Autorità registrazione integrità

L'Autorità registrazione integrità è un componente di un'infrastruttura di Protezione accesso alla rete che svolge un ruolo fondamentale nell'imposizione IPsec di Protezione accesso alla rete. L'Autorità registrazione integrità riceve certificati di integrità per conto dei client di Protezione accesso alla rete quando questi sono conformi con i requisiti di integrità della rete. Tali certificati consentono di autenticare i client di Protezione accesso alla rete per le comunicazioni con protezione IPsec con altri client di Protezione accesso alla rete in una Intranet. Se un client di Protezione accesso alla rete non dispone di un certificato di integrità, l'autenticazione peer IPsec ha esito negativo e il client non può iniziare la comunicazione con altri computer con protezione IPsec della rete.

L'Autorità registrazione integrità viene installata in un computer in cui sono in esecuzione Server dei criteri di rete e Internet Information Services (IIS). Se non sono installati, tali servizi verranno aggiunti quando si installa l'Autorità registrazione integrazione.

  • Panoramica di Autorità registrazione integrità

  • Elenco di controllo: distribuire l'imposizione IPsec di Protezione accesso alla rete con l'Autorità registrazione integrità

  • Configurare l'Autorità registrazione integrità

  • Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità

  • Informazioni sul criterio di richiesta dell'Autorità registrazione integrità

  • Configurare l'Autorità di certificazione di Protezione accesso alla rete

  • Configurare i criteri di crittografia dell'Autorità registrazione integrità

  • Configurare i criteri di trasporto dell'Autorità registrazione integrità

  • Risolvere i problemi relativi all'Autorità registrazione integrità

  • Informazioni sull'imposizione IPsec di Protezione accesso alla rete

  • Verificare la configurazione dell'Autorità di certificazione

  • Verificare la configurazione del client di Protezione accesso alla rete

  • Verificare la configurazione di Server dei criteri di rete

  • Verificare la configurazione di IIS


Panoramica di Autorità registrazione integrità

L'Autorità registrazione integrità offre un servizio per la piattaforma Protezione accesso alla rete noto comunemente come Autorità registrazione in un'infrastruttura a chiave pubblica (PKI) X.509. In qualità di Autorità registrazione, Autorità registrazione integrità è responsabile della convalida delle credenziali del client e dell'inoltro di una richiesta di certificato a un'Autorità di certificazione (CA) per conto del client. L'Autorità registrazione integrità convalida le richieste di certificati eseguendo controlli presso Server dei criteri di rete per determinare se il client di Protezione accesso alla rete è conforme con i requisiti di integrità della rete. Se il client è conforme, l'Autorità registrazione integrità richiede all'Autorità di certificazione un tipo speciale di certificato denominato certificato di integrità. Il certificato di integrità viene utilizzato dai computer client di Protezione accesso alla rete per comunicare in una rete con protezione IPsec. In questo ruolo, l'Autorità registrazione integrità funge da server di imposizione Protezione accesso alla rete per il metodo di imposizione IPsec (Internet Protocol security) di Protezione accesso alla rete.

Concetti importanti

Per capire il ruolo dell'Autorità registrazione integrità in una distribuzione Protezione accesso alla rete, esaminare i concetti seguenti.

  • Certificati di integrità

    Certificati X.509 rilasciati ai computer client di Protezione accesso alla rete che vengono utilizzati per fornire la prova di conformità con i requisiti di integrità della rete. Il computer client di Protezione accesso alla rete ottiene un certificato di integrità fornendo una dichiarazione del proprio stato di integrità, denominata rapporto di integrità, all'Autorità registrazione integrità. Il client di Protezione accesso alla rete esegue il monitoraggio continuo dello stato di integrità ed elimina il certificato di integrità se il client non è più conforme. I certificati di integrità possono essere utilizzati per autenticare i client di Protezione accesso alla rete quando questi iniziano comunicazioni con protezione IPsec con altri client di Protezione accesso alla rete in una Intranet. L'imposizione IPsec di Protezione accesso alla rete limita la comunicazione per i client di Protezione accesso alla rete basati su IPsec ignorando i tentativi di comunicazione in ingresso inviati da computer senza certificati di integrità.

  • Autorità di certificazione di Protezione accesso alla rete

    Server che eseguono Servizi certificati Active Directory® e che ospitano certificati X.509 e li rilasciano ai client di Protezione accesso alla rete che vengono ritenuti conformi con i requisiti di integrità della rete. È necessario specificare una o più CA per il rilascio di certificati di integrità di Protezione accesso alla rete. Per ulteriori informazioni, vedere Configurare l'Autorità di certificazione di Protezione accesso alla rete e Verificare la configurazione dell'Autorità di certificazione.

  • Criterio di richiesta per l'Autorità registrazione integrità

    Impostazioni che determinano come viene consentito ai client di comunicare con l'Autorità registrazione integrità durante la richiesta di certificati di integrità. È possibile personalizzare il criterio di richiesta per l'Autorità registrazione integrità personalizzando le impostazioni dei criteri di crittografia e dei criteri di trasporto. Non è necessario modificare le impostazioni del criterio di richiesta per l'Autorità registrazione integrità. È consigliabile utilizzare le impostazioni predefinite. Se si decide di modificare queste impostazioni, è importante configurare impostazioni identiche nei server Autorità registrazione integrità e nei computer client di Protezione accesso alla rete. Per ulteriori informazioni, vedere Informazioni sul criterio di richiesta dell'Autorità registrazione integrità, Configurare i criteri di crittografia dell'Autorità registrazione integrità e Configurare i criteri di trasporto dell'Autorità registrazione integrità.

  • Internet Information Services (IIS)

    Insieme di servizi Internet installati automaticamente durante l'installazione dell'Autorità registrazione integrità. Il servizio IIS offre un'interfaccia HTTP/HTTPS che i client di Protezione accesso alla rete possono utilizzare per contattare il server Autorità registrazione integrità e richiedere certificati di integrità. Le richieste vengono elaborate mediante un'estensione ISAPI (Internet Server Application Programming Interface) che può essere offerta a utenti anonimi oppure limitata a utenti che sono stati autenticati nel dominio. Per ulteriori informazioni, vedere Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità e Verificare la configurazione di IIS.

  • Server dei criteri di rete

    Implementazione Microsoft di un proxy e un server RADIUS (Remote Authentication Dial-In User Service). Se Server dei criteri di rete non è già in esecuzione nel server, verrà automaticamente installato durante l'installazione dell'Autorità registrazione integrità. È possibile configurare Server dei criteri di rete nel server Autorità registrazione integrità come proxy di Server dei criteri di rete o come server dei criteri di integrità di Protezione accesso alla rete. Se si configura Server dei criteri di rete come server dei criteri di integrità di Protezione accesso alla rete, è necessario configurare impostazioni e criteri di Protezione accesso alla rete, inclusi:

    • Criteri di richiesta di connessione: insieme di impostazioni e condizioni che convalidano le richieste di accesso alla rete e specificano la posizione in cui viene eseguita la convalida.

    • Criteri di rete: insieme di condizioni, vincoli e impostazioni che consentono di designare chi può connettersi alla rete.

    • Criteri di integrità: requisiti di integrità del sistema che definiscono quali istanze di Convalida integrità sistema vengono utilizzate per la convalida della configurazione dei computer che tentano di connettersi alla rete.

    • Istanze di Convalida integrità sistema: software server dei criteri di integrità di Protezione accesso alla rete corrispettivo di un Agente integrità sistema. Le istanze di Convalida integrità sistema definiscono i requisiti di configurazione dei computer che tentano di connettersi alla rete.

Se si configura Server dei criteri di rete come proxy RADIUS, è necessario verificare la connettività di rete verso i gruppi di server RADIUS remoti e convalidare la configurazione di tali server come server dei criteri di integrità di Protezione accesso alla rete. Per ulteriori informazioni, vedere Verificare la configurazione di Server dei criteri di rete.

Ulteriori riferimenti

  • Elenco di controllo: distribuire l'imposizione IPsec di Protezione accesso alla rete con l'Autorità registrazione integrità

  • Configurare l'Autorità registrazione integrità

  • Risolvere i problemi relativi all'Autorità registrazione integrità

  • Informazioni sull'imposizione IPsec di Protezione accesso alla rete


Elenco di controllo: distribuire l'imposizione IPsec di Protezione accesso alla rete con l'Autorità registrazione integrità

Passaggio | Riferimento
Configurare un'Autorità di certificazione (CA) per il rilascio di certificati di integrità. | Verificare la configurazione dell'Autorità di certificazione
Selezionare i requisiti di autenticazione e installare l'Autorità registrazione integrità. | Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità
Configurare il server dei criteri di integrità di Protezione accesso alla rete e il proxy di Server dei criteri di rete (se necessario) in Server dei criteri di rete. | Verificare la configurazione di Server dei criteri di rete
Configurare le autorità di certificazione nell'Autorità registrazione integrità. | Configurare l'Autorità di certificazione di Protezione accesso alla rete
Configurare client idonei per Protezione accesso alla rete per l'imposizione IPsec (Internet Protocol security) di di Protezione accesso alla rete. | Verificare la configurazione del client di Protezione accesso alla rete
Utilizzare i criteri IPsec per creare reti logiche. | Informazioni sull'imposizione IPsec di Protezione accesso alla rete

Ulteriori riferimenti

  • Risolvere i problemi relativi all'Autorità registrazione integrità


Configurare l'Autorità registrazione integrità

Le opzioni per la configurazione dell'Autorità registrazione integrità sono le seguenti:

  • Requisiti di autenticazione

    Configurati mediante l'Aggiunta guidata ruoli durante l'installazione del servizio ruolo Autorità registrazione integrità. Per ulteriori informazioni, vedere Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità.

  • Autorità di certificazione (CA)

    Configurate durante l'installazione dell'Autorità registrazione integrità o successivamente mediante lo snap-in Autorità registrazione integrità o i comandi contestuali netsh nap hra. Affinché l'Autorità registrazione integrità riceva i certificati di integrità per conto dei client di Protezione accesso alla rete, è necessario che sia configurata almeno un'Autorità di certificazione. Per ulteriori informazioni, vedere Configurare l'Autorità di certificazione di Protezione accesso alla rete.

  • Criterio di richiesta

    Configurato dopo l'installazione dell'Autorità registrazione integrità mediante lo snap-in Autorità registrazione integrità o la riga di comando. Non è necessario modificare le impostazioni predefinite del criterio di richiesta per l'Autorità registrazione integrità. Per ulteriori informazioni, vedere Informazioni sul criterio di richiesta dell'Autorità registrazione integrità.

Ulteriori riferimenti

  • Configurare i criteri di crittografia dell'Autorità registrazione integrità

  • Configurare i criteri di trasporto dell'Autorità registrazione integrità


Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità

Durante l'installazione dell'Autorità registrazione integrità è possibile configurare l'Autorità in modo che fornisca certificati di integrità solo quando gli utenti vengono autenticati nel dominio o che fornisca certificati di integrità a utenti anonimi. Se si sceglie di consentire richieste anonime di certificati di integrità, verranno creati due siti Web:

  • DomainHRA

    Per le impostazioni di autenticazione IIS (Internet Information Services) in questo sito è attivata l'autenticazione di Windows. Tutti gli altri metodi di autenticazione sono disattivati.

  • NonDomainHRA

    Per le impostazioni di autenticazione IIS in questo sito è attivata l'autenticazione anonima. Tutti gli altri metodi di autenticazione sono disattivati.

Se si sceglie di consentire la trasmissione di certificati di integrità solo agli utenti autenticati del dominio, verrà creato solo il sito Web DomainHRA.

