomi utente archiviati. Consente di includere o escludere i nomi utente e le password archiviati dai criteri relativi alle credenziali mobili.

  8. Fare clic su OK per accettare le modifiche.

Le opzioni predefinite per le credenziali mobili descritte nel passaggio 7 sono adeguate per molte organizzazioni. Le credenziali mobili possono tuttavia avere un effetto significativo sulle dimensioni del database di Active Directory se un'organizzazione ha un gran numero di utenti e credenziali. Per informazioni che possono aiutare a valutare l'impatto potenziale delle credenziali mobili su un database di Active Directory, visitare la pagina sulle credenziali mobili per la configurazione dei client di Servizi certificati e la risoluzione dei relativi problemi all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85332.

Ulteriori riferimenti

  • Utilizzare i criteri per gestire Servizi certificati Active Directory


Gestire la convalida del percorso dei certificati

Le impostazioni di convalida del percorso dei certificati in Windows Server 2008 R2 e Windows Server 2008 consentono di gestire le impostazioni per l'individuazione e la convalida del percorso dei certificati per tutti gli utenti di un dominio. È possibile utilizzare Criteri di gruppo per configurare e gestire facilmente queste impostazioni di convalida dei certificati. Di seguito sono elencate alcune delle attività che è possibile eseguire con queste impostazioni:

  • Distribuire certificati di Autorità di certificazione intermedie (CA).

  • Bloccare certificati non attendibili.

  • Gestire i certificati utilizzati per la firma del codice.

  • Configurare le impostazioni di recupero per i certificati e gli elenchi di revoche di certificati (CRL).

Le impostazioni di convalida del percorso dei certificati sono disponibili in Criteri di gruppo, nel percorso seguente: Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza\Criteri chiave pubblica.

Quando si fa doppio clic su Impostazioni di convalida percorso certificati in questa posizione, saranno disponibili opzioni aggiuntive nelle schede seguenti:

  • Archivi

  • Autori attendibili

  • Recupero dalla rete

  • Revoca

La procedura seguente descrive come configurare le impostazioni di convalida del percorso dei certificati. Le sezioni successive descriveranno le impostazioni in ciascuna di queste aree.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare i Criteri di gruppo di convalida percorso per un dominio

  1. In un controller di dominio fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo.

  2. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  3. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  4. In Console Gestione Criteri di gruppo passare a Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  5. Fare doppio clic su Impostazioni di convalida percorso certificati e quindi fare clic sulla scheda Archivi.

  6. Selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  7. Configurare le impostazioni facoltative da applicare.

  8. Terminate le modifiche, è possibile selezionare una scheda diversa per modificare altre impostazioni, oppure fare clic su OK per applicare le nuove impostazioni.

Scheda Archivi

In alcuni casi si desidera impedire agli utenti del dominio di configurare i propri certificati radice attendibili e di decidere quali certificati radice all'interno dell'organizzazione considerare attendibili. La scheda Archivi può essere utilizzata a questo scopo.

Nella scheda Archivi sono disponibili le opzioni seguenti:

  • Consenti utilizzo di CA radice disponibili nell'elenco locale per la convalida dei certificati. Deselezionare questa casella di controllo per impedire agli utenti di decidere quali certificati CA radice utilizzare per la convalida dei certificati. Sebbene questa opzione possa aiutare a evitare che gli utenti considerino attendibili e convalidino certificati provenienti da una catena non sicura, può anche causare errori nelle applicazioni o indurre gli utenti a ignorare i certificati radice come mezzo di convalida dei certificati che vengono loro presentati.

  • Consenti agli utenti di considerare attendibili i certificati per peer disponibili nell'elenco locale. Deselezionare questa casella di controllo per impedire agli utenti di decidere quali certificati per peer considerare attendibili. Sebbene questa opzione possa aiutare a evitare che gli utenti considerino attendibili certificati provenienti da un'origine non sicura, può anche causare errori nelle applicazioni o indurre gli utenti a ignorare i certificati come mezzo di verifica dell'attendibilità. È inoltre possibile selezionare gli scopi, ad esempio la firma o la crittografia, per i quali possono essere utilizzati i certificati per peer disponibili nell'elenco locale.

  • CA radice disponibili nell'elenco locale per i computer client. In questa sezione è possibile specificare CA radice che gli utenti del dominio possono considerare attendibili:

    • CA radice di terze parti e CA radice dell'organizzazione (enterprise). Se si includono CA radice non Microsoft e dell'organizzazione, si amplia la gamma di certificati CA radice che un utente può considerare attendibili.

    • Solo CA radice dell'organizzazione (enterprise). Se si specificano solo le CA radice dell'organizzazione, si limita l'attendibilità ai certificati rilasciati da un'Autorità di certificazione dell'organizzazione (enterprise) interna, che utilizza Servizi di dominio Active Directory per ottenere informazioni di autenticazione e per pubblicare i certificati.

