Modelli di certificato

I modelli di certificato semplificano in modo significativo l'amministrazione di un'Autorità di certificazione (CA), consentendo a un amministratore di rilasciare certificati preconfigurati per attività specifiche. Lo snap-in Modelli di certificato infatti consente a un amministratore di eseguire le attività seguenti:

  • Visualizzare le proprietà di ogni modello di certificato.

  • Copiare e modificare modelli di certificato.

  • Determinare gli utenti e i computer autorizzati a leggere modelli e registrare certificati.

  • Eseguire altre attività di amministrazione relative ai modelli di certificato.

Ulteriori riferimenti

  • Concetti relativi ai modelli di certificato

  • Gestire modelli di certificato

  • Risolvere i problemi relativi ai modelli di certificato

  • Risorse aggiuntive per i modelli di certificato


Concetti relativi ai modelli di certificato

I modelli di certificato sono parte integrante di un'Autorità di certificazione (CA) dell'organizzazione (Enterprise). Rappresentano un elemento importante del criterio di certificato di un ambiente, ovvero l'insieme di regole e formati per la registrazione, l'utilizzo e la gestione dei certificati.

Quando una CA riceve una richiesta per un certificato, è necessario applicare a tale richiesta gruppi di regole e impostazioni per eseguire la funzione desiderata, ad esempio il rilascio o il rinnovo del certificato. Queste regole possono essere semplici o complesse e possono applicarsi a tutti gli utenti o a gruppi specifici di utenti. I modelli di certificato sono gli insiemi di regole e impostazioni che vengono configurati in una CA per essere applicati per le richieste di certificato in ingresso. I modelli di certificato inoltre forniscono al client istruzioni su come creare e inviare una richiesta di certificato valida.

I certificati basati su un modello di certificato possono essere rilasciati solo da una CA dell'organizzazione (Enterprise). I modelli vengono archiviati in Servizi di dominio Active Directory in modo da poter essere utilizzati da tutte le CA della foresta. In questo modo la CA ha sempre accesso al modello standard più recente e viene così garantita l'uniformità nell'applicazione del criterio di certificato in tutta la foresta.

Gli amministratori delle CA dell'organizzazione (Enterprise) basate su Windows Server 2008 possono utilizzare diversi modelli di certificato predefiniti. Per ulteriori informazioni, vedere Modelli di certificato predefiniti.

I modelli di certificato introdotti in Windows Server 2008, Windows Server 2003 e Windows 2000 sono caratterizzati da livelli di configurabilità diversi. Per ulteriori informazioni, vedere Versioni dei modelli di certificato.


Modelli di certificato predefiniti

Con le Autorità di certificazione (CA) dell'organizzazione (Enterprise) basate su Windows Server 2008 vengono forniti diversi modelli di certificato preconfigurati creati per soddisfare le esigenze della maggior parte delle organizzazioni. Questi modelli sono descritti nella tabella seguente.

Nome | Descrizione | Utilizzo chiave | Tipo di soggetto | Pubblicato in Servizi di dominio Active Directory? | Versione del modello
Administrator | Consente di effettuare la firma dell'elenco di attendibilità e l'autenticazione degli utenti. | Firma e crittografia | Utente | Sì | 1
Sessione autenticata | Consente al soggetto di eseguire l'autenticazione per un server Web. | Firma | Utente | No | 1
EFS di base | Utilizzato da EFS (Encrypting File System) per crittografare i dati. | Crittografia | Utente | Sì | 1
Scambio CA | Utilizzato per archiviare le chiavi configurate per l'archiviazione delle chiavi private. | Crittografia | Computer | No | 2
Crittografia CEP | Consente al possessore del certificato di agire come Autorità registrazione per le richieste SCEP (Simple Certificate Enrollment Protocol). | Crittografia | Computer | No | 1
Firma codice | Utilizzato per la firma digitale del software. | Firma | Utente | No | 1
Computer | Consente a un computer di autenticare se stesso sulla rete. | Firma e crittografia | Computer | No | 1
Autorità di certificazione (CA) incrociata | Utilizzato per la certificazione incrociata e la subordinazione qualificata. | Firma | CA con certificazione incrociata | Sì | 2
Replica directory via posta elettronica | Utilizzato per replicare la posta elettronica in Servizi di dominio Active Directory. | Firma e crittografia | Computer | Sì | 2
Controller di dominio | Utilizzato dai controller di dominio come certificati per tutti gli scopi. | Firma e crittografia | Computer | Sì | 1
Autenticazione controller di dominio | Utilizzato per l'autenticazione di utenti e computer di Active Directory. | Firma e crittografia | Computer | No | 2
Agente recupero dati EFS | Consente al soggetto di decrittografare i file precedentemente crittografati con EFS. | Crittografia | Utente | No | 1
Agente di registrazione | Utilizzato per richiedere certificati per conto di un altro soggetto. | Firma | Utente | No | 1
Agente di registrazione (computer) | Utilizzato per richiedere certificati per conto di un altro soggetto computer. | Firma | Computer | No | 1
Agente di registrazione di Exchange (richiesta offline) | Utilizzato per richiedere certificati per conto di un altro soggetto e specificare il nome del soggetto nella richiesta. | Firma | Utente | No | 1
Solo firma di Exchange | Utilizzato da Servizio di gestione delle chiavi di Microsoft Exchange per rilasciare certificati agli utenti di Exchange per la firma digitale della posta elettronica. | Firma | Utente | No | 1
Utente di Exchange | Utilizzato da Servizio di gestione delle chiavi di Microsoft Exchange per rilasciare certificati agli utenti di Exchange per la crittografia della posta elettronica. | Crittografia | Utente | Sì | 1
IPSec | Utilizzato da IPSec (Internet Protocol Security) per la firma digitale, la crittografia e la decrittografia delle comunicazioni in rete. | Firma e crittografia | Computer | No | 1
IPSec (richiesta offline) | Utilizzato da IPSec per la firma digitale, la crittografia e la decrittografia delle comunicazioni in rete quando nella richiesta è specificato il nome del soggetto. | Firma e crittografia | Computer | No | 1
Autenticazione Kerberos | Utilizzato per l'autenticazione di utenti e computer di Active Directory. | Firma e crittografia | Computer | No | 2
Agente di recupero chiavi | Consente di recuperare le chiavi private archiviate nella CA. | Crittografia | Agente di recupero chiavi | No | 2
Firma risposta OCSP | Utilizzato da un risponditore online per firmare le risposte a richieste di stato dei certificati. | Firma | Computer | No | 3
Server RAS e IAS | Consente ai server di accesso remoto e di Servizio di Autenticazione Internet (IAS, Internet Authentication Service) di autenticare la propria identità per altri computer. | Firma e crittografia | Computer | No | 2
Autorità di certificazione radice | Utilizzato per dimostrare l'identità della CA radice. | Firma | CA | No | 1
Router (richiesta offline) | Utilizzato da un router se richiesto tramite SCEP da una CA che possiede un certificato Crittografia CEP. | Firma e crittografia | Computer | No | 1
Accesso con smart card | Consente al possessore di eseguire l'autenticazione utilizzando una smart card. | Firma e crittografia | Utente | No | 1
Utente con smart card | Consente al possessore di eseguire l'autenticazione e di proteggere la posta elettronica utilizzando una smart card. | Firma e crittografia | Utente | Sì | 1
Autorità di certificazione subordinata | Utilizzato per dimostrare l'identità della CA radice. Viene rilasciato dalla CA padre o radice. | Firma | CA | No | 1
Firma elenco di attendibilità | Consente al possessore di aggiungere firme digitali in un elenco di attendibilità. | Firma | Utente | No | 1
Utente | Utilizzato dagli utenti per posta elettronica, EFS e autenticazione client. | Firma e crittografia | Utente | Sì | 1
Solo firma digitale utente | Consente agli utenti di aggiungere firme digitali ai dati. | Firma | Utente | No | 1
Server Web | Consente di dimostrare l'identità di un server Web. | Firma e crittografia | Computer | No | 1
Autenticazione workstation | Consente ai computer client di autenticare la propria identità per i server. | Firma e crittografia | Computer | No | 2

Quando si duplica un modello di certificato versione 1 o versione 2, è possibile impostare il duplicato come modello versione 2 o versione 3 in modo da configurare le opzioni avanzate disponibili con le versioni più recenti. I modelli di certificato versione 3, tuttavia, possono essere rilasciati solo da CA dell'organizzazione (Enterprise) basate su Windows Server 2008 e possono essere utilizzati da client in computer che eseguono Windows Server 2008 o Microsoft Windows Vista. Per ulteriori informazioni, vedere Versioni dei modelli di certificato.

Per informazioni sulle opzioni di configurazione per i modelli di certificato, vedere Configurare un modello di certificato.

Ulteriori riferimenti

  • Concetti relativi ai modelli di certificato


Versioni dei modelli di certificato

Servizi certificati Active Directory include le versioni di modelli di certificato seguenti, disponibili nelle Autorità di certificazione dell'organizzazione (enterprise).

Modelli di certificato versione 1

I modelli di certificato versione 1 supportano le esigenze generali relative ai certificati e garantiscono la compatibilità con i client e le CA emittenti che eseguono sistemi operativi Windows 2000. I modelli versione 1 vengono installati per impostazione predefinita durante l'installazione della CA e non possono essere eliminati. L'unica proprietà che è possibile modificare in un modello versione 1 è l'insieme di autorizzazioni assegnate che controlla l'accesso al modello.

Opzioni di registrazione

  • Registrazione automatica

    • Script personalizzati

    • La funzionalità Impostazioni richiesta automatica certificati di Criteri di gruppo può essere utilizzata solo per certificati del computer

  • Registrazione manuale

    • Snap-in certificati

    • Pagine di Registrazione Web CA

Disponibilità del modello

  • Tutte le edizioni di Windows Server 2008 R2

  • Tutte le edizioni di Windows Server 2008

  • Tutte le edizioni di Windows Server 2003 R2

  • Tutte le edizioni di Windows Server 2003

  • Tutte le edizioni di Windows 2000 Server

Modelli di certificato versione 2

I modelli di certificato versione 2 sono stati introdotti in Windows Server 2003 e possono essere configurati da un amministratore per controllare le modalità di richiesta, di emissione e di utilizzo dei certificati. I modelli versione 2 supportano la registrazione automatica dei certificati.

Opzioni di registrazione

  • Registrazione automatica

    • Registrazione automatica in Windows Server 2008, Windows Vista, Windows Server 2003 e Windows XP Professional

    • Script personalizzati

  • Registrazione manuale

    • Procedura guidata Registrazione certificato

    • Pagine di Registrazione Web CA

Disponibilità del modello

  • Tutte le edizioni di Windows Server 2008 R2

  • Windows Server 2008 Enterprise Edition e Datacenter Edition

  • Windows Server 2003 R2 Enterprise Edition e Datacenter Edition

  • Windows Server 2003 Enterprise Edition e Datacenter Edition

Modelli di certificato versione 3

Oltre alle funzionalità del modello versione 2 e alla registrazione automatica, i modelli di certificato versione 3 supportano gli algoritmi di crittografia Suite B. Suite B è stato creato dalla National Security Agency statunitense per specificare algoritmi di crittografia che devono essere utilizzati dalle agenzie governative statunitensi per proteggere informazioni riservate.