Questi siti Web ospitano un'estensione ISAPI (Internet Server Application Programming Interface) IIS che elabora le richieste HTTP/HTTPS, valuta l'integrità mediante Server dei criteri di rete e rilascia certificati di integrità tramite un'Autorità di certificazione.

Importante

Se sono consentite le richieste di certificati anonime, è necessario configurare gruppi di server trusted nei client di Protezione accesso alla rete in modo che nell'elenco ordinato di URL le richieste di certificati autenticate abbiano la precedenza sulle richieste di certificati anonime. In questo modo, i membri del dominio che superano i controlli di integrità non ottengono certificati di integrità anonimi.

Certificati per la crittografia SSL

IIS può utilizzare SSL (Secure Sockets Layer) per crittografare le comunicazioni con computer client di Protezione accesso alla rete. Se si attiva SSL, i client remoti devono accedere al sito mediante URL che iniziano per https:// e il server IIS deve essere dotato di un certificato SSL. I requisiti per tale certificato SSL sono i seguenti:

  • Il certificato deve essere incluso nell'archivio certificati del computer locale o nell'archivio certificati dell'utente corrente.

  • La data e l'ora di sistema correnti devono essere posteriori al valore della proprietà Valido dal e anteriori al valore della proprietà Valido fino al del certificato.

  • Il certificato deve essere destinato all'autenticazione del server. A tale scopo, la proprietà Utilizzo chiavi avanzato del certificato deve specificare Autenticazione server (1.3.6.1.5.5.7.3.1).

Se si importa un certificato esistente per l'utilizzo con la crittografia SSL durante l'installazione del servizio ruolo Autorità registrazione integrità, questo verrà aggiunto automaticamente all'archivio certificati del computer locale. È inoltre possibile creare un certificato autofirmato o installare un certificato per la crittografia SSL in un secondo tempo.

Ulteriori riferimenti

  • Panoramica di Autorità registrazione integrità

  • Configurare l'Autorità registrazione integrità

  • Verificare la configurazione di IIS


Informazioni sul criterio di richiesta dell'Autorità registrazione integrità

È possibile utilizzare lo snap-in Autorità registrazione integrità per specificare i meccanismi di sicurezza utilizzati dal server Autorità registrazione integrità per comunicare con i computer client. Queste impostazioni, note come impostazioni del criterio di richiesta, determinano l'algoritmo a chiavi asimmetriche, l'algoritmo hash e il provider del servizio di crittografia (CSP) utilizzati dal server Autorità registrazione integrità per crittografare le comunicazioni con i computer client. Se si specificano le impostazioni del criterio di richiesta mediante lo snap-in Autorità registrazione integrità, il server Autorità registrazione integrità utilizzerà solo questi meccanismi di sicurezza per comunicare con i computer client.

Importante

Non è necessario configurare impostazioni del criterio di richiesta nel server Autorità registrazione integrità. Per impostazione predefinita, un computer client idoneo per Protezione accesso alla rete inizializza un processo di negoziazione con un server Autorità registrazione integrità mediante un meccanismo di sicurezza predefinito accettabile da entrambi per la crittografia delle comunicazioni. Non modificare le impostazioni del criterio di richiesta, a meno che non siano state completamente verificate in un ambiente di prova sicuro.

Se si configurano impostazioni del criterio di richiesta nel server Autorità registrazione integrità, è necessario configurare impostazioni identiche nei computer client. Se i server Autorità registrazione integrità non sono configurati per utilizzare lo stesso algoritmo a chiavi asimmetriche, lo stesso algoritmo hash e lo stesso provider del servizio di crittografia (CSP) dei computer client, i server Autorità registrazione integrità non saranno in grado di comunicare con i computer client. I computer client potrebbero essere ritenuti non conformi e l'accesso alla rete sarà pertanto limitato.

Criteri di crittografia

È possibile configurare le impostazioni del criterio di richiesta per il server Autorità registrazione integrità specificando criteri di crittografia personalizzati. Le impostazioni dei criteri di crittografia specificano algoritmi a chiavi asimmetriche, algoritmi a chiavi hash e provider del servizio di crittografia. Per ulteriori informazioni, vedere Configurare i criteri di crittografia dell'Autorità registrazione integrità.

Algoritmi a chiavi asimmetriche

Gli algoritmi a chiavi asimmetriche sono anche noti come algoritmi a chiave pubblica. Gli algoritmi asimeetrici vengono utilizzati per generare le chiavi asimmetriche associate alle richieste di integrità provenienti dai client. In base alle impostazioni predefinite qualsiasi algoritmo disponibile viene accettato nelle comunicazioni tra il server Autorità registrazione integrità e i computer client. È possibile utilizzare lo snap-in Autorità registrazione integrità per specificare quali algoritmi dell'elenco vengono utilizzati ed è inoltre possibile modificare la lunghezza minima e massima delle chiavi di tali algoritmi.

Algoritmi a chiavi hash

Gli algoritmi hash sono noti anche come Secure Hash Algorithm o funzioni hash. Questi algoritmi eseguono un'operazione unidirezionale sui dati, offrendo un valore di output univoco che può essere utilizzato per la verifica, ma non per creare di nuovo i dati originali. Le impostazioni predefinite supportano l'utilizzo di qualsiasi algoritmo hash. È possibile utilizzare lo snap-in Autorità registrazione integrità per specificare quali algoritmi nell'elenco è consentito utilizzare.

Provider del servizio di crittografia

I provider del servizio di crittografia sono componenti hardware e software dei sistemi operativi Windows che offrono funzionalità di crittografia generiche. Ogni provider configurato per l'utilizzo da parte dell'Autorità registrazione integrità è in grado di supportare diversi algoritmi, formati e chiavi per la crittografia e la decrittografia. Le impostazioni predefinite supportano l'utilizzo di qualsiasi provider del servizio di crittografia (CSP). È possibile utilizzare lo snap-in Autorità registrazione integrità per specificare quali provider nell'elenco utilizzare.

Criteri di trasporto

È possibile configurare le impostazioni del criterio di richiesta per il server Autorità registrazione integrità specificando criteri di trasporto personalizzati. Le impostazioni dei criteri di trasporto specificano gli agenti utente client HTTP. Per ulteriori informazioni, vedere Configurare i criteri di trasporto dell'Autorità registrazione integrità.

Agenti utente client HTTP

Gli agenti utente client HTTP sono stringhe che specificano l'identità delle applicazioni client HTTP/HTTPS utilizzate per richiedere certificati di integrità all'Autorità registrazione integrità. Per impostazione predefinita, è consentito qualsiasi agente. È possibile utilizzare lo snap-in Autorità registrazione integrità per specificare gli agenti utente consentiti.

Ulteriori riferimenti

  • Verificare la configurazione del client di Protezione accesso alla rete

  • Risolvere i problemi relativi all'Autorità registrazione integrità


Configurare l'Autorità di certificazione di Protezione accesso alla rete

È necessario configurare l'Autorità registrazione integrità con almeno un'Autorità di certificazione a cui richiedere i certificati di integrità per conto dei computer client. I certificati vengono richiesti quando nuovi client si connettono alla rete o quando sta per scadere il periodo di validità di un certificato di integrità in un computer client conforme. I certificati possono inoltre essere rimossi e rilasciati nuovamente ai computer client se il loro stato di integrità cambia mentre sono connessi alla rete. L'Autorità registrazione integrità richiede i certificati di integrità solo all'Autorità di certificazione configurata per prima nell'ordine, a meno che tale server non sia disponibile o non risponda.

Configurare CA

Per configurare CA nell'Autorità registrazione integrità, eseguire la procedura seguente. È possibile aggiungere ed eliminare CA e modificarne l'ordine. È inoltre possibile specificare il numero di minuti di attesa tra le richieste prima di determinare che una CA non è disponibile. Se si utilizza una CA dell'organizzazione (Enterprise), è possibile selezionare i modelli di certificati anonimi e autenticati da utilizzare. Se si utilizza una CA autonoma (Standalone) con controllo accesso alla rete, è possibile attivare le informazioni estese sullo stato del client attivando OID dei criteri.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Aggiungere una nuova CA

Per assicurare prestazioni ottimali, è consigliabile utilizzare una CA subordinata autonoma (Standalone) dedicata per il rilascio di certificati di integrità. La tolleranza di errore viene garantita se si configurano più CA nello snap-in Autorità registrazione integrità. Per disporre del bilanciamento del carico, è possibile configurare un'ulteriore Autorità registrazione integrità con un ordine di elaborazione di CA diverso. Per configurare le CA da utilizzare con l'Autorità registrazione integrità, eseguire la procedura seguente.

Per aggiungere una nuova Autorità di certificazione mediante l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Autorità di certificazione e quindi scegliere Aggiungi Autorità di certificazione. Verrà visualizzata la finestra di dialogo Aggiungi Autorità di certificazione.

  3. Fare clic su Sfoglia. Verrà visualizzata la finestra di dialogo Seleziona Autorità di certificazione.

  4. In CA fare clic sul nome della CA da utilizzare per il rilascio di certificati di integrità di Protezione accesso alla rete e quindi fare due volte clic su OK.

  5. Nell'albero della console Autorità registrazione integrità fare clic su Autorità di certificazione e verificare il nome e l'ordine delle CA configurate.

    Nota

    Non è possibile cercare una CA da un ambiente di gruppo di lavoro.

Configurare il tempo di attesa per la CA

L'Autorità registrazione integrità tenta di ottenere certificati di integrità solo dalla CA configurata per prima nell'ordine di elaborazione, a meno che tale CA non sia stata contrassegnata come non disponibile. Per modificare il numero di minuti di attesa prima di determinare che una CA non è disponibile, eseguire la procedura seguente.

Per configurare il tempo di attesa per l'Autorità di certificazione mediante l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Autorità di certificazione e quindi scegliere Proprietà. Verrà visualizzata la finestra di dialogo Proprietà Autorità di certificazione.

  3. Immettere il numero di minuti di attesa tra le richieste prima di determinare che una CA non è disponibile e quindi fare clic su OK.

Configurare il periodo di validità di un certificato di integrità

Il periodo di validità predefinito per i certificati di integrità è di 4 ore. I client tentano di rinnovare un certificato di integrità 15 minuti prima della scadenza o quando si verifica un cambio nello stato di integrità del client. Per configurare il periodo di validità personalizzato dei certificati di integrità, eseguire la procedura seguente.

Per configurare il periodo di validità dei certificati di integrità approvati dall'Autorità registrazione integrità mediante l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Autorità di certificazione e quindi scegliere Proprietà. Verrà visualizzata la finestra di dialogo Proprietà Autorità di certificazione.

  3. Selezionare l'unità di tempo nell'elenco a discesa. È possibile scegliere tra Minuti, Ore, Giorni o Settimane.

  4. Dopo aver selezionato l'unità di tempo, immettere il numero di unità desiderato e quindi fare clic su OK.

  5. Se si utilizza una CA dell'organizzazione (Enterprise), è necessario eseguire la procedura seguente per ignorare il periodo di validità configurato nei modelli di certificati.

    1. Fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

    2. Nella finestra di comando digitare Certutil.exe -setreg policy\EditFlags +EDITF_ATTRIBUTEENDDATE e quindi premere INVIO.

    3. Nella finestra di comando digitare net stop certsvc && net start certsvc e quindi premere INVIO.

    4. Verificare che Servizi certificati Active Directory® venga arrestato e riavviato correttamente.
Importante

Il periodo di validità massimo di un certificato di integrità è determinato dal periodo di validità della CA, che per impostazione predefinita è pari a 52 settimane. Prestare attenzione quando si configura un periodo di validità inferiore a un'ora, in quanto ciò potrebbe compromettere le prestazioni del server CA. Non impostare un periodo di validità uguale o inferiore a 15 minuti.