  • CA compatibili con i requisiti per i nomi principali dell'utente (UPN). Anche queste impostazioni limitano l'attendibilità alle CA dell'organizzazione (enterprise) interne. Il vincolo relativo al nome dell'entità utente impedisce inoltre all'utente di considerare attendibili certificati relativi all'autenticazione non conformi alle condizioni relative ai nomi dell'entità utente.

Potrebbe inoltre essere consigliabile identificare e distribuire certificati radice attendibili specifici ai fini di scenari di utilizzo in cui sono necessarie relazioni di attendibilità aggiuntive. Per individuare i certificati radice attendibili da distribuire ai client del dominio, vedere Utilizzare i criteri per distribuire i certificati.

Scheda Autori attendibili

La firma del software viene utilizzata da un numero crescente di autori e sviluppatori di applicazioni per attestare che i rispettivi prodotti provengono da una fonte attendibile. Molti utenti tuttavia non comprendono o trascurano i certificati di firma associati alle applicazioni che installano.

Le opzioni relative ai criteri nella scheda Autori attendibili del criterio di convalida del percorso dei certificati consente di controllare chi può prendere decisioni sugli autori attendibili:

  • Administrators e utenti

  • Solo amministratori

  • Solo amministratori dell'organizzazione

Le opzioni relative ai criteri presenti in questa scheda consentono inoltre di imporre che per i certificati degli autori attendibili venga verificato che:

  • Non siano stati revocati

  • Abbiano timestamp validi

Scheda Recupero dalla rete

Per essere efficaci, i dati relativi ai certificati, come gli elenchi di revoche di certificati (CRL) e i certificati del programma Microsoft Root Certificate devono essere aggiornati regolarmente. È tuttavia possibile che si verifichino problemi se il controllo di convalida e il recupero dei dati di revoca e dei certificati incrociati si interrompono a causa del trasferimento di quantità di informazioni maggiori del previsto.

Le impostazioni di recupero dalla rete consentono agli amministratori di:

  • Aggiornare automaticamente i certificati nel programma Microsoft Root Certificate.

  • Configurare valori di timeout per il recupero dei CRL e per la convalida del percorso. Valori predefiniti elevati possono risultare utili in condizioni di rete non ottimali.

  • Abilitare il recupero dei certificati delle Autorità di certificazione durante la convalida del percorso.

  • Definire la frequenza di download dei certificati incrociati.

Scheda Revoca

Per consentire la verifica delle revoche, Servizi certificati Active Directory supporta l'utilizzo di CRL e Delta CRL, nonché delle risposte OCSP distribuite dai risponditori online.

Le impostazioni di Criteri di gruppo per la convalida dei percorsi consentono inoltre agli amministratori di ottimizzare l'utilizzo dei CRL e dei risponditori online, in particolare nelle situazioni in cui le dimensioni eccessive dei CRL o le condizioni di rete determinano una riduzione delle prestazioni.

Sono disponibili le impostazioni seguenti:

  • Preferisci sempre elenchi di revoche di certificati (CRL) alle risposte del protocollo di stato del certificato online (OSP). In generale, è consigliabile che i client utilizzino i dati di revoca più recenti disponibili, indipendentemente dalla loro origine (CRL o Risponditore in linea). Se si seleziona questa opzione, verrà utilizzata una verifica delle revoche proveniente da un risponditore online solo se non è disponibile un CRL o Delta CRL valido.

  • Validità delle risposte CRL e OCSP più lunga della durata. In generale, non è consigliabile prolungare la validità delle risposte CRL e OCSP oltre la scadenza. Questa opzione può tuttavia essere necessaria in situazioni in cui i client non possono connettersi a un punto di distribuzione CRL o a un risponditore online per un lungo periodo. Nell'impostazione di questo criterio è anche possibile configurare il tempo oltre il periodo di validità stabilito durante il quale è possibile utilizzare una risposta CRL o OCSP.

Ulteriori riferimenti

  • Utilizzare i criteri per gestire Servizi certificati Active Directory


Utilizzare i criteri per distribuire i certificati

I certificati rappresentano credenziali importanti. Gli amministratori possono preferire non consentire agli utenti di decidere quali certificati considerare attendibili o meno. Spesso è consigliabile che la decisione di considerare attendibile o meno un determinato certificato sia presa da un amministratore o da una persona che conosca quel certificato e le implicazioni della decisione per l'organizzazione.

È possibile utilizzare Criteri di gruppo per distribuire ai client i tipi seguenti di certificati.