Disponibilità del modello

  • Tutte le edizioni di Windows Server 2008 R2

  • Windows Server 2008 Enterprise Edition e Datacenter Edition

Ulteriori riferimenti

  • Concetti relativi ai modelli di certificato

  • Modelli di certificato predefiniti

  • Creare un nuovo modello di certificato

  • Impostare la registrazione automatica dei certificati


Gestire modelli di certificato

Negli argomenti di questa sezione viene descritto come eseguire le attività di gestione di base dei modelli di certificato.

  • Installare lo snap-in Modelli di certificato

  • Connettersi a un controller di dominio scrivibile

  • Aggiornare modelli esistenti

  • Creare un nuovo modello di certificato

  • Eliminare un modello di certificato

  • Rinominare un modello di certificato

  • Configurare un modello di certificato

  • Configurare un modello di certificato

  • Rilasciare certificati basati su modelli di certificato


Installare lo snap-in Modelli di certificato

Lo snap-in Modelli di certificato consente di visualizzare e gestire informazioni critiche relative a tutti i modelli di certificato di un dominio.

Di seguito sono descritti alcuni dei campi più importanti dello snap-in Modelli di certificato:

  • Nome visualizzato modello. Questo campo consente di descrivere lo scopo del certificato. Quando in un'organizzazione viene creato un modello di certificato personalizzato, può essere utile utilizzare una convenzione di denominazione per consentire agli amministratori di identificare l'Autorità di certificazione (CA) o la parte dell'organizzazione associata al modello.

  • N. min. CA supportate. Le opzioni configurabili nei modelli di certificato basati su Windows differiscono a seconda della versione del sistema operativo. non tutti i modelli di certificato sono supportati da tutte le CA basate su Windows Server.

  • Versione. Se le configurazioni dei modelli di certificato cambiano nel tempo, è importante poter tenere traccia delle informazioni sulla versione per garantire la compatibilità e il supporto.

Per poter installare lo snap-in Modelli di certificato è necessario essere amministratori locali, mentre per utilizzarlo è necessario essere membri del gruppo Domain Admins. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per installare lo snap-in Modelli di certificato

  1. Fare clic sul pulsante Start, scegliere Esegui e quindi digitare mmc.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. Nella finestra di dialogo Aggiungi/Rimuovi snap-in fare doppio clic sullo snap-in Modelli di certificato per aggiungerlo all'elenco. Fare clic su OK.

Per impostazione predefinita, lo snap-in Modelli di certificato viene installato automaticamente quando viene installata una CA in un server. È comunque possibile installare lo snap-in in un server diverso utilizzando Server Manager per installare gli strumenti di Servizi certificati Active Directory.

Per poter installare Strumenti di amministrazione remota del server è necessario essere amministratori locali. Per poter accedere ai modelli di certificato di un dominio e amministrarli è necessario essere membri del gruppo Domain Admins. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per amministrare i modelli di certificato da un server remoto

  1. Aprire Server Manager.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità.

  3. Espandere Strumenti di amministrazione remota del server e Strumenti di amministrazione ruoli.

  4. Selezionare la casella di controllo Servizi certificati Active Directory, fare clic su Avanti e quindi su Installa.

  5. Al termine del processo di installazione, fare clic su Chiudi.

  6. Fare clic sul pulsante Start, digitare mmc e premere INVIO.

  7. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  8. Fare clic sullo snap-in Modelli di certificato, fare clic su Aggiungi, verificare che sia selezionato il controller di dominio che ospita i modelli di certificato che si desidera gestire e quindi fare clic su OK.

È possibile utilizzare lo snap-in Modelli di certificato per gestire i modelli di certificato di un altro dominio.

Per eseguire questa procedura, è necessario essere amministratori di dominio o dell'organizzazione per l'altro dominio. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per gestire i modelli di certificato di un dominio diverso

  1. Fare clic con il pulsante destro del mouse sullo snap-in Modelli di certificato e quindi scegliere Connetti a un altro controller di dominio scrivibile.

  2. Per specificare il nome di un dominio diverso, fare clic su Cambia. Per selezionare un controller di dominio diverso per il dominio esistente, selezionare Selezionare un controller di dominio scrivibile.

  3. Se in precedenza è stato selezionato un controller di dominio alternativo, è possibile tornare al controller di dominio originale selezionando Controller di dominio scrivibile predefinito.

Ulteriori riferimenti

  • Gestire modelli di certificato


Connettersi a un controller di dominio scrivibile

Se esistono più controller di dominio, non sarà possibile replicare tutti i modelli di certificato in tutti questi controller, ad esempio in quelli di sola lettura.

Nota

I controller di dominio di sola lettura, introdotti in Windows Server 2008, sono controller di dominio che ospitano una copia di sola lettura del database del dominio.

È tuttavia possibile recuperare o modificare i modelli di certificato di uno specifico controller di dominio scrivibile.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente del dominio. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per accedere ai modelli di certificato in un controller di dominio scrivibile

  1. Aprire lo snap-in Modelli di certificato.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Modelli di certificato e quindi scegliere Connetti a un altro controller di dominio scrivibile.

  3. Verificare il nome del dominio e fare clic su OK.

Ulteriori riferimenti

  • Gestire modelli di certificato

  • Configurare la pubblicazione dei certificati in Servizi di dominio Active Directory


Aggiornare modelli esistenti

Quando si aggiorna un'Autorità di certificazione (CA), è possibile che sia necessario aggiornare anche lo schema di Active Directory in modo da supportare i nuovi attributi per i modelli di certificato. Per ulteriori informazioni sull'aggiornamento dello schema di Active Directory con Adprep.exe, vedere le informazioni di riferimento per la riga di comando (http://go.microsoft.com/fwlink/?LinkID=20331).

È inoltre necessario aggiornare i modelli di certificato in modo da includere e configurare tali attributi. L'aggiornamento dei modelli di certificato consente di applicare le autorizzazioni di sicurezza appropriate nei modelli di certificato esistenti e di installare i nuovi modelli di certificato disponibili.

Se non si esegue questa procedura prima di aggiornare le CA a Windows Server 2008 R2, verrà chiesto di eseguirla quando viene aperto lo snap-in Modelli di certificato. Se questa procedura è stata già eseguita all'interno dell'organizzazione, non verrà visualizzata alcuna richiesta all'apertura dello snap-in.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente.

Per installare nuovi modelli e aggiornare modelli esistenti

  1. Aprire lo snap-in Modelli di certificato.

  2. Quando viene chiesto se si desidera installare nuovi modelli di certificato, fare clic su OK.

Ulteriori considerazioni

  • Dopo l'aggiornamento di una CA e l'installazione dei modelli di certificato, è possibile creare nuove copie della versione 2 o 3 di qualsiasi modello di certificato nel dominio. Per ulteriori informazioni, vedere Creare un nuovo modello di certificato.

Ulteriori riferimenti

  • Gestire modelli di certificato


Creare un nuovo modello di certificato

È possibile creare un nuovo modello di certificato duplicando un modello esistente e utilizzandone le proprietà come impostazioni predefinite per il nuovo modello. I modelli di certificato supportati variano a seconda delle applicazioni e dei tipi di Autorità di certificazione (CA). Alcuni modelli di certificato, ad esempio, possono essere rilasciati e gestiti solo da CA dell'organizzazione (Enterprise) che eseguono Windows Server 2003, mentre altri possono richiedere che la CA esegua Windows Server 2008. Esaminare l'elenco dei modelli di certificato predefiniti e le relative proprietà per individuare il modello esistente che risponde maggiormente alle proprie esigenze. In questo modo si ridurranno al minimo le attività di configurazione da eseguire.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per creare un nuovo modello di certificato

  1. Aprire lo snap-in Modelli di certificato.

  2. Fare clic con il pulsante destro del mouse sul modello da copiare e quindi scegliere Duplica modello.

  3. Scegliere la versione minima di CA che si desidera supportare.

  4. Digitare un nuovo nome per il modello di certificato.

  5. Apportare le modifiche necessarie e quindi fare clic su OK.

Ulteriori riferimenti

  • Gestire modelli di certificato

  • Modelli di certificato predefiniti


Eliminare un modello di certificato

Se non si desidera più che un modello di certificato sia disponibile per l'utilizzo, è possibile eliminarlo. Quando si elimina un modello di certificato, non è più possibile rilasciare certificati basati su di esso. Se si utilizzano Autorità di certificazione (CA) dell'organizzazione (Enterprise), l'eliminazione avrà effetto su tutte le CA di una foresta. Dopo aver eliminato modelli di certificato, non è possibile ripristinarli.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per eliminare un modello di certificato

  1. Aprire lo snap-in Modelli di certificato.

  2. Fare clic con il pulsante destro del mouse sul modello che si desidera eliminare e quindi scegliere Elimina.

  3. Fare clic su Sì per confermare l'eliminazione del modello.

Ulteriori riferimenti

  • Gestire modelli di certificato


Rinominare un modello di certificato

I nomi dei modelli di certificato personalizzati non possono essere modificati da un amministratore. Non è possibile modificare i nomi dei modelli di certificato predefiniti. Utilizzare la finestra di dialogo Modifica nomi per modificare il nome e il nome visualizzato del modello.

Il nome del modello è l'attributo relativo al nome comune dell'oggetto modello di certificato in Servizi di dominio Active Directory e solo tale oggetto modello viene aggiornato quando si modifica il nome del modello. Se il modello modificato è stato in precedenza pubblicato in Autorità di certificazione (CA) emittenti o è stato aggiunto a un elenco di modelli sostituiti, tali azioni devono essere ripetute per mantenere la coerenza dell'ambiente con infrastruttura a chiave pubblica.

Per modificare il nome di un modello di certificato

  1. Nella CA aprire lo snap-in Modelli di certificato.

  2. Fare clic sul modello di certificato che si desidera modificare. Scegliere Modifica nomi dal menu Azione.

    Nota

    Quando si seleziona un certificato predefinito, la voce Modifica nomi non viene visualizzata. Non è possibile modificare i nomi dei modelli di certificato predefiniti.

  3. Digitare un nuovo nome nella casella Nome modello o Nome visualizzato modello o in entrambe le caselle.

  4. Fare clic su OK per salvare le modifiche.
Importante
  • La modifica del nome del modello può richiedere le procedure aggiuntive seguenti:
    • Se il modello modificato viene sostituito da un altro modello, aggiornare il modello sostituito aggiungendo il modello modificato all'elenco dei modelli sostituiti. Vedere Sostituire modelli.