Scegliere il tipo di CA

Per configurare il tipo di Autorità di certificazione di Protezione accesso alla rete, eseguire la procedura seguente. È importante scegliere un tipo di CA che corrisponda alla CA configurata nella procedura precedente. Se si utilizza una CA dell'organizzazione (Enterprise), è necessario configurare modelli prima di eseguire questa procedura.

Per scegliere il tipo di Autorità di certificazione mediante l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Autorità di certificazione e quindi scegliere Proprietà. Verrà visualizzata la finestra di dialogo Proprietà Autorità di certificazione.

  3. Se si utilizza una CA autonoma (Standalone), scegliere Usa Autorità di certificazione autonoma (Standalone).

  4. Non selezionare la casella di controllo Attiva OID criteri, a meno che non si utilizzino informazioni estese sullo stato del client per controllo accesso alla rete.

  5. Se si utilizza una CA dell'organizzazione (Enterprise) integrata in Active Directory, oppure una combinazione di CA dell'organizzazione (Enterprise) e CA autonoma (Standalone), scegliere Usa Autorità di certificazione dell'organizzazione (Enterprise) e quindi selezionare un modello in Modello di certificato conforme autenticato e Modello di certificato conforme anonimo. Se durante l'installazione dell'Autorità registrazione integrità non si è scelto di consentire le richieste anonime di certificati di integrità, la configurazione di un modello anonimo in questa procedura non consente le richieste di certificati anonime.

Eliminare CA o configurarne l'ordine

Per modificare il livello di priorità delle CA utilizzate dall'Autorità registrazione integrità o per rimuovere le CA dalla configurazione dell'Autorità registrazione integrità, eseguire la procedura seguente. L'Autorità registrazione integrità richiede certificati solo alla prima CA configurata nell'elenco, a meno che tale CA non sia stata contrassegnata come non disponibile.

Per eliminare Autorità di certificazione o configurarne l'ordine mediante l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare clic su Autorità di certificazione.

  3. Fare clic con il pulsante destro del mouse sul nome di una CA nell'elenco dei server. Scegliere Sposta su per aumentare il livello di priorità del server nell'ordine, oppure Sposta giù per diminuirne il livello di priorità.

  4. Per eliminare una CA dall'elenco, fare clic con il pulsante destro del mouse sul nome della CA e quindi scegliere Elimina.

Ulteriori riferimenti

  • Verificare la configurazione dell'Autorità di certificazione


Configurare i criteri di crittografia dell'Autorità registrazione integrità

Per configurare i criteri di crittografia nell'Autorità registrazione integrità, eseguire la procedura seguente. È possibile configurare i criteri di crittografia specificando algoritmi asimmetrici, algoritmi hash e provider del servizio di crittografia (CSP) supportati.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Per configurare i criteri di crittografia tramite l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare doppio clic su Criterio di richiesta e quindi fare clic su Criteri di crittografia. Nel riquadro dei dettagli verranno visualizzati Algoritmi a chiavi asimmetriche, Algoritmi a chiavi hash e Provider del servizio di crittografia.

  3. Per specificare algoritmi a chiavi asimmetriche, fare clic con il pulsante destro del mouse su Algoritmi a chiavi asimmetriche e quindi scegliere Proprietà. L'impostazione predefinita è Qualsiasi algoritmo.

    • Per configurare un algoritmo asimmetrico specifico, selezionare Algoritmi specifici e quindi selezionare la casella di controllo accanto all'algoritmo desiderato nell'elenco.

    • Per modificare la lunghezza minima e massima della chiave di un algoritmo, selezionare il nome dell'algoritmo nell'elenco e quindi fare clic su Modifica. Immettere la lunghezza minima e massima desiderata per la chiave e quindi fare clic su OK.

    Dopo aver selezionato gli algoritmi, fare clic su OK.

  4. Per specificare algoritmi a chiavi hash, fare clic con il pulsante destro del mouse su Algoritmi a chiavi hash e quindi scegliere Proprietà. L'impostazione predefinita è Qualsiasi algoritmo. Per configurare algoritmi specifici, selezionare Algoritmi specifici, selezionare la casella di controllo accanto all'algoritmo desiderato nell'elenco e quindi fare clic su OK.

  5. Per specificare provider del servizio di crittografia, fare clic con il pulsante destro del mouse su Provider del servizio di crittografia e quindi scegliere Proprietà. L'impostazione predefinita è Qualsiasi provider. Per configurare provider specifici, selezionare Provider specifico, selezionare la casella di controllo accanto al provider desiderato nell'elenco e quindi fare clic su OK.

Ulteriori considerazioni

  • Se si configurano impostazioni del criterio di richiesta nei server Autorità registrazione integrità, è necessario configurare impostazioni identiche nei computer client. Se i server Autorità registrazione integrità non sono configurati per utilizzare lo stesso algoritmo a chiave asimmetrica, lo stesso algoritmo a chiave hash e lo stesso provider del servizio di crittografia dei computer client, i computer client non saranno in grado di comunicare con i server Autorità registrazione integrità. I computer client potrebbero essere ritenuti non conformi e l'accesso alla rete sarà pertanto limitato.

Ulteriori riferimenti

  • Informazioni sul criterio di richiesta dell'Autorità registrazione integrità


Configurare i criteri di trasporto dell'Autorità registrazione integrità

Per configurare i criteri di trasporto nell'Autorità registrazione integrità, eseguire la procedura seguente. È possibile configurare i criteri di trasporto specificando agenti utente client HTTP supportati. Per impostazione predefinita è consentito qualsiasi agente utente client HTTP.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Per configurare i criteri di trasporto tramite l'interfaccia di Windows

  1. Aprire la console Autorità registrazione integrità.

  2. Nell'albero della console fare doppio clic su Criterio di richiesta e quindi fare clic su Criteri di trasporto.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse su Agenti utente client HTTP e quindi scegliere Proprietà.

  4. È selezionata l'impostazione predefinita Qualsiasi agente. Questa impostazione consente l'utilizzo di qualsiasi agente utente HTTP.

  5. Per specificare un agente utente HTTP, selezionare Agente specifico, immettere la stringa agente HTTP e quindi fare clic su Aggiungi. La stringa agente HTTP verrà visualizzata nell'elenco Agenti attualmente consentiti.

  6. Per modificare o rimuovere elementi nell'elenco Agenti attualmente consentiti, fare clic sul nome dell'agente e quindi su Modifica o Rimuovi.

  7. Fare clic su OK per chiudere la finestra di dialogo Proprietà Agente utente client HTTP.

Ulteriori riferimenti

  • Informazioni sul criterio di richiesta dell'Autorità registrazione integrità


Risolvere i problemi relativi all'Autorità registrazione integrità

Per distribuire l'imposizione IPsec (Internet Protocol security) di Protezione accesso alla rete con l'Autorità registrazione integrità sono necessari anche componenti e servizi di infrastruttura di Protezione accesso alla rete.

  • Computer client idonei per Protezione accesso alla rete

    Affinché i computer client siano idonei per Protezione accesso alla rete, è necessario che il servizio Agente Protezione accesso alla rete, il client di imposizione IPsec e uno o più Agenti integrità sistema siano configurati e in esecuzione nei computer client. Per ulteriori informazioni, vedere Verificare la configurazione del client di Protezione accesso alla rete.

  • Autorità di certificazione (CA)

    È necessario configurare un'Autorità di certificazione per la trasmissione all'Autorità registrazione integrità di certificati di integrità che possono essere rilasciati ai computer client di Protezione accesso alla rete conformi. Per ulteriori informazioni, vedere Verificare la configurazione dell'Autorità di certificazione.

  • Server dei criteri di rete

    Server dei criteri di rete deve essere configurato nel server Autorità registrazione integrità come proxy di Server dei criteri di rete o server dei criteri di integrità di Protezione accesso alla rete. Nel server dei criteri di integrità di Protezione accesso alla rete è inoltre necessario configurare diversi componenti e criteri relativi a Protezione accesso alla rete, ad esempio criteri di richiesta di connessione, criteri di integrità, criteri di rete e istanze di Convalida integrità sistema. Per ulteriori informazioni, vedere Verificare la configurazione di Server dei criteri di rete.

  • Internet Information Services (IIS)

    Nel server Autorità registrazione integrità deve essere in esecuzione IIS per garantire un'interfaccia HTTP/HTTPS che può essere utilizzata dai client per richiedere certificati di integrità. Per ulteriori informazioni, vedere Verificare la configurazione di IIS.

Tutti i componenti di infrastruttura devono essere disponibili e correttamente configurati affinché l'Autorità registrazione integrità possa ottenere e rilasciare certificati di integrità ai computer client conformi di Protezione accesso alla rete. Eventuali problemi con uno o più componenti possono disattivare la funzionalità Protezione accesso alla rete. In questo caso, i client di Protezione accesso alla rete non saranno in grado di acquisire un certificato di integrità anche se sono conformi con i requisiti di integrità della rete.

Ulteriori riferimenti

  • Informazioni sull'imposizione IPsec di Protezione accesso alla rete


Informazioni sull'imposizione IPsec di Protezione accesso alla rete

L'imposizione IPsec (Internet Protocol security) di Protezione accesso alla rete offre il metodo più avanzato e flessibile per garantire la conformità dei computer client con i requisiti di integrità della rete.

L'imposizione IPsec limita la comunicazione in rete ai computer considerati conformi e che hanno acquisito certificati di integrità. Sfruttando IPsec e la sua flessibilità di configurazione, questo metodo di imposizione per Protezione accesso alla rete consente di definire i requisiti per comunicazioni sicure con client conformi per singoli indirizzi IP o numeri di porta. Per ulteriori informazioni su IPsec, vedere http://go.microsoft.com/fwlink/?LinkId=50170.

Vantaggi dell'imposizione IPsec

L'imposizione IPsec viene comunemente utilizzata quando si desidera un meccanismo di imposizione più avanzato e affidabile di quello offerto dall'imposizione 802.1X, DHCP o VPN. I vantaggi dell'imposizione IPsec sono i seguenti:

Imposizione a prova di alterazione

L'imposizione IPsec non può essere ignorata riconfigurando un client di Protezione accesso alla rete. Un client di Protezione accesso alla rete non può ricevere un certificato di integrità o iniziare la comunicazione con un computer conforme manipolando le impostazioni nel computer locale, anche se l'utente dispone di privilegi di amministratore locale. L'imposizione IPsec non può inoltre essere ignorata utilizzando hub o tecnologie di computer virtuale.

Nessun aggiornamento dell'infrastruttura necessario

L'imposizione IPsec funziona a livello Internet della suite di protocolli TCP/IP ed è pertanto indipendente dai componenti fisici dell'infrastruttura di rete, ad esempio hub, commutatori e router.

Accesso alla rete limitato a singoli server o singole applicazioni

Con l'imposizione IPsec i computer conformi possono iniziare la comunicazione con computer non conformi, ma i computer non conformi non possono iniziare la comunicazione con computer conformi. L'amministratore definisce il tipo di traffico che deve essere autenticato con un certificato di integrità e protetto con IPsec mediante le impostazioni dei criteri IPsec. I criteri IPsec consentono di creare filtri IP che definiscono il traffico in base all'indirizzo IP di origine, all'indirizzo IP di destinazione, al numero di protocollo IP, alla porta TCP di origine e di destinazione e alla porta UDP di origine e di destinazione. Grazie ai criteri IPsec e alla definizione di un filtro IP, è possibile limitare l'accesso alla rete a singoli server o singole applicazioni.