Tipo di certificato | Descrizione
Autorità di certificazione radice attendibili | Autorità di certificazione (CA) implicitamente attendibili. Include tutti i certificati nell'archivio delle Autorità di certificazione radice di terze parti e i certificati radice della propria organizzazione e di Microsoft.
Attendibilità per l'organizzazione | Un elenco di certificati attendibili fornisce un meccanismo per determinare l'attendibilità di certificati radice autofirmati provenienti da altre organizzazioni e limitarne gli scopi.
Autorità di certificazione intermedie | Certificati rilasciati a CA subordinate.
Autori attendibili | Certificati provenienti da CA attendibili.
Certificati non attendibili | Certificati che si è deciso esplicitamente di non considerare attendibili perché non più validi per gli scopi originali oppure perché provenienti da un'origine che i client del dominio non devono considerare attendibile.
Utenti attendibili | Certificati rilasciati a utenti o entità di fine impostati come attendibili in modo esplicito. Si tratta spesso di certificati autofirmati o impostati in modo esplicito come attendibili in un'applicazione come Microsoft Outlook.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere certificati all'archivio Autorità di certificazione radice attendibili per un dominio

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  2. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  3. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  4. In Console Gestione Criteri di gruppo passare a Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criteri chiave pubblica.

  5. Fare clic con il pulsante destro del mouse sull'archivio Autorità di certificazione radice attendibili.

  6. Scegliere Importa ed eseguire i passaggi dell'Importazione guidata certificati per importare i certificati.

Ulteriori riferimenti

  • Utilizzare i criteri per gestire Servizi certificati Active Directory


Risolvere i problemi relativi a Servizi certificati Active Directory

In questa sezione vengono elencati alcuni problemi comuni che possono verificarsi quando si utilizza lo snap-in Autorità di certificazione o si lavora con le Autorità di certificazione (CA). Per ulteriori informazioni su come risolvere i problemi relativi alle CA, vedere la pagina sulla risoluzione dei problemi relativi a Servizi certificati Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=89215.

Problema riscontrato

  • I client non registrano i certificati automaticamente dopo la configurazione della registrazione automatica

  • Non è stato possibile installare una CA come Autorità di certificazione dell'organizzazione (enterprise), oppure non è stato possibile installare il supporto della registrazione Web delle CA in modo da riconoscere una CA autonoma (Standalone)

  • Errore durante l'accesso alle pagine Web della CA

  • Un utente tenta di accedere con la smart card e riceve il messaggio seguente: "Impossibile accedere al dominio. Account computer del sistema nel dominio primario assente oppure password dell'account non corretta."

  • Quando si tenta di registrare un certificato da un computer o da un account appartenente a un dominio figlio del dominio in cui si trova la CA, viene visualizzato l'errore seguente: "Impossibile trovare modelli. Non sono presenti CA a cui è consentito richiedere certificati o si è verificato un errore durante l'accesso ad Active Directory."

  • Un agente di registrazione non riesce a registrare un modello di certificato specifico per conto di un utente

  • Un gestore di certificati o un agente di registrazione con restrizioni non riesce a portare a termine operazioni dopo la modifica del nome di un dominio

  • L'utente non riesce ad aggiungere alla propria CA un nuovo modello di certificato versione 2 o 3

  • È stato rilevato un problema non riportato in questo elenco
I client non registrano i certificati automaticamente dopo la configurazione della registrazione automatica.
  • Causa: le informazioni di Criteri di gruppo utilizzate per la registrazione automatica non sono ancora state replicate nei computer client. Per impostazione predefinita, possono essere necessarie fino a due ore per replicare queste informazioni in tutti i computer.

  • Soluzione: attendere che Criteri di gruppo porti a termine la replica oppure utilizzare lo strumento da riga di comando Gpupdate per forzare la replica immediata. Per ulteriori informazioni su Gpupdate, vedere la pagina all'indirizzo http://go.microsoft.com/fwlink/?LinkId=94248.

Non è stato possibile installare una CA come Autorità di certificazione dell'organizzazione (enterprise), oppure non è stato possibile installare il supporto della registrazione Web delle CA in modo da riconoscere una CA autonoma (Standalone).
  • Causa: la CA è stata installata da un utente che non fa parte del gruppo Enterprise Admins o Domain Admins; l'opzione relativa alle CA dell'organizzazione (enterprise) non era pertanto disponibile e le informazioni sulla CA non possono essere pubblicate in Servizi di dominio Active Directory.

  • Soluzione: accedere come utente membro del gruppo Enterprise Admins o Domain Admins per installare la CA e il supporto della registrazione Web delle CA.

  • Causa: il dominio non era accessibile durante l'installazione della CA.

  • Soluzione: accertarsi che vi sia connettività di rete verso un controller di dominio durante l'installazione della CA.

Errore durante l'accesso alle pagine Web della CA.
  • Causa: l'utente che accede alle pagine Web non è membro del gruppo Administrators o Power Users del computer locale. Quando sulla CA è disponibile una nuova versione del software di registrazione Web, questo deve essere installato sul computer client. L'utente che installa il software deve essere membro del gruppo Administrators o Power Users.

  • Soluzione: accedere come utente membro del gruppo Administrators o Power Users per accedere alle pagine di registrazione Web e scaricare l'ultima versione del software.

  • Causa: le pagine Web non sono installate sulla CA.

  • Soluzione: dal prompt dei comandi nella CA, eseguire il comando certutil -vroot per installare le pagine di registrazione Web.