    • Se il modello modificato è stato pubblicato in CA emittenti, aggiornare l'elenco dei modelli di certificato in ogni CA emittente. Vedere Aggiungere un modello di certificato a un'Autorità di certificazione.

Ulteriori riferimenti

  • Modelli di certificato predefiniti


Configurare un modello di certificato

Quando si crea un nuovo modello di certificato, è inoltre possibile personalizzarne le proprietà generali, le estensioni e altre importanti caratteristiche.

  • Gestire modelli di certificato

  • Proprietà generali dei modelli di certificato

  • Estensioni dei modelli di certificato

  • Gestione richiesta

  • Crittografia

  • Sostituire modelli

  • Nomi soggetto

  • Server dei modelli di certificato


Proprietà generali dei modelli di certificato

La scheda Generale contiene informazioni sulla validità e il rinnovo dei certificati che verranno rilasciati in base a un modello di certificato.

Le impostazioni predefinite relative ai periodi di validità e di rinnovo dei certificati rilasciati da Servizi certificati Active Directory sono state definite in modo da soddisfare la maggior parte delle esigenze di sicurezza. È comunque possibile specificare impostazioni di validità e rinnovo diverse, ad esempio periodi di durata o rinnovo più brevi per i certificati utilizzati da determinati gruppi di utenti.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per modificare il periodo di validità o di rinnovo per un modello di certificato

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Generale controllare i valori correnti relativi ai periodi di validità e di rinnovo, modificarli come desiderato e quindi fare clic su Applica.

L'opzione Pubblica certificato in Active Directory consente di specificare se le informazioni relative al modello di certificato devono essere rese disponibili all'interno dell'organizzazione.

L'opzione Non eseguire automaticamente la nuova registrazione se esiste un certificato duplicato in Active Directory viene applicata quando il soggetto tenta di eseguire la registrazione per un certificato basato sul modello da un computer che esegue Windows XP o versioni successive. Con questa opzione, la registrazione automatica non invierà una richiesta di nuova registrazione se è presente un certificato duplicato in Servizi di dominio Active Directory. Ciò consente il rinnovo dei certificati impedendo il rilascio di più certificati duplicati.

L'opzione Per il rinnovo automatico di certificati smart card, usa la chiave esistente se non è possibile creare una nuova chiave consente di utilizzare la chiave esistente se è impossibile creare una nuova chiave durante il rinnovo di un certificato smart card. In questo modo si evitano possibili errori di rinnovo dei certificati smart card qualora si esaurisca lo spazio su disco della smart card.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare la pubblicazione dei certificati in Servizi di dominio Active Directory

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Generale selezionare l'impostazione di Active Directory appropriata e quindi fare clic su Applica.

Ulteriori riferimenti

  • Configurare un modello di certificato


Estensioni dei modelli di certificato

Ogni richiesta di certificato viene elaborata da un'Autorità di certificazione (CA) in base a un insieme definito di regole. I modelli di certificato possono essere personalizzati con diverse estensioni che ne regolano l'utilizzo. Di seguito vengono descritte alcune di queste estensioni:

  • Criteri di rilascio. I criteri di rilascio (noti anche come criteri di registrazione o criteri dei certificati) rappresentano un gruppo di regole amministrative applicate per il rilascio dei certificati. In un certificato tali regole sono rappresentate da un identificatore di oggetto (noto anche come OID) definito dalla CA. L'identificatore di oggetto è incluso nel certificato rilasciato. Quando un soggetto presenta il proprio certificato, questo può essere esaminato dalla destinazione per verificare il criterio di rilascio e determinare se il livello di tale criterio è sufficiente per eseguire l'azione richiesta. Per ulteriori informazioni, vedere Requisiti di rilascio.

  • Criteri di applicazione. I criteri di applicazione offrono l'importante opportunità di decidere quali certificati possono essere utilizzati per scopi specifici. In questo modo è possibile rilasciare certificati su vasta scala senza preoccuparsi che vengano utilizzati in modo improprio per uno scopo indesiderato. I criteri di applicazione vengono a volte definiti criteri di utilizzo chiavi avanzato. Poiché alcune implementazioni di applicazioni di infrastruttura a chiave pubblica (PKI) non sono in grado di interpretare i criteri di applicazione, nei certificati rilasciati da una CA basata su Windows Server è presente sia la sezione dei criteri di applicazione che quella dei criteri di utilizzo chiavi avanzato. Per ulteriori informazioni, vedere Criteri di applicazione.

  • Utilizzo chiave. Con un certificato, il soggetto è in grado di eseguire una determinata attività. Per poter controllare l'utilizzo di un certificato al di là dello scopo previsto, ai certificati vengono applicate automaticamente alcune restrizioni. L'utilizzo chiave è un metodo di restrizione che stabilisce il tipo di utilizzo di un certificato. In questo modo l'amministratore potrà rilasciare certificati che possono essere utilizzati solo per specifiche attività oppure per una vasta gamma di funzioni. Per ulteriori informazioni, vedere Utilizzo chiave.

  • Archiviazione chiavi. Se i soggetti smarriscono le proprie chiavi private, tutte le informazioni crittografate in modo permanente con la chiave pubblica corrispondente diventano inaccessibili. Per evitare questo tipo di problema, l'archiviazione chiavi consente di crittografare e archiviare le chiavi di un soggetto nel database CA quando vengono rilasciati i certificati. Se pertanto un soggetto smarrisce le chiavi, sarà possibile fornirgli di nuovo tali informazioni recuperandole dal database. In questo modo è possibile recuperare le informazioni crittografate anziché perderle definitivamente. Per ulteriori informazioni, vedere Gestione richiesta.

  • Limitazioni di base. Le limitazioni di base hanno la funzione di garantire che i certificati CA vengano utilizzati solo in alcune applicazioni. Un esempio di limitazione di base è la possibilità di specificare la lunghezza del percorso. Tale lunghezza determina il numero di CA consentite al di sotto della CA corrente. Applicando la limitazione della lunghezza, le CA alla fine del percorso possono rilasciare solo certificati finali e non certificati CA. Per ulteriori informazioni, vedere Limitazioni di base.

  • Nessun controllo di revoca OCSP. Questa estensione è disponibile solo nel nuovo modello di certificato Firma risposta OCSP e nei duplicati che derivano da tale modello. Non può pertanto essere aggiunta ad altri modelli di certificato. Tale estensione indica alla CA di includere l'estensione Nessun controllo di revoca OCSP (id-pkix-ocsp-nocheck) nel certificato rilasciato e di non includere le estensioni Accesso alle informazioni dell'autorità e Punti di distribuzione Elenco di revoche di certificati (CLR). I certificati Firma risposta OCSP infatti non vengono controllati per verificare lo stato della revoca. L'estensione si applica solo se la richiesta di certificato contiene Firma risposta OCSP nei criteri di utilizzo chiavi avanzato e nei criteri di applicazione.

Ulteriori riferimenti

  • Configurare un modello di certificato

  • Requisiti di rilascio

  • Criteri di applicazione

  • Utilizzo chiave

  • Limitazioni di base

  • Impostare come critico il criterio di rilascio o di applicazione


Requisiti di rilascio

Ogni richiesta di certificato viene elaborata da un'Autorità di certificazione (CA) in base a un insieme definito di regole. La CA può rilasciare alcuni certificati senza alcuna prova dell'identificazione e richiedere la prova dell'identificazione prima di rilasciare altri certificati. In questo modo vengono forniti livelli di garanzia diversi per certificati diversi. Tali livelli di garanzia vengono rappresentati nei certificati come criteri di rilascio.

I criteri di rilascio (noti anche come criteri di registrazione o criteri dei certificati) rappresentano un gruppo di regole amministrative applicate per il rilascio dei certificati. In un certificato tali regole sono rappresentate da un identificatore di oggetto (noto anche come OID) definito dalla CA. L'identificatore di oggetto è incluso nel certificato emesso. Quando un soggetto presenta il proprio certificato, questo può essere esaminato dalla destinazione per verificare il criterio di rilascio e determinare se il livello di tale criterio è sufficiente per eseguire l'azione richiesta.

In Windows Server 2008 R2, Windows Server 2008 e Windows Server 2003 sono inclusi quattro criteri di rilascio predefiniti:

  • Criteri di rilascio (2.5.29.32.0). Questo criterio indica che nel criterio di rilascio sono contenuti tutti gli altri criteri di rilascio. Tale identificatore di oggetto in genere viene assegnato solo a certificati CA.

  • Garanzia bassa (1.3.6.1.4.1.311.21.8.x.y.z.1.400). L'identificatore di oggetto della garanzia bassa viene utilizzato per rappresentare i certificati rilasciati senza ulteriori requisiti di sicurezza.

    Nota

    La parte x.y.z dell'identificatore di oggetto è una sequenza numerica generata in modo casuale univoca per ogni foresta di Active Directory.

  • Garanzia media (1.3.6.1.4.1.311.21.8.x.y.z.1.401). L'identificatore di oggetto della garanzia media viene utilizzato per rappresentare i certificati che prevedono ulteriori requisiti di sicurezza per il rilascio. Un certificato smart card rilasciato in un incontro diretto con un emittente di smart card ad esempio può essere considerato un certificato di garanzia media e contenere l'identificatore di oggetto della garanzia media.

  • Garanzia elevata (1.3.6.1.4.1.311.21.8.x.y.z.1.402). L'identificatore di oggetto della garanzia elevata viene utilizzato per rappresentare i certificati rilasciati con il livello di sicurezza più alto. Il rilascio di un certificato di un agente di recupero chiavi ad esempio può richiedere ulteriori controlli in background e la firma digitale di un revisore approvato poiché chi possiede questo certificato può recuperare il materiale relativo alle chiavi private da una CA dell'organizzazione (Enterprise).

È inoltre possibile creare identificatori di oggetto personalizzati per rappresentare criteri di rilascio personalizzati.

Quando i soggetti inviano richieste di certificati a una CA, è possibile che la richiesta venga approvata automaticamente oppure che le venga assegnato uno stato "in sospeso". Tale stato in genere viene utilizzato per i certificati che richiedono un livello di garanzia superiore e che pertanto prevedono più operazioni di amministrazione e ulteriori attività di verifica della richiesta. Sono disponibili diverse impostazioni per configurare i requisiti di autenticazione e firma per i certificati di rilascio basati su un modello.

