Risponditore in linea

Il servizio Risponditore in linea Microsoft consente di configurare e gestire le verifiche di revoca e convalida del protocollo di stato del certificato online (OCSP) in reti basate su Windows Lo snap-in Risponditore in linea consente di configurare e gestire le configurazioni di revoca e gli array di risponditori online affinché supportino i client dell'infrastruttura a chiave pubblica (PKI) in ambienti diversificati.

  • Che cos'è un risponditore online?

  • Configurare i servizi Risponditore in linea in una rete

  • Gestire i risponditori online

  • Gestire una configurazione di revoca

  • Gestire un array di risponditori online

  • Risolvere i problemi relativi ai risponditori online


Che cos'è un risponditore online?

Un risponditore online è un server trusted che riceve singole richieste di informazioni sullo stato di un certificato da parte dei client e vi risponde.

L'utilizzo dei risponditori online rappresenta una delle due modalità comuni per trasmettere informazioni relative alla validità dei certificati. A differenza degli elenchi di revoche di certificati (CRL), i quali vengono distribuiti periodicamente e contengono informazioni su tutti i certificati revocati o sospesi, un risponditore online riceve e risponde solo alle singole richieste di informazioni sullo stato di un certificato inviate dai client. La quantità di dati recuperati per ogni richiesta rimane costante indipendentemente dal numero di certificati revocati esistenti.

In molte circostanze, i risponditori online sono in grado di elaborare le richieste di stato dei certificati in modo più efficiente rispetto ai CRL. Ad esempio:

  • Per i client che si connettono alla rete in modalità remota non sono necessarie oppure non sono disponibili le connessioni ad alta velocità richieste per il download di CRL di grandi dimensioni.

  • La rete deve gestire picchi notevoli nell'attività di verifica delle revoche, ad esempio quando un gran numero di utenti accede e invia messaggi di posta elettronica firmati contemporaneamente.

  • In un'organizzazione sono necessari mezzi efficienti per la distribuzione dei dati di revoca relativi ai certificati rilasciati da un'Autorità di certificazione non Microsoft.

  • Un'organizzazione desidera fornire solo i dati di verifica delle revoche necessari per verificare singole richieste di stato dei certificati piuttosto che rendere disponibili informazioni su tutti i certificati revocati o sospesi.

Ulteriori riferimenti

  • Componenti di un risponditore online

  • Funzionamento dei risponditori online


Componenti di un risponditore online

Il servizio ruolo Risponditore in linea in Windows Server 2008 R2 è costituito dai componenti seguenti.

Componente Descrizione

Servizio Risponditore in linea

Il servizio Risponditore in linea decodifica una richiesta di stato della revoca relativa a un certificato specifico, valuta lo stato del certificato e invia una risposta firmata contenente le informazioni richieste sullo stato del certificato. Il servizio Risponditore in linea è un componente separato rispetto all'Autorità di certificazione (CA).

Risponditore in linea

Un computer nel quale sono in esecuzione il servizio Risponditore in linea e il proxy Web del risponditore online. È inoltre possibile configurare come risponditore online un computer che ospita una CA, ma è consigliabile mantenere le CA e i risponditori online su computer separati. Un singolo risponditore online è in grado di fornire informazioni sullo stato delle revoche relative ai certificati rilasciati da una o più CA. Le informazioni sulle revoche di una CA possono essere supportate da più risponditori online.

Nota

È possibile installare un risponditore online in qualsiasi computer che esegue Windows Server 2008 R2 Enterprise o Windows Server 2008 R2 Datacenter. I dati relativi alle revoche di certificati sono tratti da un elenco di revoche di certificati (CRL) pubblicato che può essere generato da una CA in un computer che esegue Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 o Windows 2000 Server oppure da una CA non Microsoft.

Proxy Web del risponditore online

L'interfaccia del servizio per il risponditore online viene implementata come estensione ISAPI (Internet Server API) ospitata da Internet Information Services (IIS). Il proxy Web riceve e decodifica le richieste e memorizza le risposte nella cache per un periodo di tempo configurabile.