Un utente tenta di accedere con la smart card e riceve il messaggio seguente: "Impossibile accedere al dominio. Account computer del sistema nel dominio primario assente oppure password dell'account non corretta."
  • Causa: l'account del computer può essere disattivato, oppure la CA che ha rilasciato il certificato della smart card non è considerata attendibile dal computer.

  • Soluzione:

    1. verificare che l'account del computer sia attivato nel dominio.

    2. Utilizzare lo snap-in certificati per verificare che il certificato della CA radice sia presente nell'elenco locale delle Autorità di certificazione radice sul computer dell'utente.

    3. Utilizzare lo snap-in certificati per verificare che al controller di dominio sia stato rilasciato un certificato riconducibile a una radice attendibile.

Quando si tenta di registrare un certificato da un computer o da un account appartenente a un dominio figlio del dominio in cui si trova la CA, viene visualizzato l'errore seguente: "Impossibile trovare modelli. Non sono presenti CA a cui è consentito richiedere certificati o si è verificato un errore durante l'accesso ad Active Directory."
  • Causa: nei modelli di certificato non sono impostate le autorizzazioni di sicurezza necessarie.

  • Soluzione: modificare le autorizzazioni di sicurezza per i modelli di certificato, includendo gli account del dominio figlio dal quale si desidera consentire la registrazione. Per impostare il controllo di accesso per i modelli di certificato, vedere la pagina relativa all'emissione di certificati basati su modelli di certificato (http://go.microsoft.com/fwlink/?LinkID=142333).

    Dopo le modifiche alle autorizzazioni di protezione, per la loro replica in rete può essere necessario attendere il timeout di alcune cache dei controlli di accesso.

Un agente di registrazione non riesce a registrare un modello di certificato specifico per conto di un utente.
  • Causa: possono essere state configurate restrizioni per l'agente di registrazione, per impedire che registri certificati basati sul modello di certificato per questo gruppo di utenti.

  • Soluzione: questo comportamento può essere intenzionale, se si intende impedire all'agente di registrazione di registrare certificati basati su questo modello di certificato o per questo gruppo di utenti. Se non è intenzionale, eseguire i passaggi descritti in Definire agenti di registrazione con restrizioni per configurare le autorizzazioni corrette dell'agente di registrazione per questo gruppo e modello di certificato.

  • Causa: il certificato Agente di registrazione è configurato con una chiave CNG (Cryptography Next Generation) e il certificato viene richiesto da una CA basata su Windows Server 2003.

  • Soluzione: utilizzare un certificato Agente di registrazione compatibile con le CA basate su Windows Server 2003 oppure richiedere il certificato a una CA in un computer che esegue Windows Server 2008 R2 o Windows Server 2008.

Un gestore di certificati o un agente di registrazione con restrizioni non riesce a portare a termine operazioni dopo la modifica del nome di un dominio.
  • Causa: in caso di operazioni eseguite da responsabili con restrizioni, le CA fanno riferimento al nome presente nel sistema di gestione degli account di sicurezza (SAM) del richiedente archiviato nel database di Active Directory per verificare che il responsabile disponga dei diritti per gestire la richiesta. Il nome SAM, tuttavia, contiene il nome di dominio e l'operazione del responsabile con restrizioni non viene eseguita se è cambiato il nome di dominio (e non solo la porzione DNS del nome).

  • Soluzione: disattivare o riconfigurare le autorizzazioni del responsabile con restrizioni prima di ritentare l'operazione di registrazione.

L'utente non riesce ad aggiungere alla propria CA un nuovo modello di certificato versione 2 o 3.
  • Causa: la CA è installata in un server che esegue Windows Server 2008 R2 Standard o Windows Server 2008 Standard. I modelli di certificato versione 2 e 3 e la registrazione automatica dei certificati possono essere utilizzati solo con CA installate in Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Datacenter, Windows Server 2008 Enterprise oppure Windows Server 2008 Datacenter.

  • Soluzione: eseguire l'aggiornamento a Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Datacenter, Windows Server 2008 Enterprise o a Windows Server 2008 Datacenter.

È stato rilevato un problema non riportato in questo elenco.
  • Causa: controllare il registro eventi del server, che contiene spesso messaggi di errore più dettagliati che possono aiutare nella diagnosi e nella soluzione del problema riscontrato.

  • Soluzione: Per ulteriori informazioni sugli eventi registrati da Servizi certificati Active Directory, vedere la pagina sulla risoluzione dei problemi relativi a Servizi certificati Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=89215.


Risorse su Servizi certificati Active Directory

  • Per informazioni dettagliate sulla valutazione, il design, la distribuzione, la risoluzione di problemi e la documentazione tecnica, compresi white paper e articoli della Knowledge Base, vedere la pagina relativa a Servizi certificati Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkID=85613.

  • Per informazioni sullo sviluppo di applicazioni che utilizzano Servizi certificati Active Directory, vedere la pagina sulla sicurezza nello sviluppo Win32 e COM all'indirizzo http://go.microsoft.com/fwlink/?LinkId=92771.