Impostazione | Descrizione
Approvazione gestore certificati CA | Tutti i certificati vengono inseriti in un contenitore di certificati in sospeso che un gestore certificati può rilasciare o negare.
Numero di firme digitali autorizzate | Questa impostazione impone che la richiesta contenga la firma digitale di uno o più soggetti perché il certificato possa essere rilasciato. In questo modo vengono attivati molti altri parametri di configurazione.
Tipo di criterio richiesto nella firma digitale | Le firme richieste per il rilascio di un certificato devono contenere un criterio di applicazione o un criterio di rilascio specifico oppure entrambi questi criteri. È in questo modo che la CA determina se la firma è appropriata per autorizzare il rilascio del certificato del soggetto. Questa opzione è abilitata se è impostata l'opzione Numero di firme digitali autorizzate.
Criterio di applicazione | Consente di specificare il criterio di applicazione da verificare quando si firma una richiesta di certificato. Questa opzione è abilitata se l'opzione Tipo di criterio richiesto nella firma digitale è impostata su Criterio di applicazione o Criterio di applicazione e di rilascio.
Criterio di rilascio | Consente di specificare il criterio di applicazione da verificare quando si firma una richiesta di certificato. Questa opzione è abilitata se l'opzione Tipo di criterio richiesto nella firma digitale è impostata su Criterio di rilascio o Criterio di applicazione e di rilascio.

La possibilità di creare nuovi criteri di applicazione o di modificare criteri di applicazione esistenti è disponibile solo nei modelli di certificato versioni 2 e 3. Per ulteriori informazioni, vedere Modelli di certificato predefiniti.

Se un modello viene modificato, i client che dispongono già di un certificato valido basato su tale modello devono essere registrati nuovamente affinché possano ricevere un certificato basato sul modello modificato. Per ulteriori informazioni su come registrare nuovamente i client, vedere Registrare nuovamente tutti i possessori di certificati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per modificare un criterio di rilascio

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Requisiti di rilascio.

  4. Fornire le informazioni richieste.

Ulteriori riferimenti

  • Estensioni dei modelli di certificato

  • Impostare come critico il criterio di rilascio o di applicazione


Criteri di applicazione

I criteri di applicazione offrono l'importante opportunità di decidere quali certificati possono essere utilizzati per scopi specifici. In questo modo è possibile rilasciare certificati su vasta scala senza preoccuparsi che vengano utilizzati per uno scopo indesiderato.

I criteri di applicazione sono impostazioni con le quali si comunica a una destinazione che il soggetto possiede un certificato che può essere utilizzato per eseguire una specifica attività. In un certificato i criteri sono rappresentati da un identificatore di oggetto, noto anche come OID, definito per un'applicazione specifica. L'identificatore di oggetto è incluso nel certificato rilasciato. Quando un soggetto presenta il proprio certificato, questo può essere esaminato dal destinatario per verificare il criterio di applicazione e determinare se il soggetto può eseguire l'operazione richiesta.

I criteri di applicazione vengono a volte definiti criteri di utilizzo chiavi avanzato. Poiché alcune implementazioni di applicazioni di infrastruttura a chiave pubblica (PKI) non sono in grado di interpretare i criteri di applicazione, nei certificati rilasciati da un'Autorità di certificazione (CA) basata su Windows Server è presente sia la sezione dei criteri di applicazione che quella dei criteri di utilizzo chiavi avanzato. Nella tabella seguente sono elencati alcuni dei criteri di applicazione di utilizzo più comune.

Scopo | Identificatore di oggetto
Autenticazione client | 1.3.6.1.5.5.7.3.2
Certificato di crittografia CA | 1.3.6.1.4.1.311.21.5
Accesso smart card | 1.3.6.1.4.1.311.20.2.2
Firma del documento | 1.3.6.1.4.1.311.10.3.12
Ripristino file | 1.3.6.1.4.1.311.10.3.4.1
Recupero della chiave | 1.3.6.1.4.1.311.10.3.11
Firma elenco di attendibilità Microsoft | 1.3.6.1.4.1.311.10.3.1
Subordinazione qualificata | 1.3.6.1.4.1.311.10.3.10
Firmatario elenco radice | 1.3.6.1.4.1.311.10.3.9

È possibile creare nuovi criteri di applicazione o modificare criteri di applicazione esistenti solo nei modelli di certificato versioni 2 e 3. Per ulteriori informazioni, vedere Modelli di certificato predefiniti.

Se un modello viene modificato, i client che dispongono già di un certificato valido basato su tale modello devono essere registrati nuovamente affinché possano ricevere un certificato basato sul modello modificato. Per ulteriori informazioni su come registrare nuovamente i client, vedere Registrare nuovamente tutti i possessori di certificati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere un criterio di applicazione

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Estensioni fare clic su Criteri di applicazione e quindi su Modifica.

  4. In Modifica estensione criteri di applicazione fare clic su Aggiungi.

  5. In Aggiunta criterio di applicazione fare clic sul criterio di applicazione che si desidera aggiungere e quindi fare clic su OK.

Il criterio di applicazione che si desidera aggiungere potrebbe non essere disponibile. In questo caso, è possibile crearne uno nuovo.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per creare un criterio di applicazione

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Estensioni fare clic su Criteri di applicazione e quindi su Modifica.

  4. In Modifica estensione criteri di applicazione fare clic su Aggiungi.

  5. In Aggiunta criterio di applicazione fare clic su Nuovo.

  6. Fornire le informazioni richieste.

Ulteriori riferimenti

  • Estensioni dei modelli di certificato

  • Impostare come critico il criterio di rilascio o di applicazione


Utilizzo chiave

Con un certificato, il soggetto è in grado di eseguire una determinata attività. Per poter controllare l'utilizzo di un certificato al di là dello scopo previsto, ai certificati vengono applicate automaticamente alcune restrizioni. Queste restrizioni possono essere applicate tramite l'estensione di utilizzo chiave.

L'utilizzo chiave è un metodo di restrizione che stabilisce per quali operazioni può essere utilizzato un certificato. In questo modo l'amministratore potrà rilasciare certificati che possono essere utilizzati solo per specifiche attività oppure per una vasta gamma di funzioni. Alcuni esempi di descrizioni dell'utilizzo chiave sono rappresentati dalle opzioni "Firma digitale" e "Consenti scambio chiave soltanto con crittografia".

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per modificare l'utilizzo chiave

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Estensioni fare clic su Utilizzo chiave e quindi su Modifica.

  4. Selezionare le opzioni di utilizzo chiave che si desidera aggiungere o rimuovere e quindi fare due volte clic su OK.

    Nota

    Non tutte le opzioni di utilizzo chiave sono modificabili in tutti i modelli di certificato.

L'utilizzo dei certificati può inoltre essere gestito utilizzando l'estensione relativa ai criteri di applicazione. Per ulteriori informazioni, vedere Criteri di applicazione.

Ulteriori riferimenti

  • Estensioni dei modelli di certificato


Limitazioni di base

Le Autorità di certificazione (CA) devono possedere un certificato prima di poter rilasciare certificati. Esse utilizzano la chiave privata associata a tale certificato per apporre una firma digitale nei certificati rilasciati. Quando una CA ottiene un certificato da un'altra CA, la CA padre può scegliere di consentire o meno l'utilizzo del certificato per rilasciare certificati ad altri server per certificati. Questa è una limitazione di base.

Le limitazioni di base hanno la funzione di garantire che un certificato venga utilizzato solo in alcune applicazioni. Un esempio di limitazione di base è la possibilità di specificare la lunghezza del percorso.

La procedura seguente si applica solo a modelli di certificato che rilasciano certificati che firmano altri certificati, ad esempio CA con certificazione incrociata o CA radice.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per modificare le limitazioni di base

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Estensioni fare clic su Limitazioni di base e quindi su Modifica.

  4. In Modifica estensione limitazioni di base fornire le informazioni richieste.

Ulteriori considerazioni

  • Questa procedura è applicabile ai modelli versioni 2 e 3. Per ulteriori informazioni, vedere Versioni dei modelli di certificato.

Ulteriori riferimenti

  • Estensioni dei modelli di certificato


Impostare come critico il criterio di rilascio o di applicazione

Un identificatore di oggetto deve descrivere ogni criterio di applicazione e di rilascio definito. L'inserimento di un identificatore di oggetto criterio di rilascio in un certificato rilasciato indica che il certificato è stato emesso in conformità ai requisiti di rilascio associati all'oggetto criterio di rilascio.

Per impostazione predefinita, i criteri di rilascio o di applicazione non sono critici. Impostandoli come critici è possibile evitare che un certificato venga utilizzato in modo improprio. In questo modo tuttavia aumentano le probabilità che il certificato non sia compatibile con tutte le applicazioni.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per impostare come critico un criterio di rilascio o di applicazione

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Estensioni fare clic su Criteri di rilascio o Criteri di applicazione e quindi su Modifica.

  4. Selezionare la casella di controllo Rendi questa estensione critica.

  5. Fare clic su OK.

Ulteriori considerazioni

  • Se un modello viene modificato, i client che dispongono già di un certificato valido basato su tale modello devono essere registrati nuovamente affinché possano ricevere un certificato basato sul modello modificato. Per ulteriori informazioni, vedere Registrare nuovamente tutti i possessori di certificati.

Ulteriori riferimenti

  • Estensioni dei modelli di certificato

  • Identificatori di oggetto

  • Requisiti di rilascio

  • Criteri di applicazione


Gestione richiesta

Nella scheda Gestione richiesta è possibile definire lo scopo di un modello di certificato, i provider del servizio di crittografia (CSP, Cryptographic Service Provider) supportati, la lunghezza minima della chiave, l'esportabilità, le impostazioni di registrazione automatica e se sia richiesta la protezione chiave privata avanzata.

Scopo del certificato

Per scopo del certificato si intende l'utilizzo principale previsto per il certificato. Le impostazioni disponibili sono quattro e sono descritte nella tabella seguente.

Impostazione | Scopo
Crittografia | Contiene le chiavi di crittografia per crittografare e decrittografare.
Firma | Contiene le chiavi di crittografia solo per la firma dei dati.
Firma e crittografia | Prevede tutti gli utilizzi principali della chiave di crittografia di un certificato, tra cui la crittografia, la decrittografia, l'accesso iniziale o la firma digitale dei dati.
Accesso con firma e smart card | Consente di eseguire l'accesso iniziale con una smart card e di apporre una firma digitale nei dati. Non utilizzabile per crittografare i dati.

Nota

È possibile eseguire l'archiviazione delle chiavi solo se lo scopo del certificato è impostato su Crittografia o Firma e crittografia.

Impostazioni di archiviazione

Le Autorità di certificazione (CA) possono archiviare le chiavi di un soggetto nei relativi database quando vengono rilasciati i certificati. Se i soggetti smarriscono le proprie chiavi, sarà possibile fornire loro di nuovo le informazioni recuperandole dal database.

Le impostazioni di archiviazione delle chiavi descritte nella tabella seguente sono definite nella scheda Gestione richiesta.

Impostazione | Scopo
Archivia chiave privata di crittografia del soggetto | Se la CA emittente è configurata per l'archiviazione delle chiavi, la chiave privata del soggetto verrà archiviata.
Rendi la chiave privata esportabile | La chiave privata del soggetto può essere esportata in un file per il backup o il trasferimento in un altro computer.
Elimina certificati revocati o scaduti (non archiviare) | Se un certificato viene rinnovato perché scaduto o revocato, il certificato rilasciato precedentemente verrà rimosso dall'archivio dei certificati del soggetto. Per impostazione predefinita, l'opzione è disattivata e il certificato viene archiviato.
Includi algoritmi simmetrici consentiti dal soggetto | Quando richiede il certificato, il soggetto può fornire un elenco di algoritmi simmetrici supportati. Questa opzione consente alla CA emittente di includere tali algoritmi nel certificato, anche se non sono riconosciuti o supportati dal server.