Crittografia end-to-end facoltativa

Specificando le impostazioni dei criteri IPsec è possibile crittografare il traffico IP tra computer comunicanti IPsec per le comunicazioni riservate. A differenza delle reti locali (LAN) wireless IEEE 802.11 che eseguono la crittografia dei frame solo dal client wireless al punto di accesso wireless, la crittografia IPsec viene eseguita tra computer comunicanti IPsec.

Imposizione IPsec e reti logiche

L'imposizione IPsec divide una rete fisica in tre reti logiche. Un computer è membro di una sola rete logica alla volta. Le reti logiche sono definite in termini di quali computer dispongono di certificati di integrità e per quali computer è necessaria l'autenticazione IPsec dei tentativi di comunicazione in ingresso. Le reti logiche consentono di impedire l'accesso ai computer che non soddisfano i requisiti di integrità e di offrire ai computer conformi un livello di protezione dai computer non conformi. L'imposizione IPsec definisce le reti logiche seguenti:

  • Rete sicura

    I computer nella rete sicura dispongono di certificati di integrità e richiedono l'autenticazione della comunicazione in ingresso tramite tali certificati. Utilizzano un set comune di impostazioni dei criteri IPsec per garantire la protezione IPsec. La maggior parte dei server e dei computer client appartenenti a un'infrastruttura Active Directory® si trova ad esempio in una rete sicura. I server dei criteri di integrità di Protezione accesso alla rete, i server che eseguono Servizi certificati Active Directory e i server di posta elettronica sono esempi di componenti di rete che in genere risiedono in una rete sicura.

  • Rete di delimitazione

    I computer nella rete di delimitazione dispongono di certificati di integrità, ma non richiedono l'autenticazione IPsec dei tentativi di comunicazione in ingresso. I computer nella rete di delimitazione devono essere accessibili per tutti i computer dell'intera rete. Questi tipi di computer sono i server necessari per valutare e fornire l'integrità del client di Protezione accesso alla rete o offrire i servizi di rete ai computer della rete con restrizioni, ad esempio server Autorità registrazione integrità, server di aggiornamento antivirus, controller di dominio di sola lettura e server DNS. Poiché i computer della rete di delimitazione non richiedono l'autenticazione e la comunicazione protetta, devono essere gestiti in modo attento per evitare che vengano utilizzati per attaccare computer della rete sicura.

  • Rete con restrizioni

    I computer della rete con restrizioni non dispongono di certificati di integrità. Si tratta di computer che non hanno completato i controlli di integrità, sono guest o non sono idonei per Protezione accesso alla rete, ad esempio computer che eseguono versioni di Windows che non supportano Protezione accesso alla rete, computer Apple Macintosh o computer basati su UNIX.

Nell'immagine seguente è illustrato un esempio di reti logiche IPsec.

Ulteriori riferimenti

  • Panoramica di Autorità registrazione integrità


Verificare la configurazione del client di Protezione accesso alla rete

Eseguire la procedura seguente per verificare che i computer client idonei per Protezione accesso alla rete siano configurati per il metodo di imposizione IPsec (Internet Protocol security) di Protezione accesso alla rete. Un computer idoneo per Protezione accesso alla rete è un computer in cui sono installati i componenti di Protezione accesso alla rete e che può verificare il proprio stato di integrità inviando rapporti di integrità a Server dei criteri di rete per la valutazione. Per ulteriori informazioni su Protezione accesso alla rete, vedere http://go.microsoft.com/fwlink/?LinkId=94393.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Verificare i componenti del client di Protezione accesso alla rete

I componenti di Protezione accesso alla rete includono il servizio Agente Protezione accesso alla rete, uno o più client di imposizione Protezione accesso alla rete e almeno un Agente integrità sistema. Potrebbero essere necessari altri servizi se supportano un Agente integrità sistema installato. Tutti questi componenti interagiscono per monitorare costantemente lo stato di integrità dei computer client di Protezione accesso alla rete e fornire indicazioni su tale stato ai server Protezione accesso alla rete per la valutazione.

Agente Protezione accesso alla rete

Il servizio Agente Protezione accesso alla rete raccoglie e gestisce le informazioni relative all'integrità nel computer client. Elabora inoltre i rapporti di integrità di tutti gli Agenti integrità sistema installati e comunica l'integrità dei client ai client di imposizione. L'Agente Protezione accesso alla rete deve essere operativo per consentire ai computer client di richiedere o ricevere certificati di integrità.

Per verificare che il servizio Agente Protezione accesso alla rete sia avviato

  1. Fare clic sul pulsante Start, scegliere Pannello di controllo, Sistema e manutenzione, Strumenti di amministrazione e infine fare doppio clic su Servizi.

  2. Nell'elenco dei servizi fare doppio clic su Agente protezione accesso alla rete in Nome.

  3. Verificare che lo stato di Servizio sia Avviato e che Tipo di avvio sia impostato su Automatico.

  4. Se il servizio non è avviato, scegliere Automatico accanto a Tipo di avvio e quindi fare clic su Avvia.

  5. Fare clic su OK per chiudere la finestra di dialogo Proprietà di Agente protezione accesso alla rete.

  6. Chiudere la console Servizi.
Nota

Se si riavvia il servizio Agente Protezione accesso alla rete, verranno automaticamente reinizializzati gli Agenti integrità sistema e il computer tenterà di acquisire un nuovo certificato di integrità. Ciò può rivelarsi utile durante la risoluzione dei problemi relativi a Protezione accesso alla rete.

Client di imposizione IPsec di Protezione accesso alla rete

Il client di imposizione IPsec di Protezione accesso alla rete deve essere installato e attivato nei computer client. Il client di imposizione Protezione accesso alla rete richiede l'accesso a una rete e comunica lo stato di integrità di un computer client ad altri componenti dell'architettura client di Protezione accesso alla rete. Il client limita l'accesso a reti con protezione IPsec interagendo con l'archivio certificati di un computer client.

Per verificare che il client di imposizione IPsec di Protezione accesso alla rete sia inizializzato

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Al prompt dei comandi digitare netsh nap client show state e premere INVIO. Questo comando visualizza lo stato di Protezione accesso alla rete del computer client.

  3. Nell'output del comando, in Stato client di imposizione verificare che lo stato di Componente che applica Protezione accesso alla rete tramite IPsec sia Inizializzato = Sì.

Verificare la configurazione del client IPsec

Nei client di Protezione accesso alla rete è necessario configurare impostazioni che consentono la comunicazione con i componenti server Protezione accesso alla rete. È possibile configurare queste impostazioni mediante Criteri di gruppo, la console Configurazione client di Protezione accesso alla rete o la riga di comando. Per il metodo di imposizione IPsec le impostazioni dei client di Protezione accesso alla rete includono Criterio di richiesta e Gruppi di server trusted.

Criterio di richiesta

Non è necessario modificare le impostazioni predefinite del criterio di richiesta nei computer client di Protezione accesso alla rete. Se si modificano queste impostazioni, è importante verificare che impostazioni simili siano attivate nei server Protezione accesso alla rete. Per impostazione predefinita, un computer client idoneo per Protezione accesso alla rete inizia un processo di negoziazione con un server Protezione accesso alla rete utilizzando un meccanismo di sicurezza predefinito accettabile da entrambi per la crittografia delle comunicazioni. È consigliabile utilizzare le impostazioni predefinite del criterio di richiesta.

Per visualizzare le impostazioni del criterio di richiesta

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Se per distribuire le impostazioni del client Protezione accesso alla rete si utilizzano i Criteri di gruppo, al prompt dei comandi digitare netsh nap client show group e quindi premere INVIO. Se per distribuire le impostazioni del client Protezione accesso alla rete si utilizzano criteri locali, al prompt dei comandi digitare netsh nap client show config e quindi premere INVIO. Tramite questi comandi vengono visualizzate le impostazioni di configurazione di Protezione accesso alla rete dei Criteri di gruppo e dei criteri locali nei computer client.

  3. Nell'output del comando verificare che le impostazioni Provider del servizio di crittografia (CSP, Cryptographic Service Provider) e Algoritmo hash corrispondano a quelle configurate in Autorità registrazione integrità. Il provider del servizio di crittografia predefinito è Microsoft RSA SChannel Cryptographic Provider, keylength = 2048. L'algoritmo hash predefinito è sha1RSA (1.3.14.3.2.29).

Gruppi di server trusted

I gruppi di server trusted vengono configurati all'interno delle impostazioni di registrazione integrità del client in modo che i computer client di Protezione accesso alla rete possano contattare i siti Web utilizzati dall'Autorità registrazione integrità per l'elaborazione delle richieste di certificati di integrità. Se i gruppi di server trusted non sono configurati o sono configurati in modo errato, i computer client di Protezione accesso alla rete non saranno in grado di acquisire i certificati di integrità.

Per verificare la configurazione dei gruppi di server trusted

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Prompt dei comandi.

  2. Se per distribuire le impostazioni del client Protezione accesso alla rete si utilizzano i Criteri di gruppo, al prompt dei comandi digitare netsh nap client show group e quindi premere INVIO. Se per distribuire le impostazioni del client Protezione accesso alla rete si utilizzano criteri locali, al prompt dei comandi digitare netsh nap client show config e quindi premere INVIO. Tramite questi comandi vengono visualizzate le impostazioni di configurazione di Protezione accesso alla rete dei Criteri di gruppo e dei criteri locali nei computer client.

  3. Nell'output del comando, in Configurazione gruppo server trusted verificare che la configurazione sia corretta per le voci accanto a Ordine di elaborazione, Gruppo, Verifica Https e URL.

Nota

Un computer client di Protezione accesso alla rete tenta di ottenere un certificato di integrità dal primo URL di tutti i gruppi di server trusted configurati, a meno che tale server non sia contrassegnato come non disponibile. Per ulteriori informazioni, vedere Verificare la configurazione di IIS e Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità.

Analizzare gli eventi dei client di Protezione accesso alla rete

L'analisi delle informazioni contenute negli eventi dei client di Protezione accesso alla rete può semplificare la risoluzione dei problemi e aiutare a capire la funzionalità dei client.

Per analizzare gli eventi dei client di Protezione accesso alla rete in Visualizzatore eventi

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Digitare eventvwr.msc e quindi premere INVIO.

  3. Nell'albero sinistro passare a Visualizzatore eventi (locale)\Registri applicazioni e servizi\Microsoft\Windows\Protezione accesso alla rete\Operativo.

  4. Fare clic su un evento nel riquadro centrale.

  5. Per impostazione predefinita verrà visualizzata la scheda Generale. Fare clic sulla scheda Dettagli per visualizzare informazioni aggiuntive.

  6. È inoltre possibile fare clic con il pulsante destro del mouse su un evento e quindi scegliere Proprietà evento per aprire una nuova finestra per analizzare gli eventi.