  • Per informazioni pubbliche sulle infrastrutture a chiave pubblica (PKI), visitare il sito Web NIST (National Institute of Standards and Technology) all'indirizzo http://go.microsoft.com/fwlink/?LinkId=92772.

  • Per informazioni sul gruppo di lavoro PKI X.509 (pkix), visitare il sito Web IETF (Internet Engineering Task Force) all'indirizzo (http://go.microsoft.com/fwlink/?LinkID=29885.


Aggiungere lo snap-in Risponditore in linea a una console

È possibile utilizzare lo snap-in Risponditore in linea per monitorare e gestire il servizio Risponditore in linea e le configurazioni di revoca sul computer in uso o su altri computer.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere lo snap-in Risponditore in linea a una console

  1. Fare clic sul pulsante Start, digitare mmc e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare doppio clic su Risponditore in linea, selezionare il computer in cui è installato il risponditore online e quindi fare clic su Fine.

  4. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  5. Per salvare la console, scegliere Salva dal menu File.

Ulteriori riferimenti

  • Amministrare un risponditore online da un altro computer


Gestire i risponditori online

Sono disponibili procedure che consentono di completare le attività di base seguenti per la gestione dei risponditori online:

  • Aggiungere lo snap-in Risponditore in linea a una console

  • Controllare le operazioni del risponditore online

  • Amministrare un risponditore online da un altro computer

  • Modificare il proxy Web del risponditore online

  • Aggiungere percorsi OCSP ai certificati rilasciati

  • Rinnovare i certificati Firma risposta OCSP con una chiave esistente


Amministrare un risponditore online da un altro computer

Uno dei vantaggi offerti dai risponditori online consiste nella possibilità di distribuirli per fornire servizi di verifica delle revoche in una postazione remota o perfino all'esterno della Intranet locale. A tale scopo, tuttavia, è in genere necessario gestire il risponditore online da un altro computer.

Per impostazione predefinita, lo snap-in Risponditore in linea viene installato automaticamente durante l'installazione del risponditore online in un server. Il risponditore online può essere installato in un altro server utilizzando Server Manager per installare Strumenti per Servizi certificati Active Directory

Per poter consentire l'amministrazione remota, è necessario configurare le impostazioni del firewall correlate al risponditore online nel computer che lo ospita.

Per configurare le impostazioni del firewall è necessario essere un amministratore locale. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare le impostazioni del firewall allo scopo di consentire l'amministrazione remota di un risponditore online

  1. Aprire Server Manager.

  2. In Configurazione espandere Windows Firewall con sicurezza avanzata.

  3. Espandere Regole in entrata e fare clic su Servizio Risponditore in linea (DCOM-In).

  4. Nel riquadro Azioni fare clic su Abilita regola.

  5. Fare clic su Servizio Risponditore in linea (RPC-In) e nel riquadro Azioni fare clic su Abilita regola.

  6. Per identificare gli utenti o i computer autorizzati ad accedere al risponditore online tramite le singole regole firewall relative al servizio Risponditore in linea, nel riquadro Azioni fare clic su Proprietà per ognuna delle regole e quindi fare clic sulla scheda Utenti e computer.

Per poter installare Strumenti di amministrazione remota del server è necessario essere un amministratore locale nel computer remoto. Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per amministrare un risponditore online remoto

  1. Aprire Server Manager nel computer remoto.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità.

  3. Espandere Strumenti di amministrazione remota del server e Strumenti di amministrazione ruoli.

  4. Selezionare la casella di controllo Servizi certificati Active Directory, fare clic su Avanti e quindi su Installa.

  5. Al termine del processo di installazione, fare clic su Chiudi.

  6. Fare clic sul pulsante Start, digitare mmc e premere INVIO.

  7. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  8. Selezionare lo snap-in Risponditore in linea, fare clic su Aggiungi e quindi su OK.

  9. Nell'albero della console fare clic sul risponditore online.

  10. Scegliere Cambia associazione risponditore dal menu Azione per identificare il risponditore online che si desidera gestire.

Ulteriori considerazioni

  • Se il computer dal quale si desidera svolgere le attività di amministrazione remota esegue Windows Vista, è possibile ottenere il pacchetto Strumenti di amministrazione remota del server dall'Area download Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkID=89361.

  • Se è presente un firewall tra il risponditore online e il computer remoto, è necessario configurarlo affinché consenta il passaggio dei dati tramite la porta 80 tra Internet Information Services (IIS) e il risponditore online. È possibile ottenere risultati analoghi utilizzando la funzionalità di proxy inverso di Microsoft Internet Security and Acceleration (ISA) Server.

  • Potrebbe essere inoltre necessario configurare le autorizzazioni DCOM per consentire l'autenticazione reciproca dei risponditori online inclusi in un array.

Ulteriori riferimenti

  • Gestire i risponditori online


Autorità di certificazione

Lo snap-in Autorità di certificazione consente di eseguire varie attività amministrative:

  • Avviare e interrompere l'Autorità di certificazione (CA).

  • Eseguire il backup e il ripristino della CA.