Impostazioni di input utente

Nella scheda Gestione richiesta è inoltre possibile definire per un modello di certificato numerose impostazioni relative all'input utente.

Impostazione | Scopo
Registra soggetto senza richiedere alcun input utente | Questa opzione consente di eseguire la registrazione automatica senza interazione dell'utente ed è l'impostazione predefinita per i certificati sia del computer che dell'utente.
Chiedi conferma all'utente durante la registrazione | Se si disattiva questa opzione, gli utenti non dovranno fornire alcun input per l'installazione di un certificato basato sul modello di certificato.
Chiedi conferma all'utente durante la registrazione e richiedi input utente all'utilizzo della chiave privata | Questa opzione consente all'utente di impostare una password di protezione chiave privata avanzata per la chiave privata dell'utente quando la chiave viene generata e impone all'utente di utilizzare tale password ogni volta che vengono utilizzati il certificato e la chiave privata.

Altre impostazioni di gestione delle richieste della versione 3

La scheda Gestione richiesta dei modelli di certificato versione 3, oltre a presentare diverse altre modifiche, è stata aggiornata in modo da fornire il supporto per le nuove opzioni disponibili nella scheda Crittografia. Le opzioni disponibili sono elencate nella tabella seguente.

Impostazione Scopo

Usa algoritmo simmetrico avanzato per l'invio della chiave alla CA

Questa opzione consente all'amministratore di scegliere l'algoritmo Advanced Encryption Standard (AES) per crittografare le chiavi private mentre vengono trasferite alla CA per l'archiviazione. Se questa opzione è selezionata, il client utilizzerà la crittografia simmetrica AES-256 e il certificato di scambio della CA per la crittografia simmetrica per inviare la chiave privata alla CA per l'archiviazione. Se invece questa opzione non è selezionata, verrà utilizzato l'algoritmo simmetrico 3DES. Poiché l'archiviazione delle chiavi è prevista per le chiavi di crittografia e non per le chiavi di firma, questa opzione è abilitata solo se lo scopo del certificato è impostato su Crittografia.

Autorizza altri account di servizio ad accedere alla chiave privata

Questa opzione consente la definizione di un elenco di controllo di accesso (ACL) personalizzato nelle chiavi private dei certificati del computer in base a qualunque modello di certificato computer versione 3, ad eccezione dei modelli di CA radice, CA subordinata e CA incrociata. Un elenco di controllo di accesso personalizzato è necessario solo quando un account del servizio che richiede l'accesso alla chiave privata non è incluso nelle autorizzazioni predefinite. Le autorizzazioni predefinite applicate alla chiave privata dal client di registrazione certificati Microsoft e dal provider di archiviazione chiavi software includono l'autorizzazione Controllo completo per il gruppo Administrators e l'account Sistema locale. I provider non Microsoft possono applicare autorizzazioni predefinite diverse e potrebbero non supportare gli elenchi di controllo di accesso personalizzati definiti tramite questa opzione. Per ulteriori informazioni, fare riferimento alla documentazione del provider.

Nota

Questa opzione è stata sostituita dall'opzione Aggiungi autorizzazioni di lettura al servizio di rete nella chiave privata. In Windows Server 2008 R2 le autorizzazioni predefinite applicate alla chiave privata dei certificati Firma risposta OCSP includono l'autorizzazione Lettura per l'account del servizio Risponditore in linea e l'autorizzazione Controllo completo per il gruppo Administrators e l'account Sistema locale.

Per ulteriori informazioni sulle opzioni associate ai modelli di certificato versione 3, vedere Crittografia.

Altre impostazioni di gestione delle richieste della versione 2

Oltre alle impostazioni di archiviazione delle chiavi, è possibile definire opzioni generali che influiscono su tutti i certificati basati sui modelli di certificato versione 2. Le opzioni disponibili sono elencate nella tabella seguente.

Impostazione | Scopo
Dimensioni minime chiave | Consente di specificare la dimensione minima in bit della chiave che verrà generata per il certificato.
Provider del servizio di crittografia | Questo è un elenco dei provider del servizio di crittografia (CSP) che verranno utilizzati per registrare i certificati per il modello in questione. Selezionando uno o più CSP, il certificato viene configurato in modo da funzionare solo con tali CSP. Per poter essere utilizzato durante la registrazione, il CSP deve essere installato nel computer client. Se viene scelto un CSP specifico non disponibile in un computer client, la registrazione avrà esito negativo.

Ulteriori riferimenti

  • Configurare un modello di certificato


Crittografia

La scheda Crittografia è disponibile per i modelli di certificato versione 3. Questa scheda sostituisce la finestra di selezione del provider del servizio di crittografia (CSP) utilizzata per selezionare i CSP per i modelli di certificato versione 2. La scheda Crittografia consente di configurare le proprietà seguenti:

  • Nome algoritmo. Selezionare un algoritmo che sarà supportato dalla coppia di chiavi del certificato emesso. Nell'elenco vengono visualizzati solo gli algoritmi che supportano le operazioni di crittografia necessarie per lo scopo del certificato selezionato nella scheda Gestione richiesta. Nella tabella seguente viene descritta la relazione tra lo scopo del certificato e gli algoritmi disponibili.

    Scopo Algoritmi

    Crittografia

    ECDH_P256
    ECDH_P384
    ECDH_P521
    RSA

    Firma

    DSA
    ECDSA_P256
    ECDSA_P384
    ECDSA_P521
    RSA

    Firma e crittografia

    ECDH_P256
    ECDH_P384
    ECDH_P521
    RSA

    Accesso con firma e smart card

    ECDH_P256
    ECDH_P384
    ECDH_P521
    RSA

  • Dimensioni minime chiave. Questa opzione consente di specificare una dimensione minima richiesta per le chiavi utilizzate con l'algoritmo scelto. Per impostazione predefinita, per l'algoritmo scelto verrà utilizzata la lunghezza di chiave minima supportata nel computer.

  • Provider. I modelli versione 2 offrono un elenco di CSP CryptoAPI, mentre i modelli versione 3 offrono un elenco di provider CNG (Cryptography Next Generation) popolato in modo dinamico. In questo elenco vengono inseriti tutti i provider disponibili nel computer che soddisfano i criteri specificati da una combinazione delle opzioni di configurazione seguenti: Nome algoritmo e Dimensioni minime chiave nella scheda Crittografia e Scopo e Rendi la chiave privata esportabile nella scheda Gestione richiesta.

  • Algoritmo hash. Questa opzione consente di scegliere un algoritmo hash avanzato. Per impostazione predefinita, sono disponibili gli algoritmi seguenti: AES-GMAC, MD2, MD4, MD5, SHA1, SHA256, SHA384 e SHA512.

  • Usa formato di firma alternativo. Se viene selezionato l'algoritmo RSA, questa casella di controllo consente di specificare che nelle richieste di certificati create per il modello deve essere inclusa una firma discreta in formato PKCS #1 V2.1.

    Nota

    Tale impostazione si applica solo alla richiesta di certificato e non al certificato rilasciato dalla CA in base a questo modello.

Ulteriori riferimenti

  • Configurare un modello di certificato

  • Gestione richiesta


Sostituire modelli

A volte può essere necessario modificare le proprietà di un tipo di certificato già rilasciato ai client. In questo caso, è possibile creare un modello di certificato aggiornato per lo scopo del certificato e specificare che si desidera che i soggetti dei certificati basati sul vecchio modello ottengano nuovi certificati basati sul nuovo modello. Con questa procedura si impone ai soggetti di ottenere un nuovo certificato prima della data di rinnovo specificata nel modello di certificato originale.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per sostituire i modelli

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Modelli sostituiti.

  4. Fare clic su Aggiungi.

  5. Selezionare uno o più modelli da sostituire e quindi fare clic su OK.

  6. Apportare eventuali altre modifiche al modello che si desidera includere e quindi fare clic su OK.

Ulteriori riferimenti

  • Configurare un modello di certificato


Nomi soggetto

Il possessore della chiave privata associata a un certificato è noto come soggetto. Può trattarsi di un utente, un programma o, virtualmente, di qualsiasi oggetto, computer o servizio.

Poiché il nome del soggetto può variare enormemente in base alla propria natura, è necessaria una certa flessibilità nel fornire il nome del soggetto nella richiesta di certificato. È possibile generare il nome del soggetto automaticamente dalle informazioni sul soggetto archiviate in Servizi di dominio Active Directory. In alternativa, il soggetto può specificare il nome manualmente, ad esempio mediante la creazione e l'invio di una richiesta di certificato tramite le pagine Web di registrazione dei certificati.

Le autorità di certificazione dell'organizzazione (enterprise) includono lo snap-in Modelli di certificato per la configurazione di modelli di certificato. Utilizzare la scheda Nome soggetto nella pagina delle proprietà del modello di certificato per configurare le opzioni relative ai nomi di soggetto.

Inserire nella richiesta

Quando l'opzione Inserisci nella richiesta è selezionata, è disponibile l'opzione Utilizza le informazioni del soggetto dei certificati esistenti per le richieste di rinnovo della registrazione automatica che semplifica l'attività di aggiunta del nome del soggetto alla richiesta di rinnovo del certificato e consente il rinnovo automatico dei certificati computer. Per il rinnovo automatico dei certificati utente non vengono utilizzate le informazioni relative al soggetto presenti nei certificati esistenti.

Se l'opzione Utilizza le informazioni del soggetto dei certificati esistenti per le richieste di rinnovo della registrazione automatica è selezionata, durante la creazione automatica di richieste di rinnovo o l'utilizzo dello snap-in Certificati il client di registrazione dei certificati legge il nome e il nome alternativo del soggetto da un certificato computer esistente basato sullo stesso modello di certificato. Questo vale per i certificati computer scaduti, revocati o nel periodo di rinnovo.

Creare in base alle informazioni di Servizi di dominio Active Directory

Quando l'opzione Crea in base alle informazioni di Active Directory è selezionata, è possibile configurare le opzioni aggiuntive seguenti.

Formato del nome soggetto

Impostazione | Descrizione
Nome comune | Il nome del soggetto viene creato dall'autorità di certificazione in base al nome comune ottenuto da Servizi di dominio Active Directory. Tale nome deve essere univoco all'interno di un dominio, tuttavia potrebbe non esserlo nell'ambito di un'organizzazione.
Nome distinto completo (DN) | Il nome del soggetto viene creato dall'autorità di certificazione in base al nome distinto completo ottenuto da Servizi di dominio Active Directory. Ciò garantisce l'univocità del nome all'interno dell'organizzazione.
Includi nome posta elettronica nel nome soggetto. | Se il campo Nome posta elettronica non è vuoto nell'oggetto utente di Active Directory, questo verrà incluso insieme al nome comune o al nome distinto completo nel nome del soggetto.
Nessuno | Non è necessario un valore di nome per il certificato.