Ulteriori riferimenti

  • Risolvere i problemi relativi all'Autorità registrazione integrità


Verificare la configurazione dell'Autorità di certificazione

Eseguire le procedure seguenti nelle Autorità di certificazione (CA) di Protezione accesso alla rete per verificare che i server siano configurati correttamente per l'utilizzo con l'Autorità registrazione integrità e il metodo di imposizione IPsec (Internet Protocol Security) di Protezione accesso alla rete. Le CA di Protezione accesso alla rete sono server in cui è installato e in esecuzione Servizi certificati Active Directory® e che possono rilasciare certificati di integrità di Protezione accesso alla rete. Per ulteriori informazioni su Servizi certificati Active Directory®, vedere http://go.microsoft.com/fwlink/?LinkId=127816.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Scegliere una CA di Protezione accesso alla rete

L'Autorità registrazione integrità deve essere associata ad almeno una CA per ottenere e rilasciare certificati di integrità di Protezione accesso alla rete per i computer client di Protezione accesso alla rete conformi. È possibile selezionare una CA durante l'installazione dell'Autorità registrazione integrità scegliendo di installare la CA in locale oppure selezionando una CA remota esistente. È inoltre possibile aggiungere CA di Protezione accesso alla rete in un secondo tempo utilizzando lo snap-in Autorità registrazione integrità o la riga di comando. Per associare più CA all'Autorità registrazione integrità, è necessario utilizzare lo snap-in Autorità registrazione integrità o la riga di comando. È possibile configurare l'Autorità registrazione integrità per l'utilizzo di una CA dell'organizzazione (Enterprise) o una CA autonoma (Standalone). I requisiti di configurazione per una CA di Protezione accesso alla rete variano in base al tipo di CA scelto. Le impostazioni di sicurezza della CA e i requisiti di rilascio di certificati devono essere configurati sempre, indipendentemente dal tipo di CA scelto. Nella configurazione consigliata l'Autorità registrazione integrità è associata a una CA subordinata autonoma (Standalone) dedicata. Per ulteriori informazioni sulla configurazione dell'Autorità registrazione integrità per l'utilizzo di una CA di Protezione accesso alla rete, vedere Configurare l'Autorità di certificazione di Protezione accesso alla rete.

Scegliere una CA autonoma (Standalone)

Una CA autonoma (Standalone) non utilizza modelli di certificati. Non è pertanto necessario configurare un modello di certificato di integrità quando si utilizza una CA di Protezione accesso alla rete autonoma (Standalone). Se si sceglie una CA autonoma (Standalone), è comunque necessario configurare le impostazioni di sicurezza della CA e i requisiti di rilascio di certificati in modo che l'Autorità registrazione integrità possa richiedere e rilasciare automaticamente certificati di integrità ai computer client conformi.

Scegliere un'autorità di certificazione dell'organizzazione (enterprise)

Una CA dell'organizzazione (Enterprise) rilascia certificati basati su modelli di certificati. Il modulo criteri viene utilizzato per fornire un elenco di estensioni per i certificati ai certificati rilasciati, ad esempio l'autenticazione dell'integrità del sistema per Protezione accesso alla rete. Se la CA dell'organizzazione (Enterprise) esegue Windows Server® 2008, il modello di certificato per l'autenticazione dell'integrità del sistema è disponibile per impostazione predefinita con le estensioni dei criteri di applicazione adatte all'autenticazione dell'integrità e del dominio. Se la CA dell'organizzazione (Enterprise) esegue Windows Server® 2003, è necessario creare e pubblicare un modello contenente queste estensioni dei criteri di applicazione. Eseguire le procedure seguenti per verificare che le CA dell'organizzazione (Enterprise) siano configurate per il rilascio automatico di certificati di integrità con le estensioni dei criteri di applicazioni corrette.

Verificare la disponibilità del modello

Se la CA dell'organizzazione (enterprise) esegue Windows Server 2008, è automaticamente disponibile un modello di certificato per i client di Protezione accesso alla rete autenticati nel dominio con il nome visualizzato Autenticazione integrità sistema. Se la CA dell'organizzazione (enterprise) esegue Windows Server 2003, questo modello deve essere creato. Eseguire la procedura seguente per verificare che un certificato di integrità di Protezione accesso alla rete sia disponibile con le estensioni dei criteri di applicazione corrette oppure creare il modello, se non è disponibile. Non è necessario eseguire questa procedura se si utilizza una CA autonoma (Standalone).

Per verificare la disponibilità del modello

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare certtmpl.msc e quindi premere INVIO.

  2. Nel riquadro dei dettagli analizzare l'elenco dei modelli in Nome visualizzato modello. Fare doppio clic sul nome del modello di certificato di integrità di Protezione accesso alla rete. Se non è elencato alcun modello di certificato di integrità di Protezione accesso alla rete, eseguire la procedura seguente:

    1. Fare clic con il pulsante destro del mouse su Autenticazione workstation e quindi scegliere Duplica modello.

    2. In Nome visualizzato modello digitare Autenticazione integrità sistema e quindi fare clic sulla scheda Estensioni.

    3. In Estensioni incluse nel modello fare clic su Criteri di applicazione e quindi su Modifica.

    4. Fare clic su Aggiungi e quindi su Nuovo.

    5. In Nuovo criterio di applicazione digitare Autenticazione integrità sistema in Nome.

    6. In Identificatore oggetto digitare 1.3.6.1.4.1.311.47.1.1 e quindi fare quattro volte clic su OK.

    7. Verificare che il nuovo modello sia stato creato correttamente.

    8. Per verificare il nuovo modello, fare doppio clic sul nome e quindi continuare con l'esecuzione della procedura.

  3. Fare clic sulla scheda Estensioni.

  4. In Estensioni incluse nel modello fare clic su Criteri di applicazione.

  5. In Descrizione di Criteri di applicazione verificare che Autenticazione integrità sistema e Autenticazione client siano elencati e quindi fare clic su Modifica.

  6. Fare clic su Autenticazione integrità sistema e quindi su Modifica.

  7. In Modifica criterio di applicazione verificare che in Identificatore oggetto il valore sia 1.3.6.1.4.1.311.47.1.1. Se il valore dell'identificatore di oggetto del criterio di applicazione è diverso, eseguire i passaggi precedenti della procedura per creare un nuovo modello per l'autenticazione dell'integrità del sistema. È inoltre necessario correggere i nomi dei criteri di applicazione in modo che l'identificatore di oggetto associato ad Autenticazione integrità sistema sia 1.3.6.1.4.1.311.47.1.1.

  8. Fare clic su Annulla tre volte e quindi chiudere la console Modelli di certificato.
Nota

Se questo modello di certificato viene utilizzato per rilasciare certificati di integrità anonimi, non includere il criterio di applicazione Autenticazione client. I certificati contenenti il criterio di applicazione per l'autenticazione client vengono rilasciati ai client che eseguono l'autenticazione tramite credenziali di dominio.

Verificare la disponibilità del certificato

In una CA dell'organizzazione (Enterprise) i certificati devono essere resi disponibili prima che possano essere rilasciati ai computer client. Eseguire la procedura seguente per assicurarsi che il certificato di integrità di Protezione accesso alla rete sia disponibile per il rilascio. Non è necessario eseguire questa procedura se si utilizza una CA autonoma (Standalone).

Per verificare la disponibilità del certificato

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare certsvr.msc e quindi premere INVIO.

  2. Nell'albero della console fare clic su Modelli di certificato.

  3. Nel riquadro dei dettagli verificare che il certificato di integrità di Protezione accesso alla rete sia elencato in Nome. Se il server CA dell'organizzazione (Enterprise) esegue Windows Server 2008, il nome visualizzato del modello predefinito del certificato di integrità per i client di Protezione accesso alla rete autenticati del dominio è Autenticazione integrità sistema.

  4. Se il modello di certificato di integrità è stato creato ma non è visualizzato nell'elenco, eseguire la procedura seguente per rilasciare il modello:

    1. Fare clic con il pulsante destro del mouse su Modelli di certificato, scegliere Nuovo e quindi fare clic su Modello di certificato da rilasciare.

    2. In Attivazione modelli di certificato fare clic sul nome del certificato di integrità di Protezione accesso alla rete in Nome e quindi su OK. Se il modello non è visualizzato nell'elenco, significa che è già stato attivato o che è necessario crearlo prima di eseguire questa procedura.

    3. Verificare che il modello di certificato di integrità di Protezione accesso alla rete venga aggiunto all'elenco di modelli.

  5. Chiudere la console Autorità di certificazione.

Verificare le autorizzazioni per la registrazione del certificato per l'Autorità registrazione integrità

Affinché l'Autorità registrazione integrità possa ottenere certificati da una CA dell'organizzazione (Enterprise) per rilasciarli ai client, è necessario concedere all'Autorità l'autorizzazione a registrare il certificato di integrità. Se si concede l'autorizzazione per la registrazione automatica, l'Autorità registrazione integrità aggiungerà automaticamente il certificato all'archivio certificati locale. Se si concede solo l'autorizzazione per la registrazione, sarà necessario fornire manualmente un certificato di integrità nel server Autorità registrazione integrità. Eseguire la procedura seguente per verificare che all'Autorità registrazione integrità siano state concesse tali autorizzazioni. Non è necessario eseguire questa procedura se si utilizza una CA autonoma (Standalone).

Per verificare le autorizzazioni per la registrazione del certificato per l'Autorità registrazione integrità

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare certtmpl.msc e quindi premere INVIO.

  2. Nel riquadro dei dettagli fare doppio clic sul nome del certificato di integrità di Protezione accesso alla rete in Nome visualizzato modello. Se il server CA dell'organizzazione (enterprise) esegue Windows Server 2008, il nome visualizzato del modello predefinito del certificato di integrità per i client di Protezione accesso alla rete autenticati del dominio è Autenticazione integrità sistema.

  3. Fare clic sulla scheda Sicurezza.

  4. Verificare che le autorizzazioni Registrazione e Registrazione automatica siano state concesse al nome DNS del server Autorità registrazione integrità o a un gruppo a cui appartiene il server Autorità registrazione integrità. Se queste autorizzazioni non sono state concesse, eseguire la procedura seguente:

    1. Fare clic su Aggiungi e su Tipi di oggetto, selezionare la casella di controllo Computer e quindi fare clic su OK.

    2. In Immettere i nomi degli oggetti da selezionare immettere il nome DNS del server Autorità registrazione integrità e quindi fare clic su OK. In alternativa, è possibile immettere il nome di un gruppo a cui appartiene il server Autorità registrazione integrità.

    3. Fare clic sul nome o sul gruppo aggiunto, selezionare Consenti per Registrazione e Registrazione automatica e quindi fare clic su OK.

  5. Chiudere la console Modelli di certificato.

Verificare le impostazioni di sicurezza della CA

Le impostazioni di sicurezza della CA determinano se un'Autorità registrazione integrità dispone delle autorizzazioni per rilasciare certificati di integrità. Eseguire la procedura seguente per verificare le autorizzazioni nelle CA di Protezione accesso alla rete. Questa procedura è valida per i server CA dell'organizzazione (Enterprise) e autonoma (Standalone).

Per verificare le impostazioni di sicurezza del certificato

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare certsrv.msc e quindi premere INVIO.

  2. Fare clic con il pulsante destro del mouse sul nome comune della CA e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Sicurezza.

  4. Se l'Autorità registrazione integrità e la CA di Protezione accesso alla rete sono in esecuzione nello stesso computer, verificare che SERVIZIO DI RETE sia incluso in Utenti e gruppi.

  5. Se l'Autorità registrazione integrità e la CA di Protezione accesso alla rete sono in esecuzione in computer diversi, verificare che il nome computer del server Autorità registrazione integrità sia incluso in Utenti e gruppi.

  6. Fare clic sul nome del server Autorità registrazione integrità oppure su SERVIZIO DI RETE e quindi verificare che siano state concesse autorizzazioni per Rilascio e gestione certificati, Gestione CA e Richiedi certificati.

  7. Fare clic su OK e quindi chiudere la console Autorità di certificazione.

Verificare i requisiti di rilascio di certificati

Affinché i computer client di Protezione accesso alla rete possano acquisire immediatamente i certificati di integrità quando vengono ritenuti conformi con i requisiti di integrità della rete, le CA di Protezione accesso alla rete devono essere configurate per il rilascio automatico di certificati di integrità. Eseguire la procedura seguente per verificare che i certificati vengano rilasciati automaticamente. Questa procedura è valida per i server CA dell'organizzazione (Enterprise) e autonoma (Standalone).