  • Modificare i moduli uscita e criteri.

  • Visualizzare il certificato CA.

  • Installare o reinstallare un certificato CA per la CA.

  • Impostare le autorizzazioni di sicurezza e delegare il controllo amministrativo per la CA.

  • Revocare certificati.

  • Visualizzare o modificare i punti di distribuzione CRL.

  • Pubblicare i CRL e pianificare la pubblicazione dei CRL.

  • Configurare i tipi di certificati che verranno rilasciati dalla CA.

  • Visualizzare informazioni sui certificati rilasciati o revocati.

  • Visualizzare, approvare o negare le richieste di certificati in sospeso.

  • Visualizzare le richieste di certificati non riuscite.

  • Rinnovare il certificato della CA.

Per ulteriori informazioni sull'installazione, la configurazione e l'utilizzo dello snap-in Autorità di certificazione, vedere Gestire un'Autorità di certificazione.


Modificare il proxy Web del risponditore online

La cache del proxy Web del risponditore online rappresenta l'interfaccia del servizio Risponditore in linea. Viene implementata come estensione ISAPI (Internet Server Application Programming Interface) ospitata da Internet Information Services (IIS) ed esegue le operazioni seguenti:

  • Decodifica delle richieste. Alla ricezione di una richiesta da parte del proxy Web del risponditore online, il componente di decodifica tenta di decodificarla e di estrarre il numero di serie del certificato da convalidare.

  • Memorizzazione delle risposte nella cache. Dopo aver estratto il numero di serie di un certificato da una richiesta ricevuta, il proxy Web del risponditore online verifica se nella cache locale è disponibile una risposta valida. Il periodo di validità degli elementi della cache corrisponde per impostazione predefinita al periodo di validità dell'elenco di revoche di certificati (CRL) da cui è stata generata la risposta.

È possibile modificare le impostazioni seguenti correlate al proxy Web di un risponditore online:

  • Thread proxy Web. Questa impostazione fa riferimento al numero di thread allocati dall'estensione ISAPI del risponditore online per la gestione delle richieste. Se si aumenta il numero di thread verrà utilizzata una quantità maggiore di memoria del server, mentre riducendo tale numero verrà limitato il numero di client che possono essere serviti contemporaneamente.

  • Voci cache consentite: La cache è implementata come componente dell'estensione ISAPI del risponditore online e funziona solo come cache in memoria. La dimensione consigliata della cache è compresa tra 1.000 e 10.000 voci. Il numero minimo di voci cache consentite è cinque. Se la dimensione della cache è ridotta si verificheranno più errori e il carico del servizio Risponditore in linea per le operazioni di ricerca e firma risulterà più elevato. Una dimensione maggiore determina invece un maggiore utilizzo della memoria del risponditore online.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per modificare il proxy Web del risponditore online

  1. Aprire lo snap-in Risponditore in linea e selezionare il risponditore online desiderato.

  2. Scegliere Proprietà risponditore dal menu Azione oppure fare clic su Proprietà risponditore nel riquadro Azioni.

  3. Fare clic sulla scheda Proxy Web, modificare le opzioni del proxy Web desiderate e quindi fare clic su OK.

Ulteriori riferimenti

  • Gestire i risponditori online


Rinnovare i certificati Firma risposta OCSP con una chiave esistente

I certificati Firma risposta OCSP devono essere firmati con la stessa chiave dell'Autorità di certificazione (CA) utilizzata per la firma dei certificati finali di cui forniscono lo stato.

Dopo il rinnovo della chiave, questa viene utilizzata dalla CA per firmare i nuovi certificati rilasciati. Nel periodo compreso tra il rinnovo di un certificato CA e la data di scadenza del certificato CA originale, la CA non può rilasciare o rinnovare certificati Firma risposta OCSP, il che potrebbe impedire a un risponditore online di firmare le risposte OCSP.

Per risolvere questo problema, è possibile modificare il comportamento predefinito delle CA basate su Windows Server 2008 R2 e Windows Server 2008 affinché consentano l'emissione di certificati Firma risposta OCSP mediante una chiave CA rinnovata.

Per poter completare questa procedura, è necessario essere un amministratore del server che ospita la CA. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per consentire il rinnovo di certificati Firma risposta OCSP mediante chiavi CA esistenti

  1. Nel computer che ospita la CA aprire un prompt dei comandi e digitare:

    certutil -setreg ca\UseDefinedCACertInRequest 1

  2. Premere INVIO.

  3. Riavviare il servizio CA.

Ulteriori riferimenti

  • Gestire i risponditori online


Controllare le operazioni del risponditore online

È possibile monitorare le operazioni di un risponditore online mediante la registrazione di eventi nel registro eventi di sicurezza di Windows. Il servizio Risponditore in linea consente di configurare gli eventi di controllo seguenti:

  • Avvio e arresto del servizio Risponditore in linea. Verrà registrato ogni evento di avvio e di arresto del servizio Risponditore in linea.