Configurazione di revoca

In una configurazione di revoca sono incluse tutte le impostazioni necessarie per rispondere alle richieste di stato dei certificati rilasciate mediante una chiave CA specifica. Queste impostazioni di configurazione includono il certificato CA, il certificato di firma per il risponditore online e il tipo di provider di revoca da utilizzare.

Provider di revoca

Un provider di revoca consiste in un modulo software che, in combinazione con altre impostazioni della configurazione di revoca, consente a un risponditore online di controllare lo stato di un certificato. Il provider di revoca in Windows Server 2008 R2 utilizza i dati degli elenchi di revoche di certificati (CRL) per fornire le informazioni sullo stato.

Array di risponditori online

Un array di risponditori online contiene uno o più risponditori online membri. È possibile aggiungere ulteriori risponditori online a un array per diversi motivi, tra cui considerazioni di carattere geografico, scalabilità, considerazioni relative alla struttura della rete, oppure per garantire tolleranza di errore nel caso di indisponibilità di un singolo risponditore online. I risponditori inclusi in un array di risponditori online sono noti come membri dell'array.

Controller dell'array di risponditori online

Quando si combinano più risponditori online in un array, è necessario designare un membro come controller dell'array. Sebbene sia possibile configurare e gestire in modo indipendente i singoli risponditori online inclusi in un array, in caso di conflitti le informazioni di configurazione del controller dell'array hanno priorità sulle opzioni di configurazione impostate per gli altri membri.

Ulteriori riferimenti

  • Che cos'è un risponditore online?

  • Funzionamento dei risponditori online


Funzionamento dei risponditori online

Per la maggior parte delle applicazioni che dipendono da certificati X.509 è necessaria la convalida dello stato dei certificati utilizzati per l'esecuzione di operazioni di autenticazione, firma o crittografia. La verifica della validità e della revoca di un certificato viene eseguita per tutti i certificati in una catena di certificati, fino al certificato radice. Se il certificato radice o qualsiasi altro certificato nella catena non è valido, i certificati al di sotto di quello non valido nella catena sono ugualmente considerati non validi.

Affinché la convalida abbia esito positivo, devono essere confermate le condizioni seguenti:

  • La firma di ogni certificato è valida.

  • La data e l'ora correnti devono essere comprese nel periodo di validità del certificato.

  • Nessun certificato è danneggiato o in un formato non corretto.

Viene inoltre verificato lo stato di revoca di ogni certificato incluso nella catena di certificati. La verifica delle revoche può essere eseguita mediante un elenco di revoche di certificati (CRL) oppure una risposta del protocollo di stato del certificato online (OCSP).

Che cos'è il protocollo OCSP?

Il risponditore online Microsoft implementa il protocollo OCSP il quale consente al destinatario di un certificato di inviare una richiesta di stato del certificato a un risponditore OCSP mediante il protocollo HTTP (Hypertext Transfer Protocol). Il risponditore OCSP restituisce una risposta definitiva provvista di firma digitale indicante lo stato del certificato. La quantità di dati recuperati per ogni richiesta rimane costante indipendentemente dal numero di certificati revocati nella CA.

Per ulteriori informazioni, vedere la specifica RFC 2560, "X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP" all'indirizzo http://go.microsoft.com/fwlink/?LinkID=71068.

Risponditore in linea

L'implementazione Microsoft di OCSP, ovvero Risponditore in linea, è suddivisa in componenti client e server. Il componente client è incorporato nella libreria CryptoAPI 2.0, mentre quello server viene introdotto come un nuovo servizio offerto dal ruolo server Servizi certificati Active Directory. Nel processo seguente viene descritta l'interazione tra i componenti client e server.