Per verificare i requisiti di rilascio di certificati

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare certsrv.msc e quindi premere INVIO.

  2. Fare clic con il pulsante destro del mouse sul nome comune della CA e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Modulo criterio e quindi su Proprietà.

  4. Verificare che Utilizza le impostazioni contenute nel modello di certificato sia selezionato.

  5. Fare due volte clic su OK e quindi chiudere la console Autorità di certificazione.

Ulteriori riferimenti

  • Configurare l'Autorità di certificazione di Protezione accesso alla rete

  • Risolvere i problemi relativi all'Autorità registrazione integrità


Verificare la configurazione di Server dei criteri di rete

Server dei criteri di rete è il server centrale utilizzato con tutti i metodi di imposizione di Protezione accesso alla rete per valutare le richieste di accesso dei client di Protezione accesso alla rete. I requisiti di integrità della rete vengono definiti in Server dei criteri di rete mediante criteri che consentono o limitano l'accesso dei computer client di Protezione accesso alla rete in base al loro stato di integrità. Un server che esegue Server dei criteri di rete e che ospita questi criteri di Protezione accesso alla rete viene denominato server dei criteri di integrità di Protezione accesso alla rete. A seconda della distribuzione in uso, nella rete potrebbe essere presente uno o più server criteri di integrità Protezione accesso alla rete. I client RADIUS, i criteri di richiesta di connessione, i criteri di rete, i criteri di integrità e le istanze di Convalida integrità sistema vengono utilizzati da un server criteri di integrità Protezione accesso alla rete per definire e imporre i requisiti di integrità della rete.

Quando si installa l'Autorità registrazione integrità, Server dei criteri di rete viene automaticamente installato nello stesso computer. Se sono state distribuite più Autorità registrazione integrità e si preferisce centralizzare la valutazione dei criteri definendo i criteri di integrità di Protezione accesso alla rete in un altro computer, è necessario configurare il server locale che esegue Server dei criteri di rete come proxy RADIUS. Quando si utilizza Server dei criteri di rete come proxy RADIUS, il criterio di richiesta di connessione viene configurato per indicare al server locale che esegue Server dei criteri di rete di inoltrare le richieste di accesso alla rete a gruppi di server RADIUS remoti per la valutazione.

Per ulteriori informazioni su Server dei criteri di rete, vedere http://go.microsoft.com/fwlink/?LinkId=94389.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Verificare la configurazione del server dei criteri di integrità di Protezione accesso alla rete

Eseguire le procedure seguenti per verificare la configurazione del server locale che esegue Server dei criteri di rete come server criteri di integrità Protezione accesso alla rete. Se il server Autorità registrazione integrità locale è configurato come proxy RADIUS, vedere Verificare la configurazione del proxy Server dei criteri di rete.

Client RADIUS

Se sono stati configurati server Autorità registrazione integrità remoti come proxy RADIUS per inoltrare le richieste di connessione al server locale che esegue Server dei criteri di rete per la valutazione, in tale server locale deve essere presente una voce di client RADIUS corrispondente per ogni server Autorità registrazione integrità remoto. Per Protezione accesso alla rete con imposizione IPsec non sono necessari client RADIUS se tutti i server Autorità registrazione integrità sono anche server dei criteri di integrità di Protezione accesso alla rete. Se si utilizzano server Autorità registrazione integrità con Server dei criteri di rete configurato come proxy RADIUS, eseguire la procedura seguente per verificare che i client RADIUS siano configurati correttamente nel server locale che esegue Server dei criteri di rete in modo che questo possa elaborare le richieste di connessione client ricevute da server Autorità registrazione integrità remoti.

Per verificare i client RADIUS

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare nps.msc e quindi premere INVIO.

  2. Nell'albero della console Server dei criteri di rete fare doppio clic su Client e server RADIUS e quindi fare clic su Client RADIUS.

  3. Nel riquadro dei dettagli fare doppio clic sul nome descrittivo di un client RADIUS corrispondente a un server Autorità registrazione integrità in cui Server dei criteri di rete è installato e configurato come proxy RADIUS. Se non è presente alcuna voce di client RADIUS, eseguire la procedura seguente per creare un nuovo client RADIUS. Questa procedura deve essere eseguita solo se sono stati configurati server Autorità registrazione integrità remoti per l'inoltro delle richieste di connessione al server locale che esegue Server dei criteri di rete.

    1. Fare clic con il pulsante destro del mouse su Client RADIUS e quindi scegliere Nuovo.

    2. In Nome descrittivo immettere un nome per il client RADIUS, ad esempio HRA-1.

    3. In Indirizzo (IP o DNS) digitare l'indirizzo IP o il nome DNS del server Autorità registrazione integrità remoto, fare clic su Verifica e quindi su Risolvi.

    4. Verificare che l'indirizzo IP visualizzato corrisponda al server Autorità registrazione integrità remoto corretto e quindi fare clic su OK.

    5. In Segreto condiviso e Conferma segreto condiviso immettere il segreto configurato nelle impostazioni del gruppo di server RADIUS remoto nel server Autorità registrazione integrità remoto.

    6. Se nel server Autorità registrazione integrità remoto è attivato l'attributo autenticatore del messaggio nelle impostazioni di configurazione del gruppo di server RADIUS remoto, selezionare la casella di controllo I messaggi di richiesta di accesso devono contenere l'attributo autenticatore del messaggio. Se questa opzione non è attivata nell'Autorità registrazione integrità remota, verificare che questa casella di controllo sia deselezionata.

    7. Selezionare la casella di controllo Il client RADIUS è idoneo per Protezione accesso alla rete e quindi fare clic su OK.

    8. Continuare con l'esecuzione della procedura corrente per convalidare la configurazione del nuovo client RADIUS.

  4. Nella finestra Proprietà verificare che la casella di controllo Attiva questo client RADIUS sia selezionata.

  5. Verificare che la casella di controllo Il client RADIUS è idoneo per Protezione accesso alla rete sia selezionata.

  6. Se il server Autorità registrazione integrità remoto è configurato per richiedere che le richieste di accesso contengano l'attributo autenticatore del messaggio, verificare che la casella di controllo I messaggi di richiesta di accesso devono contenere l'attributo autenticatore del messaggio sia selezionata. In caso contrario, verificare che la casella di controllo sia deselezionata.

  7. Accanto a Nome fornitore verificare che RADIUS standard sia selezionato.

  8. In Indirizzo (IP o DNS) verificare che il nome DNS o l'indirizzo IP disponibile corrisponda al server Autorità registrazione integrità remoto corretto e quindi fare clic su Verifica.

  9. Nella finestra di dialogo Verifica client fare clic su Risolvi.

  10. In Indirizzo IP verificare che l'indirizzo IP disponibile corrisponda a un server Autorità registrazione integrità configurato per l'inoltro delle richieste al server locale che esegue Server dei criteri di rete e che quest'ultimo disponga di connettività di rete a questo indirizzo IP.

  11. Fare clic su OK. Se si ritiene che ci sia mancata corrispondenza del segreto condiviso, digitare il segreto accanto a Segreto condiviso e Conferma segreto condiviso e quindi fare clic su OK.

  12. Ripetere questa procedura per ogni server Autorità registrazione integrità della rete configurato per l'inoltro delle richieste di connessione al server locale che esegue Server dei criteri di rete per l'elaborazione.

Criteri di richiesta di connessione

I criteri di richiesta di connessione sono impostazioni e condizioni che convalidano le richieste di accesso alla rete e determinano la posizione in cui viene eseguita la convalida. Eseguire la procedura seguente per verificare che il criterio di richiesta di connessione nel server locale che esegue Server dei criteri di rete sia configurato per l'imposizione IPsec di Protezione accesso alla rete.

Per verificare i criteri di richiesta di connessione

  1. Nell'albero della console Server dei criteri di rete fare doppio clic su Criteri e quindi fare clic su Criteri di richiesta di connessione.

  2. Nel riquadro dei dettagli fare doppio sul criterio di richiesta di connessione utilizzato per l'autenticazione delle richieste di accesso alla rete in ingresso da client di Protezione accesso alla rete con protezione IPsec. Se questo criterio non è disponibile, eseguire la procedura seguente per creare un criterio di richiesta di connessione.

    1. Fare clic con il pulsante destro del mouse su Criteri di richiesta di connessione e quindi scegliere Nuovo.

    2. In Nome criterio immettere un nome per il criterio di richiesta di connessione, ad esempio IPsec di Protezione accesso alla rete con Autorità registrazione integrità.

    3. In Tipo di server di accesso alla rete selezionare Autorità registrazione integrità e quindi fare clic su Avanti.

    4. Per il criterio di richiesta di connessione è necessario specificare almeno una condizione. Per aggiungere una connessione che non nega alcuna richiesta di accesso in ingresso, nella pagina Specifica condizioni fare clic su Aggiungi.

    5. Nella finestra Selezione condizione fare clic su Restrizioni data/ora e quindi su Aggiungi.

    6. Nella finestra Limitazioni ora del giorno selezionare Consentito. Verificare che tutti i giorni e tutte le ore siano consentiti, fare clic su OK e quindi su Avanti.

    7. Se il server locale che esegue Server dei criteri di rete è un server criteri di integrità Protezione accesso alla rete, verificare che Autentica le richieste su questo server sia selezionato, fare tre volte clic su Avanti e quindi fare clic su Fine. Se il server locale che esegue Server dei criteri di rete inoltra le richieste a un altro server per la valutazione, vedere Verificare la configurazione del proxy Server dei criteri di rete.

  3. Nella scheda Panoramica verificare che sia selezionata la casella di controllo Criterio attivato.

  4. Nella scheda Panoramica verificare che l'impostazione di Tipo di server di accesso alla rete sia Autorità registrazione integrità o Non specificato. Per ulteriori informazioni sulla definizione di un tipo di server di accesso, vedere "Ulteriori considerazioni" più avanti in questo argomento.

  5. Fare clic sulla scheda Condizioni e verificare che tutte le condizioni configurate siano soddisfatte sia dai client di Protezione accesso alla rete conformi sia da quelli non conformi. Restrizioni data/ora può ad esempio essere configurato per consentire l'accesso alla rete solo in determinati giorni a orari specifici.

  6. Fare clic sulla scheda Impostazioni. In Metodi di autenticazione necessari fare clic su Metodi di autenticazione e verificare che la casella di controllo Ignora impostazioni di autenticazione del criterio di rete sia deselezionata.

  7. In Inoltro richiesta di connessione fare clic su Autenticazione.

  8. Per attivare il server locale che esegue Server dei criteri di rete come server criteri di integrità Protezione accesso alla rete, verificare che Autentica le richieste su questo server sia selezionato.

  9. Fare clic su OK per chiudere la pagina delle proprietà.

Criteri di rete

I criteri di rete utilizzano condizioni, impostazioni e vincoli per determinare chi può connettersi alla rete. Per valutare lo stato di integrità dei client di Protezione accesso alla rete, è necessario che almeno un criterio di rete venga applicato ai computer conformi con i requisiti di integrità e che almeno un criterio di rete venga applicato ai computer non conformi. Eseguire la procedura seguente per verificare che tali criteri siano stati creati e configurati per l'imposizione IPsec di Protezione accesso alla rete.

Per verificare i criteri di rete

  1. Nell'albero della console Server dei criteri di rete fare doppio clic su Criteri e quindi fare clic su Criteri di rete.