  • Modifiche alla configurazione del risponditore online. Verranno registrate tutte le modifiche apportate alla configurazione del risponditore online, incluse quelle alle impostazioni di controllo.

  • Modifiche alle impostazioni di sicurezza del risponditore online. Verranno registrate tutte le modifiche apportate all'elenco di controllo di accesso (ACL) relativo alle interfacce di gestione e alle richieste del servizio Risponditore in linea.

  • Richieste inviate al risponditore online. Verranno registrate tutte le richieste elaborate dal servizio Risponditore in linea. Questa opzione può determinare un carico elevato nel servizio. È pertanto consigliabile valutarne l'utilizzo a seconda dei singoli casi. Si noti che verranno generati e controllati eventi relativi soltanto alle richieste per le quali è necessaria un'operazione di firma da parte del risponditore online. Le richieste relative a risposte precedentemente memorizzate nella cache non verranno registrate.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per abilitare il controllo delle operazioni del risponditore online

  1. Aprire lo snap-in Risponditore in linea e selezionare il risponditore online desiderato.

  2. Scegliere Proprietà risponditore dal menu Azione oppure fare clic su Proprietà risponditore nel riquadro Azioni.

  3. Fare clic sulla scheda Controllo, selezionare le opzioni di controllo del risponditore online per la registrazione e quindi fare clic su OK.

Gli eventi di controllo verranno registrati nel registro di sicurezza di Windows solo se è abilitato il criterio Controlla accesso agli oggetti.

Per poter completare questa procedura, è necessario essere un amministratore del server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per abilitare il criterio Controlla accesso agli oggetti.

  1. Aprire l'Editor Criteri di gruppo locali.

  2. In Configurazione computer espandere Impostazioni di Windows, Impostazioni sicurezza e Criteri locali e quindi fare clic su Criteri di controllo.

  3. Fare doppio clic sul criterio Controlla accesso agli oggetti.

  4. Selezionare le caselle di controllo Operazioni riuscite ed Errore e quindi fare clic su OK.

Ulteriori riferimenti

  • Gestire i risponditori online

  • Controllare le modifiche alle configurazioni di revoca


Aggiungere percorsi OCSP ai certificati rilasciati

Il percorso di un risponditore online viene specificato sotto forma di URL nell'estensione Informazioni Autorità di certificazione (CA) in un certificato. Quando un'Autorità di certificazione (CA) emette un certificato, aggiunge l'estensione Accesso alle informazioni dell'autorità. Le richieste dei client relative alla verifica dello stato di revoca di un certificato verranno inviate a questo URL.

La scheda Proprietà OCSP consente di aggiungere gli URL dei risponditori online a certificati rilasciati in precedenza che non contengono l'estensione Informazioni Autorità di certificazione (CA). Se un'organizzazione aggiunge un risponditore online a un'infrastruttura a chiave pubblica (PKI) esistente, questa impostazione consente di utilizzare le risposte OCSP (Online Certificate Status Protocol, Protocollo di stato del certificato online) per i certificati esistenti affinché non sia necessario emettere nuovamente i certificati. Quando si aggiunge un percorso di download OCSP per un certificato CA intermedia o radice, il percorso verrà utilizzato per recuperare la risposta OCSP relativa a tutti i certificati rilasciati dalla CA in questione.

Nota

I percorsi di download OCSP aggiunti nella scheda Proprietà OCSP vengono controllati rispetto a eventuali percorsi di download già esistenti in un certificato. Se è necessario aggiungere un URL con segnaposto, utilizzare l'indirizzo seguente: http://localhost.

Ulteriori riferimenti

  • Gestire i risponditori online


Configurare e utilizzare una stazione di registrazione di smart card

Una stazione di registrazione di smart card consente a un dipendente o a un agente designato di rilasciare smart card da una workstation centralizzata o da una di un numero qualsiasi di workstation designate. La designazione delle stazioni di registrazione e degli agenti semplifica la preparazione fisica della smart card da rilasciare, riduce il rischio di interruzione del servizio certificati e impedisce agli utenti e ai manager di convalidare la propria identificazione e di rilasciare i propri certificati, in particolare nelle organizzazioni o negli ambienti in cui esistono diversi livelli di sicurezza e accesso.

Preparare una stazione di registrazione certificati smart card

Prima di richiedere certificati di accesso smart card per gli utenti:

  • L'agente di registrazione e i certificati di accesso smart card o utente smart card devono essere configurati e attivati per l'Autorità di certificazione (CA).

  • È necessario configurare le eventuali restrizioni per gli agenti di registrazione.

  • Altri utenti devono registrare il certificato Agente di registrazione per conto di quest'ultimo.

  • Seguire le istruzioni del produttore per installare un lettore di smart card sul computer da utilizzare per configurare le smart card.

Le procedure seguenti spiegano come registrare certificati smart card per conto di altri utenti e come preparare la stazione di registrazione quando il certificato Agente di registrazione diviene disponibile. Queste procedure possono essere eseguite su qualsiasi computer che esegue Windows 7 Windows Vista oppure su un server membro Windows Server 2008 R2 o Windows Server 2008 che si desidera utilizzare come stazione di registrazione certificati smart card.