Includere le informazioni nel nome soggetto alternativo

Impostazione | Descrizione
Nome posta elettronica | Se il campo Nome posta elettronica non è vuoto nell'oggetto utente di Active Directory, tale nome verrà utilizzato.
Nome DNS | Nome di dominio completo (FQDN) del soggetto che ha richiesto il certificato. Viene principalmente utilizzato nei certificati per i computer.
Nome entità utente (UPN) | Il nome dell'entità utente fa parte dell'oggetto utente di Active Directory e verrà utilizzato.
Nome principale servizio (SPN, Service Principal Name) | Il nome dell'entità servizio fa parte dell'oggetto computer di Active Directory e verrà utilizzato.


Server dei modelli di certificato

Gli scenari di emissione di volumi elevati di certificati come le distribuzioni di Protezione accesso alla rete con applicazione di IPsec (Internet Protocol security) comportano la necessità di un'infrastruttura a chiave pubblica univoca. Per rispondere a tale necessità, è possibile utilizzare le opzioni seguenti introdotte in Windows Server 2008 R2 per configurare modelli di certificato per l'utilizzo da parte di Autorità di certificazione dai volumi elevati. Queste opzioni sono disponibili nella scheda Server della finestra delle proprietà di un modello di certificato.

Non archiviare certificati e richieste nel database CA

I certificati rilasciati in scenari con volumi elevati scadono in genere entro alcune ore dall'emissione e l'Autorità di certificazione emittente elabora un volume elevato di richieste di certificato. Per impostazione predefinita, un record di ogni richiesta e di ogni certificato rilasciato viene archiviato nel database CA. Un volume elevato di richieste provoca l'aumento del tasso di crescita del database CA e maggiori costi di amministrazione.

L'opzione Non archiviare certificati e richieste nel database CA consente di configurare il modello in modo che la CA elabori le richieste di certificato senza aggiungere record al database CA.

Importante

La CA emittente deve essere configurata per supportare richieste di certificato per cui sia attivata questa opzione. Nella CA emittente eseguire il comando seguente: CertUtil.exe –SetReg DBFlags +DBFLAGS_ENABLEVOLATILEREQUESTS.

Non includere le informazioni sulla revoca nei certificati rilasciati

La revoca dei certificati rilasciati da CA dai volumi elevati non è utile, in quanto i certificati scadono in genere entro alcune ore dall'emissione.

L'opzione Non includere le informazioni sulla revoca nei certificati rilasciati consente di configurare il modello in modo che la CA escluda le informazioni sulla revoca dai certificati rilasciati. In questo modo, viene evitato il controllo dello stato di revoca durante la convalida dei certificati, riducendo la durata della convalida.

Nota

È consigliabile selezionare questa opzione quando si utilizza l'opzione Non archiviare certificati e richieste nel database CA.

Ulteriori riferimenti

  • Configurare un modello di certificato


Distribuire modelli di certificato

Quando si crea un'Autorità di certificazione (CA) dell'organizzazione (Enterprise), i modelli di certificato vengono archiviati in Servizi di dominio Active Directory e possono essere messi a disposizione di tutte le CA dell'organizzazione (Enterprise) della foresta. Ciò consente una semplificazione delle operazioni di replica, gestione della sicurezza e aggiornamento dei modelli di certificato quando una CA viene aggiornata a una versione più recente di un sistema operativo server Windows. A tale scopo, è necessario che il gruppo Domain Admins del dominio radice disponga dell'autorizzazione Controllo completo per tutti i modelli di certificato o che tale autorizzazione sia stata concessa a un altro utente o gruppo.

Dopo aver pianificato e creato i modelli di certificato appropriati, questi verranno replicati automaticamente in tutti i controller di dominio dell'organizzazione. Tale replica in genere viene completata nel giro di otto ore. A causa del tempo richiesto, è consigliabile creare il modello di certificato e consentirne la replica prima di rilasciare ai client certificati basati su tale modello. È opportuno eseguire queste operazioni durante un periodo di inattività dell'ambiente. La configurazione di modelli e l'utilizzo di certificati prima del completamento della replica possono avere effetti indesiderati.

  • Gestire modelli di certificato

  • Aggiungere un modello di certificato a un'Autorità di certificazione

  • Rimuovere un modello di certificato da un'Autorità di certificazione


Aggiungere un modello di certificato a un'Autorità di certificazione

Prima che un'Autorità di certificazione (CA) possa rilasciare certificati, il modello di certificato deve essere stato aggiunto alla CA.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere un modello di certificato a una CA

  1. Aprire lo snap-in Autorità di certificazione e fare doppio clic sul nome della CA.

  2. Fare clic con il pulsante destro del mouse su Modelli di certificato, scegliere Nuovo e quindi Modello di certificato da rilasciare.

  3. Selezionare il modello di certificato desiderato e fare clic su OK.

Ulteriori riferimenti

  • Distribuire modelli di certificato


Rimuovere un modello di certificato da un'Autorità di certificazione

A volte può essere necessario rimuovere un modello di certificato da un'Autorità di certificazione (CA), ad esempio per evitare confusione quando viene aggiunta una versione più recente di tale modello.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per rimuovere un modello di certificato da una CA

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic su Modelli di certificato.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera eliminare e quindi scegliere Elimina.

Ulteriori riferimenti

  • Distribuire modelli di certificato


Rilasciare certificati basati su modelli di certificato

Servizi certificati Active Directory è in grado di supportare un'ampia gamma di metodi di registrazione e rinnovo, inclusi i metodi di registrazione automatica senza interazione del client e quelli di registrazione interattiva, ad esempio la Richiesta guidata certificato e le pagine Web di Servizi certificati Active Directory.

Nota

Se si distribuiscono Autorità di certificazione (CA) non Microsoft o applicazioni di registrazione e rinnovo dei certificati personalizzate, sarà necessario eseguire le attività di configurazione richieste per tali CA e applicazioni.

Il modo in cui un client ottiene un certificato è determinato principalmente dalle proprietà di sicurezza del modello di certificato.

Quando i modelli di certificato vengono pubblicati su un server, in ognuno di essi è contenuto un elenco di controllo di accesso (ACL, Access Control List) in cui sono definite le operazioni specifiche che un soggetto può eseguire con un certificato.

Impostazione Descrizione

Controllo completo

Il gruppo o l'utente selezionato può eseguire qualsiasi operazione sul modello.

Lettura

Il gruppo o l'utente selezionato può leggere il modello.

Scrittura

Il gruppo o l'utente selezionato può modificare il modello.

Registrazione

Il gruppo o l'utente selezionato può inviare una richiesta di rilascio o rinnovo di un certificato basata sul modello.

Nota

Per recuperare automaticamente Firma risposta OCSP, gli account del servizio Risponditore in linea devono disporre dell'autorizzazione di registrazione e non dell'autorizzazione di registrazione automatica.

Registrazione automatica

Il gruppo o l'utente selezionato può inviare una richiesta di certificato basata sul modello mediante la registrazione automatica.

Nota

L'autorizzazione di registrazione automatica non include l'autorizzazione di registrazione. Per utilizzare l'autorizzazione di registrazione automatica, concedere entrambe le autorizzazioni.

I certificati in genere vengono utilizzati per la registrazione di un soggetto con la registrazione automatica consentita. In questo caso, è necessario concedere al soggetto le autorizzazioni di lettura, registrazione e registrazione automatica.

Se non si desidera che gli utenti vengano registrati in modo automatico, ma allo stesso tempo si preferisce non rendere disponibile la registrazione manuale o basata sul Web, è consigliabile concedere le autorizzazioni di lettura e registrazione.

Quando i soggetti possiedono già un certificato, necessitano solo delle autorizzazioni di lettura e registrazione per rinnovare il certificato, indipendentemente dal fatto che utilizzino o meno la registrazione automatica.

È consigliabile riservare le autorizzazioni di scrittura e controllo completo ai gestori di CA per evitare che i modelli vengano configurati in modo non appropriato.

  • Gestire modelli di certificato

  • Impostare la registrazione automatica dei certificati

  • Consentire ai soggetti di richiedere un certificato basato su un modello

  • Registrare nuovamente tutti i possessori di certificati

  • Modificare un criterio di rilascio

  • Configurare la pubblicazione dei certificati in Servizi di dominio Active Directory


Impostare la registrazione automatica dei certificati

La registrazione automatica è una funzionalità di Servizi certificati Active Directory di grande utilità. Consente infatti all'amministratore di configurare i soggetti in modo che la registrazione per i certificati, il recupero dei certificati rilasciati e il rinnovo dei certificati in scadenza vengano eseguiti automaticamente senza alcuna interazione del soggetto. Non è pertanto necessario che quest'ultimo sia a conoscenza delle operazioni relative a un certificato, a meno che non si configuri il modello di certificato per interagire con il soggetto.

Per configurare correttamente la registrazione automatica dei soggetti, l'amministratore deve scegliere il modello o i modelli di certificato appropriati da utilizzare. Molte impostazioni del modello di certificato influiscono direttamente sulla modalità di esecuzione della registrazione automatica di un certificato. Per ulteriori informazioni su queste impostazioni, vedere:

  • Requisiti di rilascio

  • Criteri di applicazione

  • Utilizzo chiave

  • Sostituire modelli

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per impostare la registrazione automatica dei certificati

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulle diverse schede della finestra delle proprietà, tra cui Generale, Gestione richiesta e Requisiti di rilascio, e modificarne le impostazioni in base alle proprie esigenze.

  4. Nella scheda Sicurezza selezionare il nome di un gruppo o di un utente. Selezionare la casella di controllo Consenti accanto a Registrazione automatica e quindi fare clic su Applica.

Ulteriori riferimenti

  • Rilasciare certificati basati su modelli di certificato


Consentire ai soggetti di richiedere un certificato basato su un modello

Gli utenti possono ottenere i certificati necessari utilizzando la Richiesta guidata certificato per richiedere un certificato in base a un modello di certificato. Prima che gli utenti possano utilizzare questa procedura guidata, è necessario abilitare il modello di certificato per queste operazioni.

Per configurare correttamente la registrazione dei soggetti, l'amministratore deve scegliere il modello o i modelli di certificato appropriati da utilizzare. Molte impostazioni del modello influiscono direttamente sulla modalità di esecuzione della registrazione di un certificato. Per ulteriori informazioni su queste impostazioni, vedere:

  • Requisiti di rilascio

  • Criteri di applicazione

  • Utilizzo chiave

  • Sostituire modelli

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per consentire ai soggetti di richiedere un certificato basato su un modello

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Sicurezza aggiungere i gruppi, i computer o gli utenti a cui si desidera consentire di effettuare richieste di certificati.