  2. Nel riquadro dei dettagli verificare di disporre di almeno un criterio per i computer conformi e di almeno un criterio per i computer non conformi e che l'impostazione per Stato di tali criteri sia Attivato. Per attivare un criterio, fare clic con il pulsante destro del mouse sul nome del criterio e quindi scegliere Attiva. Se questi criteri non sono disponibili, eseguire la procedura seguente per creare un criterio di rete.

    1. Fare clic con il pulsante destro del mouse su Criteri di rete e quindi scegliere Nuovo.

    2. In Nome criterio digitare un nome per i criteri di rete, ad esempio IPsec di Protezione accesso alla rete con Autorità registrazione integrità conforme o IPsec di Protezione accesso alla rete con Autorità registrazione integrità non conforme.

    3. In Tipo di server di accesso alla rete selezionare Autorità registrazione integrità e quindi fare clic su Avanti.

    4. Nella pagina Specifica condizioni fare clic su Aggiungi.

    5. In Selezione condizione fare clic su Criteri di integrità e quindi su Aggiungi.

    6. Se questo criterio di rete viene applicato a computer client conformi, in Criteri di integrità selezionare un criterio di integrità configurato per soddisfare uno stato di integrità di client conforme e quindi fare clic su OK.

    7. Se questo criterio di rete viene applicato a computer client non conformi, in Criteri di integrità selezionare un criterio di integrità configurato per soddisfare uno stato di integrità di client non conforme e quindi fare clic su OK.

    8. Fare clic su Avanti, selezionare Accesso concesso e quindi fare clic su Avanti.

    9. Nella pagina Configurazione metodi di autenticazione selezionare la casella di controllo Esegui solo controllo di integrità del computer e quindi fare due volte clic su Avanti.

    10. Nella pagina Configurazione impostazioni fare clic su Imposizione Protezione accesso alla rete.

    11. Selezionare una modalità di imposizione per questo criterio. Per ulteriori informazioni, vedere Modalità di imposizione Protezione accesso alla rete più avanti in questo argomento.

    12. Per attivare il monitoraggio e l'aggiornamento automatici dei client non conformi, selezionare la casella di controllo Consenti monitoraggio e aggiornamento automatici dei computer client. Se non si desidera attivare il monitoraggio e l'aggiornamento automatici, deselezionare questa casella di controllo.

    13. Fare clic su Avanti e quindi su Fine.

    14. Continuare con l'esecuzione della procedura corrente per convalidare la configurazione del nuovo criterio di rete.

  3. Nel riquadro dei dettagli verificare che Ordine di elaborazione per i criteri sia configurato correttamente per la distribuzione in uso. I criteri più specifici vengono elaborati prima dei criteri più generali. Per modificare l'ordine dei criteri, fare clic con il pulsante destro del mouse sul nome del criterio e quindi scegliere Sposta su o Sposta giù.

  4. Nel riquadro dei dettagli verificare che siano configurati criteri Protezione accesso alla rete per computer conformi e non conformi con Tipo accesso impostato su Concedi accesso. Per configurare le autorizzazioni di accesso, fare clic con il pulsante destro del mouse sul nome del criterio, scegliere Proprietà, fare clic sulla scheda Panoramica e quindi selezionare Concedi accesso.

  5. Nel riquadro dei dettagli verificare che l'impostazione di Origine per i criteri utilizzati per l'elaborazione dei client di Protezione accesso alla rete con protezione IPsec sia Autorità registrazione integrità o Non specificato. Per ulteriori informazioni sulla definizione di un tipo di server di accesso, vedere "Ulteriori considerazioni" più avanti in questo argomento.

  6. Nel riquadro dei dettagli fare doppio clic sul nome di un criterio di rete utilizzato per client conformi e quindi fare clic sulla scheda Condizioni.

  7. Verificare che almeno una delle condizioni specificate sia Criterio di integrità e che l'impostazione di Valore corrisponda a un criterio di integrità configurato per corrispondere a uno stato di integrità di client conforme. Se questa condizione non è disponibile, eseguire la procedura seguente.

    1. Fare clic su Aggiungi, Criteri di integrità e quindi su Aggiungi.

    2. In Criteri di integrità selezionare un criterio che corrisponde a uno stato di integrità di client conforme e quindi fare clic su OK. Se non sono disponibili criteri di integrità, verificare i criteri di integrità e quindi eseguire di nuovo la procedura.

  8. Fare clic sulla scheda Vincoli e quindi su Metodi di autenticazione.

  9. Verificare che la casella di controllo Esegui solo controllo di integrità del computer sia selezionata.

  10. Fare clic sulla scheda Impostazioni e quindi su Imposizione Protezione accesso alla rete.

  11. Verificare che Consenti accesso completo alla rete sia selezionato per questo criterio di rete conforme e quindi fare clic su OK. La verifica di un criterio di rete conforme è a questo punto completata.

  12. Nel riquadro dei dettagli fare doppio clic sul nome di un criterio di rete utilizzato per client non conformi e quindi fare clic sulla scheda Condizioni.

  13. Verificare che almeno una delle condizioni specificate sia Criterio di integrità e che l'impostazione di Valore corrisponda a un criterio di integrità configurato per corrispondere a uno stato di integrità di client non conforme. Se questa condizione non è disponibile, eseguire la procedura seguente.

    1. Fare clic su Aggiungi, su Criteri di integrità e quindi su Aggiungi.

    2. In Criteri di integrità selezionare un criterio che corrisponde a uno stato di integrità di client non conforme e quindi fare clic su OK. Se non sono disponibili criteri di integrità, verificare i criteri di integrità e quindi eseguire di nuovo la procedura.

  14. Fare clic sulla scheda Vincoli e quindi su Metodi di autenticazione.

  15. Verificare che la casella di controllo Esegui solo controllo di integrità del computer sia selezionata.

  16. Fare clic sulla scheda Impostazioni e quindi su Imposizione Protezione accesso alla rete.

    • Verificare che Consenti accesso limitato sia selezionato per questo criterio di rete non conforme se Protezione accesso alla rete è stato distribuito in modalità di imposizione completa.

    • Verificare che Consenti accesso completo alla rete per un periodo di tempo limitato sia selezionato per questo criterio di rete non conforme se Protezione accesso alla rete è stato distribuito in modalità di imposizione posticipata.

    • Verificare che Consenti accesso completo alla rete sia selezionato per questo criterio di rete non conforme se Protezione accesso alla rete è stato distribuito in modalità di creazione rapporti.

    • Verificare che la casella di controllo Consenti monitoraggio e aggiornamento automatici dei computer client sia selezionata se si desidera attivare il monitoraggio e l'aggiornamento automatici dei client di Protezione accesso alla rete non conformi.

  17. Fare clic su OK.

  18. Se necessario, ripetere questi passaggi per verificare la configurazione di ogni criterio di rete utilizzato per valutare le richieste di accesso da client di Protezione accesso alla rete con protezione IPsec.

Modalità di imposizione Protezione accesso alla rete

Quando si attiva Protezione accesso alla rete nella rete, sono disponibili tre modalità di imposizione. Utilizzare queste modalità di imposizione per la gestione temporanea della distribuzione di Protezione accesso alla rete.

  • Per attivare la modalità di creazione rapporti, selezionare Consenti accesso completo alla rete per computer client di Protezione accesso alla rete conformi e non conformi. In modalità di creazione rapporti lo stato di integrità dei computer client viene registrato, ma l'accesso alla rete non viene limitato. Sia i computer conformi sia i computer non conformi ricevono certificati di integrità.

  • Per attivare la modalità di imposizione posticipata, selezionare Consenti accesso completo alla rete nel criterio di rete conforme e Consenti accesso completo alla rete per un periodo di tempo limitato nel criterio di rete non conforme. È inoltre necessario specificare data e ora se l'accesso dei client non conformi verrà limitato. In modalità di imposizione posticipata i computer client ricevono immediatamente notifiche di Protezione accesso alla rete se non sono conformi con i requisiti di integrità della rete, ma l'accesso non viene limitato fino alla data e all'ora specificate.

  • Per attivare la modalità di imposizione completa, selezionare Consenti accesso completo alla rete nel criterio di rete conforme e Consenti accesso limitato nel criterio di rete non conforme. In modalità di imposizione completa l'accesso alla rete dei computer client viene immediatamente limitato se non sono conformi con i requisiti di integrità della rete.

Criteri di integrità

I criteri di integrità definiscono quali istanze di Convalida integrità sistema vengono valutate e la modalità di utilizzo di tali istanze per la convalida della configurazione dei computer che tentano di connettersi alla rete. I criteri di integrità classificano lo stato di integrità di un client in base ai risultati dei controlli di Convalida integrità sistema. Sono necessari almeno un criterio di integrità che corrisponda a uno stato di integrità di client conforme e almeno un criterio di integrità che corrisponda a uno stato di integrità di client non conforme. Eseguire la procedura seguente per verificare che criteri di integrità conformi e non conformi siano stati configurati nel server dei criteri di integrità di Protezione accesso alla rete.

Per verificare i criteri di integrità

  1. Nella console Server dei criteri di rete fare doppio clic su Criteri e quindi fare clic su Criteri di integrità.

  2. Nel riquadro dei dettagli fare doppio clic sul nome di un criterio di integrità conforme in Nome criterio. Se questo criterio non è disponibile, eseguire la procedura seguente per creare un criterio di integrità conforme.

    1. Fare clic con il pulsante destro del mouse su Criteri di integrità e quindi scegliere Nuovo.

    2. In Nome criterio immettere un nome per il criterio di integrità conforme, ad esempio IPsec di Protezione accesso alla rete con Autorità registrazione integrità conforme.

    3. In Controlli di Convalida integrità sistema sul client selezionare Il client supera tutti i controlli di Convalida integrità sistema per creare un criterio di integrità rigido, oppure selezionare Il client supera uno o più controlli di Convalida integrità sistema per creare un criterio di integrità meno severo.

    4. In Istanze di Convalida integrità sistema utilizzate in questo criterio di integrità selezionare le caselle di controllo corrispondenti alle istanze di Convalida integrità sistema da utilizzare per la valutazione dell'integrità del client. Convalida integrità sicurezza di Windows è disponibile per impostazione predefinita. Le altre istanze di Convalida integrità sistema sono disponibili solo se sono state installate.

    5. Fare clic su OK.

  3. In Controlli di Convalida integrità sistema sul client verificare che Il client supera tutti i controlli di Convalida integrità sistema o Il client supera uno o più controlli di Convalida integrità sistema sia selezionato. Queste condizioni vengono utilizzate per creare criteri conformi più rigidi o meno rigidi, rispettivamente.

  4. In Istanze di Convalida integrità sistema utilizzate in questo criterio di integrità verificare che le caselle di controllo corrispondenti alle istanze di Convalida integrità sistema da utilizzare per la valutazione dell'integrità dei computer client di Protezione accesso alla rete con protezione IPsec siano selezionate e quindi fare clic su OK.

  5. Nel riquadro dei dettagli fare doppio clic sul nome di un criterio di integrità non conforme in Nome criterio. Se questo criterio non è disponibile, eseguire la procedura seguente per creare un criterio di integrità non conforme.

    1. Fare clic con il pulsante destro del mouse su Criteri di integrità e quindi scegliere Nuovo.

    2. In Nome criterio immettere un nome per il criterio di integrità non conforme, ad esempio IPsec di Protezione accesso alla rete con Autorità registrazione integrità non conforme.

    3. In Controlli di Convalida integrità sistema sul client selezionare Il client non supera uno o più controlli di Convalida integrità sistema per creare un criterio di integrità rigido, oppure selezionare Il client non supera alcun controllo di Convalida integrità sistema per creare un criterio di integrità meno severo.