Per eseguire questa procedura è necessaria almeno l'appartenenza al gruppo Users e la disponibilità di un certificato Agente di registrazione.

Per registrare un certificato per contro di altri utenti

  1. Aprire lo snap-in Certificati per un utente.

  2. Per verificare che la visualizzazione attuale sia Archivi logici di certificati, fare clic con il pulsante destro del mouse su Certificati - Utente corrente, scegliere Visualizza, fare clic su Opzioni, verificare che sia selezionata l'opzione Archivi logici di certificati e quindi fare clic su OK.

  3. Nell'albero della console espandere l'archivio Personale e quindi fare clic su Certificati.

  4. Scegliere Tutte le attività dal menu Azione, fare clic su Operazioni avanzate e quindi su Registra per conto di per aprire la Registrazione guidata certificato. Fare clic su Avanti.

  5. Selezionare il certificato Agente di registrazione da utilizzare per firmare la richiesta di certificato in elaborazione. Fare clic su Avanti.

  6. Selezionare il tipo di certificato che si desidera registrare. Dopo aver completato la richiesta, fare clic su Registrazione.

  7. Al termine della Registrazione guidata certificato, fare clic su Chiudi.

Per eseguire questa procedura, è necessario essere connesso come utente di dominio con i privilegi necessari per l'aggiunta di snap-in.

Per preparare una stazione di registrazione certificati smart card

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare mmc e quindi fare clic su OK.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File e quindi fare clic su Aggiungi.

  3. In Snap-in fare doppio clic su Certificati.

  4. Fare clic su Account dell'utente e quindi su Fine.

  5. Fare clic su Chiudi e quindi su OK.

  6. Fare doppio clic su Certificati - Utente corrente.

  7. Nell'albero della console fare clic su Personale.

  8. Scegliere Tutte le attività dal menu Azione e quindi Richiedi nuovo certificato.

  9. Nella Registrazione guidata certificato fare clic sul modello di certificato Agente di registrazione e inserire le informazioni richieste.

  10. Quando richiesto dalla Registrazione guidata certificato, fare clic su Installa certificato.

Ulteriori considerazioni

  • È possibile installare il certificato Agente di registrazione su una smart card. A tale scopo, è necessario utilizzare il provider del servizio di crittografia (CSP) del produttore della smart card quando si richiede il certificato. Nella Richiesta guidata certificato, fare clic su Opzioni avanzate per selezionare un CSP della smart card per il certificato Agente di registrazione.

  • Quando si dispone di un certificato Agente di autorizzazione, è possibile registrare un certificato e generare una smart card per conto di qualsiasi utente nell'organizzazione. La smart card risultante può essere utilizzata ad esempio per accedere alla rete e rappresentare l'utente reale. È consigliabile pertanto applicare criteri di sicurezza molto rigidi per limitare l'uso dei certificati Agente di registrazione.

Ulteriori riferimenti

  • Per configurare l'emissione da una CA del modello di certificato Agente di registrazione, vedere la pagina relativa alla gestione dei modelli di certificato (http://go.microsoft.com/fwlink/?LinkId=142230).

  • Per configurare un agente di registrazione con restrizioni, vedere Definire agenti di registrazione con restrizioni.


Certificati CA

I certificati di un'Autorità di certificazione (CA) sono rilasciati da una CA a se stessa o a una seconda CA allo scopo di creare una relazione definita tra le due CA.

Un certificato che viene rilasciato da una CA a se stessa è definito un certificato radice attendibile, perché ha lo scopo di stabilire un punto di attendibilità finale per una gerarchia di CA.

Una volta definita, la radice attendibile può essere utilizzata per autorizzare CA subordinate al rilascio di certificati per suo conto.

I certificati CA possono inoltre essere utilizzati per stabilire relazioni di trust tra CA in due diverse gerarchie di infrastruttura a chiave pubblica (PKI).

In tutti questi casi, il certificato CA è fondamentale per poter definire il percorso e le restrizioni relative all'utilizzo di tutti i certificati finali rilasciati per l'utilizzo nella PKI.

La corretta configurazione dei certificati CA in base alle esigenze dell'organizzazione è uno degli strumenti più potenti a disposizione di un'organizzazione per l'implementazione di una sicurezza PKI adeguata. I certificati CA contengono speciali dati di configurazione che regolano le CA per le quali sono rilasciati. Queste opzioni di configurazione possono:

  • Definire lo spazio dei nomi organizzativo nel quale i certificati rilasciati dalla CA subordinata possono essere rilasciati e considerati attendibili.

  • Specificare gli utilizzi accettabili dei certificati rilasciati dalla CA subordinata.

  • Definire le linee guida di rilascio che devono essere seguite affinché un certificato rilasciato dalla CA subordinata sia considerato valido.

  • Creare un'attendibilità gestita tra gerarchie di certificazione separate