  1. Quando un'applicazione tenta di verificare un certificato in cui sono specificati i percorsi dei risponditori OCSP, il componente client esegue innanzitutto una ricerca nella memoria locale e nelle cache dei dischi per individuare una risposta OSCP memorizzata in cache contenente dati di revoca aggiornati.

  2. Se non viene trovata una risposta accettabile nella cache, viene inviata una richiesta a un risponditore online mediante il protocollo HTTP.

  3. Il proxy Web del risponditore online decodifica e verifica la richiesta. Se quest'ultima è valida, viene eseguita una verifica nella cache del proxy Web per individuare le informazioni sulla revoca necessarie per soddisfare la richiesta. Se nella cache non sono disponibili informazioni aggiornate, la richiesta viene inoltrata al servizio Risponditore in linea.

  4. Quest'ultimo riceve la richiesta ed esegue una verifica in un CRL locale, se disponibile, e in una copia memorizzata nella cache del CRL più recente rilasciato dalla CA.

  5. Se il certificato non è presente negli elenchi di revoche locali e della cache, il provider di revoca ottiene un CRL aggiornato della CA, se disponibile, dai percorsi elencati nella configurazione di revoca allo scopo di verificare lo stato del certificato. A sua volta, il provider restituisce lo stato del certificato al servizio Risponditore in linea.

  6. Il proxy Web quindi codifica e invia la risposta al client per notificargli che il certificato è valido. Viene inoltre memorizzata nella cache una copia della risposta per un periodo di tempo limitato nell'eventualità che vengano ricevute ulteriori richieste di stato relative al certificato in questione.

Ulteriori riferimenti

  • Che cos'è un risponditore online?

  • Componenti di un risponditore online


Configurare i servizi Risponditore in linea in una rete

La configurazione dei servizi Risponditore in linea prevede l'esecuzione di diversi passaggi correlati tra loro. Molti di tali passaggi devono essere eseguiti nell'Autorità di certificazione (CA) da utilizzare per il rilascio dei certificati di firma OCSP (Online Certificate Status Protocol) necessari per il funzionamento di un risponditore online. Tali passaggi includono la configurazione del modello di certificato appropriato, l'attivazione del modello di certificato, nonché la configurazione e il completamento della registrazione automatica dei certificati affinché il computer che ospita il risponditore online disponga dei certificati necessari per il funzionamento di quest'ultimo.

L'installazione e la configurazione di un risponditore online prevedono l'utilizzo di Server Manager per installare il servizio Risponditore in linea, dello snap-in Modelli di certificato per configurare e pubblicare i modelli di certificato Firma risposta OCSP, dello snap-in Autorità di certificazione per includere le estensioni OCSP nei certificati che verranno rilasciati e per rilasciare i certificati Firma risposta OCSP, nonché dello snap-in Risponditore in linea per creare una configurazione di revoca.

Negli argomenti seguenti vengono descritte le procedure necessarie per completare tali passaggi di installazione e configurazione. Viene inoltre illustrato come verificare l'esito dell'installazione.

  • Configurare una CA per il supporto dei risponditori OCSP

  • Installare un risponditore online

  • Creare una configurazione di revoca

  • Verificare l'installazione di un risponditore online


Configurare una CA per il supporto dei risponditori OCSP

Per assicurare il funzionamento corretto di un risponditore online, è necessario che quest'ultimo disponga di un certificato Firma risposta OCSP (Online Certificate Status Protocol) valido. Il certificato Firma risposta OCSP è inoltre necessario se si utilizza un risponditore OCSP non Microsoft.

La configurazione di un'Autorità di certificazione (CA) per il supporto dei servizi Risponditore OCSP include i passaggi seguenti:

  1. Configurare i modelli di certificato e le proprietà di rilascio per i certificati Firma risposta OCSP.

  2. Configurare le autorizzazioni di registrazione per i computer che ospiteranno i risponditori online.

  3. In caso di CA basata su Windows Server 2003, attivare l'estensione OCSP nei certificati rilasciati.

  4. Aggiungere il percorso del risponditore online o del risponditore OCSP all'estensione Accesso alle informazioni dell'autorità nella CA.