    4. In Istanze di Convalida integrità sistema utilizzate in questo criterio di integrità selezionare le caselle di controllo corrispondenti alle istanze di Convalida integrità sistema da utilizzare per la valutazione dell'integrità del client. Convalida integrità sicurezza di Windows è disponibile per impostazione predefinita. Le altre istanze di Convalida integrità sistema sono disponibili solo se sono state installate.

    5. Fare clic su OK.

  6. In Controlli di Convalida integrità sistema sul client verificare che Il client non supera uno o più controlli di Convalida integrità sistema o Il client non supera alcun controllo di Convalida integrità sistema sia selezionato. Queste condizioni vengono utilizzate per creare criteri non conformi più rigidi o meno rigidi, rispettivamente.

  7. In Istanze di Convalida integrità sistema utilizzate in questo criterio di integrità verificare che le caselle di controllo corrispondenti alle istanze di Convalida integrità sistema da utilizzare per la valutazione dell'integrità dei computer client di Protezione accesso alla rete con protezione IPsec siano selezionate e quindi fare clic su OK.

  8. Ripetere questi passaggi per tutti i criteri di integrità utilizzati per valutare i computer client di Protezione accesso alla rete con protezione IPsec.

Istanze di Convalida integrità sistema

Le istanze di Convalida integrità sistema definiscono i requisiti software e di configurazione dei computer che tentano di connettersi alla rete. Eseguire la procedura seguente per verificare che le istanze di Convalida integrità sistema siano configurate correttamente per la distribuzione in uso.

Per verificare le istanze di Convalida integrità sistema

  1. Nella console Server dei criteri di rete fare doppio clic su Protezione accesso alla rete e quindi fare clic su Istanze di Convalida integrità sistema.

  2. Nel riquadro dei dettagli fare doppio clic sul nome di un'istanza di Convalida integrità sistema installata in Nome.

  3. La configurazione delle istanze di Convalida integrità sistema varia in base all'implementazione. Se si utilizza Convalida integrità sicurezza di Windows, fare clic su Configura.

    • Per configurare i requisiti di integrità per i computer che eseguono Microsoft Windows Vista, fare clic sulla scheda Windows Vista.

    • Per configurare i requisiti di integrità per i computer che eseguono Windows XP con Service Pack 3, fare clic sulla scheda Windows XP.

  4. Attivare i requisiti di integrità selezionando le caselle di controllo corrispondenti ai componenti di integrità. Deselezionare le caselle di controllo per disattivare i requisiti. I requisiti di integrità disponibili quando si utilizza Convalida integrità protezione di Windows includono: Firewall, Protezione da virus, Protezione da spyware, Aggiornamenti automatici e Aggiornamenti per la sicurezza.

  5. Fare clic su OK e configurare le risoluzioni dei codici di errore per la distribuzione. Le risoluzioni dei codici di errore determinano la modalità in cui i client vengono valutati nelle condizioni di errore elencate. È possibile selezionare il ripristino dello stato Conforme o Non conforme per ogni condizione.

  6. Fare clic su OK e quindi chiudere la console Server dei criteri di rete.

Verificare la configurazione proxy di Server dei criteri di rete

Eseguire la procedura seguente per verificare la configurazione del server locale che esegue Server dei criteri di rete come proxy RADIUS. Questa procedura non deve essere eseguita se il server locale che esegue Server dei criteri di rete è configurato come server dei criteri di integrità di Protezione accesso alla rete.

Per verificare la configurazione proxy di Server dei criteri di rete

  1. Fare clic sul pulsante Start, scegliere Esegui, digitare nps.msc e quindi premere INVIO.

  2. Nell'albero della console fare doppio clic su Client e server RADIUS e quindi fare clic su Gruppi di server RADIUS remoti.

  3. Nel riquadro dei dettagli fare doppio clic sul nome di un gruppo di server RADIUS remoto in Nome gruppo. Se non viene visualizzata alcuna voce di gruppo di server RADIUS remoto, eseguire la procedura seguente per aggiungere un gruppo di server RADIUS remoto.

    1. Nell'albero della console fare clic con il pulsante destro del mouse su Gruppi di server RADIUS remoti in Client e server RADIUS e quindi scegliere Nuovo.

    2. In Nome gruppo immettere un nome per il gruppo di server RADIUS remoto, ad esempio Server dei criteri di integrità di Protezione accesso alla rete1.

    3. Fare clic su Aggiungi e quindi in Server digitare il nome DNS o l'indirizzo IP di un server che esegue Server dei criteri di rete configurato per valutare le richieste di connessione dei client IPsec di Protezione accesso alla rete inoltrate dal server Autorità registrazione integrità locale.

    4. Fare clic su Verifica e quindi su Risolvi. Verificare che l'indirizzo IP visualizzato sia corretto per la distribuzione in uso e quindi fare clic su OK.

    5. Fare clic sulla scheda Autenticazione/Accounting.

    6. In Segreto condiviso e Conferma segreto condiviso immettere il segreto configurato nelle impostazioni di Server dei criteri di rete nel server dei criteri di integrità di Protezione accesso alla rete.

    7. Fare clic due volte su OK.

  4. Nella finestra delle proprietà del gruppo di server fare clic sul nome di un server RADIUS remoto in Server RADIUS e quindi su Modifica.

  5. Nella scheda Indirizzo fare clic su Verifica.

  6. Nella finestra di dialogo Verifica client fare clic su Risolvi. Verificare che l'indirizzo IP del client RADIUS corrisponda a un server criteri di integrità Protezione accesso alla rete della rete configurato con un proxy RADIUS corrispondente al server locale che esegue Server dei criteri di rete.

  7. Fare clic su OK e quindi sulla scheda Autenticazione/Accounting.

  8. Verificare che le porte di autenticazione e accounting siano corrette per la distribuzione in uso. La porta di autenticazione predefinita è la 1812, mentre la porta di accounting predefinita è la 1813.

  9. Verificare che la casella di controllo La richiesta deve contenere l'attributo autenticatore del messaggio sia selezionata solo se un requisito di messaggio di richiesta di accesso corrispondente per l'attributo autenticatore del messaggio è attivato nel server dei criteri di integrità di Protezione accesso alla rete. Deselezionare questa casella di controllo se per il server dei criteri di integrità di Protezione accesso alla rete non è necessario questo attributo.

  10. Se si ritiene che ci sia mancata corrispondenza del segreto condiviso, digitare il segreto accanto a Segreto condiviso e Conferma segreto condiviso e quindi fare due volte clic su OK.

  11. Nella console Server dei criteri di rete fare doppio clic su Criteri e quindi fare clic su Criteri di richiesta di connessione.

  12. Nel riquadro dei dettagli fare doppio sul criterio di richiesta di connessione utilizzato per l'autenticazione delle richieste di accesso alla rete in ingresso da client di Protezione accesso alla rete con protezione IPsec.

  13. Fare clic sulla scheda Impostazioni e quindi su Autenticazione in Inoltro richiesta di connessione.

  14. Verificare che Inoltra le richieste al seguente gruppo di server RADIUS remoto per l'autenticazione sia selezionato e quindi verificare che il nome del gruppo di server RADIUS remoto selezionato corrisponda ai server dei criteri di integrità di Protezione accesso alla rete corretti della rete.

  15. Ripetere questa procedura per tutti i gruppi e i server remoti che eseguono Server dei criteri di rete.

  16. Chiudere la console Server dei criteri di rete.

Ulteriori considerazioni

Se nel criterio di richiesta di connessione e nei criteri di rete il tipo di server di accesso alla rete è impostato su Non specificato, Server dei criteri di rete utilizza questo criterio per valutare tutte le richieste di connessione provenienti da qualsiasi tipo di server di accesso alla rete. Se il tipo di server di accesso alla rete è impostato su Autorità registrazione integrità, solo le richieste di connessione inoltrate da un server Autorità registrazione integrità vengono valutate da questo criterio. Se l'origine specificata per uno o più criteri attivati è Autorità registrazione integrità, tutti i criteri la cui origine è Non specificato verranno ignorati da Server dei criteri di rete durante l'elaborazione delle richieste di accesso alla rete dei client di Protezione accesso alla rete con protezione IPsec.

Ulteriori riferimenti

  • Risolvere i problemi relativi all'Autorità registrazione integrità


Verificare la configurazione di IIS

Per verificare che Internet Information Services (IIS) è in esecuzione e configurato correttamente nel server Autorità registrazione integrità, eseguire la procedura seguente. I siti Web IIS vengono utilizzati dall'Autorità registrazione integrità per elaborare le richieste di certificati di integrità provenienti dai client.

Per ulteriori informazioni su IIS, vedere http://go.microsoft.com/fwlink/?LinkId=94386.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account appropriati e sull'appartenenza a gruppi, vedere http://go.microsoft.com/fwlink/?LinkId=83477.

Verificare la disponibilità dei siti Web DomainHRA e NonDomainHRA

A seconda delle opzioni scelte durante l'installazione dell'Autorità registrazione integrità, è possibile che vengano creati due siti Web nel server Autorità registrazione integrità. Tali siti vengono utilizzati dall'Autorità per elaborare le richieste di certificati di integrità anonime o autenticate per il dominio. Dopo l'installazione, non è necessario configurare ulteriormente questi siti Web. Tuttavia, se IIS non è in esecuzione o non è configurato correttamente, l'Autorità registrazione integrità potrebbe non essere in grado di rilasciare certificati di integrità.

Per verificare la disponibilità dei siti Web DomainHRA e NonDomainHRA

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi.

  2. In Servizi verificare che per Servizio Pubblicazione sul Web sia visualizzato Avviato e che Tipo di avvio sia impostato su Automatico.

  3. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Internet Information Services (IIS).

  4. In Gestione Internet Information Services (IIS) fare doppio clic sul nome computer del server Autorità registrazione integrità.

  5. Fare doppio clic su Siti Web e quindi su Sito Web predefinito.

    • Verificare che entrambi i siti Web DomainHRA e NonDomainHRA siano visualizzati, se durante l'installazione dell'Autorità registrazione integrità si è scelto di consentire le richieste di certificati di integrità anonime.

    • Verificare che sia visualizzato solo il sito Web DomainHRA, se durante l'installazione dell'Autorità registrazione integrità si è scelto di richiedere l'autenticazione dei richiedenti come membri di un dominio.

  6. Fare clic su DomainHRA e quindi fare doppio clic su Autenticazione. Verificare che sia attivata solo l'opzione Autenticazione di Windows.

    Se è installato il sito Web NonDomainHRA, fare clic su NonDomainHRA e quindi fare doppio clic su Autenticazione. Verificare che sia attivata solo l'opzione Autenticazione anonima.

  7. Fare clic sul nome del computer del server Autorità registrazione integrità e quindi fare doppio clic su Restrizioni CGI e ISAPI. Verificare che l'estensione hcsrvext.dll sia impostata su Consentito.
Importante

Se sono consentite le richieste di certificati di integrità anonime, non configurare l'URL del sito Web NonDomainHRA con un ordine di elaborazione più elevato rispetto al sito Web DomainHRA nelle impostazioni del gruppo di server trusted nei computer client di Protezione accesso alla rete. In caso contrario, i client di Protezione accesso alla rete membri del dominio potrebbero ottenere certificati di integrità non compatibili con i requisiti di autenticazione del dominio utilizzati nelle comunicazioni con protezione IPsec.

Ulteriori riferimenti

  • Informazioni sui requisiti di autenticazione dell'Autorità registrazione integrità