  4. In Utenti e gruppi fare clic su uno dei nuovi oggetti e quindi in Autorizzazioni per NomeOggetto, nella colonna Consenti, selezionare le caselle di controllo Lettura e Registrazione.

  5. Ripetere il passaggio precedente per ogni nuovo oggetto.

Ulteriori riferimenti

  • Rilasciare certificati basati su modelli di certificato


Registrare nuovamente tutti i possessori di certificati

Questa procedura viene utilizzata se si apporta una modifica importante al modello di certificato e si desidera che tutti i soggetti che possiedono un certificato basato su tale modello eseguano nuovamente la registrazione il più presto possibile. La nuova registrazione avverrà la volta successiva in cui il soggetto confronterà la versione del certificato del soggetto con la versione del modello nell'Autorità di certificazione (CA).

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per registrare nuovamente tutti i possessori di certificati

  1. Aprire lo snap-in Modelli di certificato.

  2. Fare clic con il pulsante destro del mouse sul modello che si desidera utilizzare e quindi scegliere Registra nuovamente tutti i possessori di certificati.

Ulteriori riferimenti

  • Rilasciare certificati basati su modelli di certificato


Modificare un criterio di rilascio

I certificati possono essere richiesti da qualsiasi soggetto che disponga almeno delle autorizzazioni di lettura e registrazione per il modello di certificato corrispondente. In alcuni casi l'amministratore può imporre alcune restrizioni per il processo che ha luogo dopo che è stata effettuata una richiesta di certificato. In tal modo l'amministratore può controllare quali certificati vengono rilasciati e come viene implementato il processo di rilascio. Questo tipo di restrizione viene indicato come criterio di rilascio o anche come criterio di registrazione o criterio di certificato. I criteri di rilascio possono specificare se è richiesta l'approvazione del gestore di certificati o la presenza di più firme autorizzate e se devono essere implementati criteri di applicazione e di rilascio per il certificato. Per ulteriori informazioni, vedere Criteri di applicazione.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per modificare un criterio di rilascio

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Requisiti di rilascio.

  4. Fornire le informazioni richieste.

  5. Fare clic su Applica.

Ulteriori considerazioni

  • Questa procedura è applicabile ai modelli di certificato versioni 2 e 3. Per ulteriori informazioni, vedere Versioni dei modelli di certificato.

Ulteriori riferimenti

  • Rilasciare certificati basati su modelli di certificato

  • Requisiti di rilascio


Configurare la pubblicazione dei certificati in Servizi di dominio Active Directory

Un'Autorità di certificazione (CA) basata su Windows Server può aggiungere certificati rilasciati a soggetti di Active Directory all'oggetto Active Directory appropriato. In questo modo, gli altri utenti di Servizi di dominio Active Directory potranno individuare e utilizzare facilmente il certificato del soggetto. Nella scheda Generale della finestra delle proprietà del modello sono disponibili due impostazioni che influiscono sulla modalità di esecuzione di questa funzionalità:

  • Pubblica certificato in Active Directory. Quando un soggetto ottiene un certificato basato su questo modello, il certificato rilasciato verrà aggiunto all'oggetto Active Directory del soggetto.

  • Non eseguire automaticamente la nuova registrazione se esiste un certificato duplicato in Active Directory. Quando il soggetto tenta di eseguire la registrazione per un certificato basato su questo modello, i computer che eseguono Windows XP o versioni successive cercheranno un certificato duplicato in Servizi di dominio Active Directory. Se è presente un duplicato, la registrazione automatica non invierà una richiesta di nuova registrazione. Ciò consente il rinnovo dei certificati impedendo il rilascio di più certificati duplicati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni, vedere Implementare l'amministrazione basata sui ruoli.

Per configurare la pubblicazione dei certificati in Servizi di dominio Active Directory

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Generale selezionare la casella di controllo relativa all'impostazione di Active Directory appropriata e quindi fare clic su Applica.

Ulteriori riferimenti

  • Rilasciare certificati basati su modelli di certificato


Risolvere i problemi relativi ai modelli di certificato

In questa sezione vengono elencati alcuni problemi comuni che possono verificarsi quando si utilizzano i modelli di certificato o lo snap-in Modelli di certificato. Per ulteriori informazioni su come risolvere i problemi relativi ai modelli di certificato, vedere la pagina relativa alla risoluzione dei problemi di Servizi certificati Active Directory (http://go.microsoft.com/fwlink/?LinkId=89215).

Problema riscontrato

  • Nello snap-in Modelli di certificato non viene elencato alcun modello dopo che è stato richiesto se si desidera installare nuovi modelli di certificato

  • I certificati non vengono rilasciati ai client

  • I certificati vengono rilasciati ai soggetti, ma le operazioni di crittografia eseguite con tali certificati hanno esito negativo

  • I controller di dominio non ottengono un certificato di controller di dominio

  • I client non riescono a ottenere certificati tramite la registrazione automatica

  • I nomi dei modelli di certificato nello snap-in non corrispondono da una visualizzazione o finestra all'altra

  • Non è possibile esportare la chiave privata dai certificati smart card anche dopo aver selezionato nel modello di certificato l'opzione Rendi la chiave privata esportabile

  • Il modello di certificato è stato modificato, ma per alcune Autorità di certificazione (CA) esiste ancora la versione non modificata

  • La chiave privata non viene archiviata benché sia stata selezionata l'opzione Archivia chiave privata di crittografia del soggetto e la CA sia stata configurata in modo da richiedere il recupero della chiave

  • La registrazione automatica richiede se si desidera rinnovare un certificato di cui non si è proprietari e nell'archivio dei certificati personali sono contenuti certificati inseriti da qualcun altro

Nello snap-in Modelli di certificato non viene elencato alcun modello dopo che è stato richiesto se si desidera installare nuovi modelli di certificato.
  • Causa: i modelli di certificato non sono stati ancora replicati nell'Autorità di certificazione (CA) a cui è connesso il computer. Tale replica viene eseguita nel corso della replica di Active Directory.

  • Soluzione: attendere che i modelli di certificato vengano replicati e quindi riaprire lo snap-in Modelli di certificato.

I certificati non vengono rilasciati ai client.
  • Causa: il periodo di validità restante del certificato di rilascio utilizzato dall'Autorità di certificazione (CA) è più breve del periodo coincidente configurato per il modello di certificato della richiesta. In questo modo il certificato rilasciato sarebbe immediatamente pronto per essere registrato di nuovo. Per evitare di rilasciare e rinnovare continuamente il certificato, la relativa richiesta non viene elaborata.

  • Soluzione: rinnovare il certificato di rilascio utilizzato dalla CA.

I certificati vengono rilasciati ai soggetti, ma le operazioni di crittografia eseguite con tali certificati hanno esito negativo.
  • Causa: il provider del servizio di crittografia (CSP, Cryptographic Service Provider) non corrisponde alle impostazioni di utilizzo chiave o non esiste.

  • Soluzione: verificare di aver impostato nel modello un CSP che supporti il tipo di operazione di crittografia per cui verrà utilizzato il certificato.

I controller di dominio non ottengono un certificato di controller di dominio.
  • Causa: la registrazione automatica è stata disattivata utilizzando le impostazioni dei Criteri di gruppo per i controller di dominio. I controller di dominio ottengono i rispettivi certificati tramite registrazione automatica.

  • Soluzione: attivare la registrazione automatica per i controller di dominio.

  • Causa: l'impostazione Richiesta automatica certificati predefinita per i controller di dominio è stata rimossa dal Criterio controller di dominio predefiniti.

  • Soluzione: creare una nuova richiesta di certificato automatica nel Criterio controller di dominio predefiniti per il modello di certificato del controller di dominio.

I client non riescono a ottenere certificati tramite la registrazione automatica.
  • Causa: è necessario impostare le autorizzazioni di sicurezza appropriate per consentire ai soggetti desiderati di eseguire la registrazione e la registrazione automatica per il modello di certificato. Per attivare la registrazione automatica, sono necessarie entrambe le autorizzazioni.

  • Soluzione: modificare l'elenco di controllo di accesso discrezionale (DACL, Discretionary Access Control List) nel modello di certificato in modo da concedere le autorizzazioni di lettura, registrazione e registrazione automatica per i soggetti desiderati.

I nomi dei modelli di certificato nello snap-in non corrispondono da una visualizzazione o finestra all'altra.
  • Causa: per visualizzare i modelli di certificato viene utilizzato Siti e servizi di Active Directory. È possibile che questo snap-in non offra una visualizzazione accurata come quella di Modelli di certificato.

  • Soluzione: utilizzare lo snap-in Modelli di certificato per amministrare i modelli di certificato.

Non è possibile esportare la chiave privata dai certificati smart card anche dopo aver selezionato nel modello di certificato l'opzione Rendi la chiave privata esportabile.
  • Causa: le smart card non consentono l'esportazione delle chiavi private dopo che queste sono state scritte nella smart card.

  • Soluzione: nessuna.

Il modello di certificato è stato modificato, ma per alcune Autorità di certificazione (CA) esiste ancora la versione non modificata.
  • Causa: i modelli di certificato vengono replicati tra CA nel corso del processo di replica di Active Directory. Poiché la replica non è immediata, è possibile che si verifichi un leggero ritardo prima che la nuova versione del modello sia disponibile in tutte le CA.

  • Soluzione: attendere che il modello modificato venga replicato in tutte le CA. Per visualizzare i modelli di certificato disponibili nella CA, utilizzare lo strumento da riga di comando Certutil.exe.

La chiave privata non viene archiviata benché sia stata selezionata l'opzione Archivia chiave privata di crittografia del soggetto e la CA sia stata configurata in modo da richiedere il recupero della chiave.
  • Causa: le chiavi private non vengono archiviate se l'utilizzo chiave per il modello di certificato è impostato su Firma. Per poter utilizzare le firme digitali infatti la chiave non deve essere recuperabile.

  • Soluzione: nessuna

La registrazione automatica richiede se si desidera rinnovare un certificato di cui non si è proprietari e nell'archivio dei certificati personali sono contenuti certificati inseriti da qualcun altro.
  • Causa: quando si utilizza la stazione di registrazione di smart card nel computer dell'amministratore per rinnovare o modificare il certificato archiviato nella smart card, tale certificato viene copiato nell'archivio dei certificati personali dell'amministratore. È possibile che il certificato venga elaborato tramite registrazione automatica e che venga chiesto se si desidera avviare il processo di rinnovo.

  • Soluzione: fare clic su Avvia per avviare il processo di rinnovo tramite registrazione automatica. Poiché non si è proprietari del certificato, il processo di registrazione automatica terminerà dopo aver fatto clic su Avvia. Se si desidera rimuovere i certificati dall'archivio dei certificati personali, è possibile eliminarli manualmente.


Risorse aggiuntive per i modelli di certificato

Per ulteriori informazioni sui modelli di certificato, vedere le risorse seguenti nel sito Web Microsoft:

  • Implementazione e amministrazione dei modelli di certificato in Windows Server 2008 (http://go.microsoft.com/fwlink/?LinkID=92522)

  • Documentazione tecnica sui certificati (http://go.microsoft.com/fwlink/?LinkId=64035)

  • Documentazione tecnica su Servizi certificati (http://go.microsoft.com/fwlink/?LinkId=64036)

  • Registrazione automatica dei certificati in Windows Server (http://go.microsoft.com/fwlink/?LinkId=64037)

  • Registrazione e gestione avanzate dei certificati in Windows Server (http://go.microsoft.com/fwlink/?LinkId=64038)

  • Archiviazione e gestione delle chiavi dei certificati (http://go.microsoft.com/fwlink/?LinkId=89551)


Identificatori di oggetto

Gli identificatori di oggetto, noti anche come OID (Object Identifier), sono numeri che identificano una classe o un attributo di oggetto. Un identificatore di oggetto è rappresentato da una stringa decimale puntata, ad esempio 1.2.3.4, in cui ogni punto rappresenta un nuovo ramo della gerarchia.

Gli identificatori di oggetto sono organizzati in una gerarchia globale standard. Le autorità di registrazione assegnano identificatori di oggetto radice a singoli o organizzazioni, che gestiscono la gerarchia al di sotto del rispettivo identificatore di oggetto radice.

Gli identificatori di oggetto devono essere univoci all'interno di un'organizzazione.

Per creare un nuovo identificatore di oggetto

  1. Aprire lo snap-in Modelli di certificato.

  2. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul modello di certificato che si desidera modificare e quindi scegliere Proprietà.

  3. Nella scheda Estensioni fare clic su Criteri di applicazione e quindi su Modifica.

  4. In Modifica estensione criteri di applicazione fare clic su Aggiungi.

  5. In Aggiunta criterio di applicazione fare clic su Nuovo.

  6. Fornire le informazioni richieste.


Implementare l'amministrazione basata sui ruoli

È possibile utilizzare l'amministrazione basata sui ruoli per organizzare gli amministratori dell'Autorità di certificazione (CA) in ruoli CA predefiniti distinti, ognuno con il proprio gruppo di attività. I ruoli vengono assegnati in base alle impostazioni di sicurezza di ogni utente. All'utente viene infatti assegnato un ruolo assegnandogli le impostazioni di sicurezza specifiche associate a tale ruolo. Un utente che dispone di un tipo di autorizzazione, ad esempio Gestione CA, potrà pertanto eseguire attività CA specifiche che non possono essere eseguite da un utente con un altro tipo di autorizzazione, ad esempio Rilascio e gestione certificati.

Nella tabella seguente vengono descritti i ruoli, gli utenti e i gruppi che possono essere utilizzati per implementare l'amministrazione basata sui ruoli. Per assegnare un ruolo a un utente o a un gruppo, è necessario assegnare all'utente o al gruppo le autorizzazioni di sicurezza, le appartenenze ai gruppi o i diritti utente corrispondenti del ruolo. Le autorizzazioni di sicurezza, le appartenenze ai gruppi e i diritti utente vengono utilizzati per stabilire quali utenti hanno determinati ruoli.

Ruoli e gruppi | Autorizzazione di sicurezza | Descrizione
Amministratore della CA | Gestione CA | Consente di configurare e gestire la CA. Questo è un ruolo CA e consente di assegnare tutti gli altri ruoli CA e di rinnovare il certificato CA. Queste autorizzazioni vengono assegnate tramite lo snap-in Autorità di certificazione.
Gestore di certificati | Rilascio e gestione certificati | Consente di approvare le richieste di registrazione e revoca dei certificati. Questo è un ruolo CA e a volte viene indicato come responsabile CA. Queste autorizzazioni vengono assegnate tramite lo snap-in Autorità di certificazione.
Backup Operators | Backup di file e directory Ripristino di file e directory | Consentono di eseguire operazioni di backup e ripristino del sistema. Il backup è una funzionalità del sistema operativo.
Auditor | Gestione file registro di controllo e di sicurezza | Consente di configurare, visualizzare e gestire i registri di controllo. Il controllo è una funzionalità del sistema operativo e l'auditor è un ruolo del sistema operativo.
Iscritti | Lettura Registrazione | Gli iscritti sono client autorizzati a richiedere certificati a una CA. Questo non è un ruolo CA.

Tutti i ruoli CA vengono assegnati e modificati dai membri del gruppo Administrators, Enterprise Admins o Domain Admins locale. Nelle CA dell'organizzazione (Enterprise) gli amministratori locali, gli amministratori dell'organizzazione e gli amministratori di dominio sono amministratori della CA per impostazione predefinita. In una CA autonoma (Standalone) invece solo gli amministratori locali sono amministratori della CA per impostazione predefinita. Se una CA autonoma (Standalone) è installata in un server che viene aggiunto a un dominio Active Directory, gli amministratori di dominio sono anche amministratori della CA.

I ruoli di amministratore della CA e di gestore di certificati possono essere assegnati agli utenti di Active Directory o agli utenti locali in Gestione account di sicurezza (SAM, Security Accounts Manager) nel computer locale, ovvero nel database degli account di sicurezza locale. È consigliabile assegnare i ruoli ad account di gruppo anziché a singoli account utente.

Solo l'amministratore della CA, il gestore di certificati, l'auditor e Backup Operators sono ruoli CA. Gli altri utenti descritti nella tabella sono importanti per l'amministrazione basata sui ruoli ed è necessario acquisire familiarità con essi prima di assegnare i ruoli CA.

Solo gli amministratori della CA e i gestori di certificati vengono assegnati tramite lo snap-in Autorità di certificazione. Per cambiare le autorizzazioni di un utente o di un gruppo, è necessario cambiare le autorizzazioni di sicurezza, l'appartenenza ai gruppi o i diritti utente dell'utente.

Per impostare le autorizzazioni di sicurezza degli amministratori della CA e dei gestori di certificati per una CA

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Sicurezza e specificare le autorizzazioni di sicurezza.

Ruoli e attività

A ogni ruolo CA è associato un elenco specifico di attività di amministrazione delle CA. Nella tabella seguente vengono elencate tutte le attività di amministrazione delle CA insieme ai ruoli a cui sono associate.

Attività | Amministratore della CA | Gestore di certificati | Auditor | Operatore di backup | Amministratore locale | Note
Installare CA |  |  |  |  | X |
Configurare moduli criteri e di uscita | X |  |  |  |  |
Arrestare e avviare il servizio Servizi certificati Active Directory | X |  |  |  |  |
Configurare estensioni | X |  |  |  |  |
Configurare ruoli | X |  |  |  |  |
Rinnovare chiavi CA |  |  |  |  | X |
Definire agenti di recupero chiavi | X |  |  |  |  |
Configurare limitazioni per i gestori di certificati | X |  |  |  |  |
Eliminare una singola riga nel database CA | X |  |  |  |  |
Eliminare più righe nel database CA (eliminazione di massa) | X | X |  |  |  | L'utente deve essere sia amministratore della CA che gestore di certificati. Questa attività non può essere eseguita se viene applicata la separazione dei ruoli.
Attivare la separazione dei ruoli |  |  |  |  | X |
Rilasciare e approvare certificati |  | X |  |  |  |
Negare certificati |  | X |  |  |  |
Revocare certificati |  | X |  |  |  |
Riattivare certificati in attesa |  | X |  |  |  |
Rinnovare certificati |  | X |  |  |  |
Attivare, pubblicare o configurare pianificazioni di elenchi di revoche di certificati (CRL, Certificate Revocation List) | X |  |  |  |  |
Recuperare chiavi archiviate |  | X |  |  |  | Solo un gestore di certificati può recuperare dal database CA la struttura dati delle chiavi crittografata. È necessaria la chiave privata di un agente di recupero chiavi valido per decrittografare la struttura dati delle chiavi e generare un file PKCS #12.
Configurare parametri di controllo |  |  | X |  |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system audit.
Controllare registri |  |  | X |  |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system audit.
Eseguire il backup del sistema |  |  |  | X |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system backup.
Ripristinare il sistema |  |  |  | X |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system backup.
Leggere il database CA | X | X | X | X |  | Per impostazione predefinita, l'amministratore locale dispone dei diritti utente system audit e system backup.
Leggere le informazioni di configurazione delle CA | X | X | X | X |  | Per impostazione predefinita, l'amministratore locale dispone dei diritti utente system audit e system backup.

Ulteriori considerazioni

  • Gli iscritti sono autorizzati a leggere le proprietà delle CA e i CRL, nonché a richiedere certificati. In una CA dell'organizzazione (Enterprise) un utente deve disporre delle autorizzazioni di lettura e registrazione per il modello di certificato per poter richiedere un certificato. Gli amministratori delle CA, i gestori di certificati, gli auditor e i membri del gruppo Backup Operators dispongono implicitamente delle autorizzazioni di lettura.

  • Un auditor dispone del diritto utente system audit.

  • Un membro del gruppo Backup Operators dispone del diritto utente system backup. È inoltre autorizzato ad avviare e arrestare il servizio Servizi certificati Active Directory.

Assegnare ruoli

L'amministratore di una CA assegna gli utenti ai diversi ruoli dell'amministrazione basata sui ruoli applicando all'account dell'utente le impostazioni di sicurezza richieste da un ruolo. L'amministratore della CA può assegnare un utente a più ruoli, ma la CA risulterà più sicura se ogni utente verrà assegnato a un solo ruolo. Questa strategia di delega consente di limitare il numero delle attività CA che possono essere compromesse in caso di violazione dell'account di un utente.

Responsabilità degli amministratori

Come impostazione di installazione predefinita, per una CA autonoma i membri del gruppo Administrators locale sono amministratori della CA. Per una CA dell'organizzazione (Enterprise) invece sono amministratori della CA i membri dei gruppi Administrators, Enterprise Admins e Domain Admins locali. Per limitare il potere di questi account, rimuoverli dai ruoli di amministratore della CA e di gestore di certificati al momento dell'assegnazione di tutti i ruoli CA.

È consigliabile che gli account di gruppo a cui vengono assegnati ruoli di amministratore della CA o di gestore di certificati non siano membri del gruppo Administrators locale. È opportuno inoltre assegnare i ruoli CA solo ad account di gruppo piuttosto che a singoli account utente.

Nota

Per rinnovare un certificato CA, è necessaria l'appartenenza al gruppo Administrators locale della CA. I membri di tale gruppo possono avere autorità amministrativa su tutti gli altri ruoli CA.


Configurare la registrazione dei certificati

Servizi certificati Active Directory è in grado di supportare un'ampia gamma di metodi di registrazione e rinnovo, ad esempio la Richiesta guidata certificato e la registrazione Web di Servizi certificati Active Directory. Se tuttavia si distribuiscono Autorità di certificazione non Microsoft o applicazioni di registrazione e rinnovo dei certificati personalizzate, sarà necessario eseguire le attività di configurazione richieste per tali servizi e applicazioni.