  5. Attivare il modello di certificato Firma risposta OCSP per la CA.

Il modello di certificato utilizzato per rilasciare un certificato Firma risposta OCSP deve contenere un'estensione denominata "Nessun controllo di revoca OCSP" e i criteri di applicazione Firma OCSP. È inoltre necessario configurare le autorizzazioni per consentire al computer che ospiterà il risponditore online di effettuare la registrazione per il certificato.

La procedura seguente è relativa a una CA installata in un computer che esegue Windows Server 2008 R2 o Windows Server 2008.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il modello di certificato per un certificato Firma risposta OCSP emesso da una CA basata su Windows Server 2008 R2 o su Windows Server 2008

  1. Aprire lo snap-in Modelli di certificato.

    Nota

    Se si esegue questa procedura su un computer nel quale non sono installati il risponditore online o la CA, per poter utilizzare lo snap-in Modelli di certificato potrebbe essere necessario installare Strumenti di amministrazione remota del server per Servizi certificati Active Directory. Per ulteriori informazioni su Strumenti di amministrazione remota del server, vedere Amministrare un risponditore online da un altro computer.

  2. Fare clic con il pulsante destro del mouse sul modello Firma risposta OCSP e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Sicurezza. In Nome utente o gruppo fare clic su Aggiungi.

  4. Fare clic su Tipi di oggetto, selezionare la casella di controllo Computer e quindi fare clic su OK.

  5. Selezionare o digitare il nome del computer che ospita i servizi Risponditore in linea o Risponditore OCSP e fare clic su OK.

  6. Nella finestra di dialogo Utenti e gruppi fare clic sul nome del computer e nella finestra di dialogo Autorizzazioni selezionare le caselle di controllo Lettura e Registrazione e quindi fare clic su OK.

La procedura seguente è relativa a una CA installata in un computer che esegue Windows Server 2003. La procedura deve essere completata in un computer che esegue Windows Server 2008 R2 o Windows Server 2008.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il modello di certificato per un certificato Firma risposta OCSP rilasciato da una CA basata su Windows Server 2003

  1. Aprire lo snap-in Modelli di certificato.

  2. Fare clic con il pulsante destro del mouse sul modello Firma risposta OCSP e quindi scegliere Duplica. Fare clic su Windows 2003 Server, Enterprise Edition e quindi su OK.

  3. Fare clic sulla scheda Sicurezza. In Nome utente o gruppo fare clic su Aggiungi e quindi selezionare o digitare il nome del computer che ospita i servizi Risponditore in linea o Risponditore OCSP.

  4. Fare clic su Tipi di oggetto, selezionare la casella di controllo Computer e quindi fare clic su OK.

  5. Selezionare o digitare il nome del computer che ospita i servizi Risponditore in linea o Risponditore OCSP e fare clic su OK.

  6. Nella finestra di dialogo Utenti e gruppi fare clic sul nome del computer e nella finestra di dialogo Autorizzazioni selezionare le caselle di controllo Lettura e Registrazione.

Nota

Il modello di certificato Firma risposta OCSP predefinito contiene un'estensione denominata "Nessun controllo di revoca OCSP". Non rimuovere tale estensione, la quale viene utilizzata da molti client per verificare che le risposte firmate con il certificato di firma siano valide.

Se la CA è installata in un computer che esegue Windows Server 2003, è necessario completare la procedura seguente per configurare il modulo criteri nella CA per il rilascio di certificati che includano l'estensione.

Per poter completare questa procedura, è necessario essere un amministratore locale. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per preparare un computer che esegue Windows Server 2003 al rilascio di certificati Firma risposta OCSP

  1. Nel server che ospita la CA aprire un prompt dei comandi e digitare:

    certutil -v -setreg policy\EnableRequestExtensionList +1.3.6.1.5.5.7.48.1.5

  2. Arrestare e riavviare la CA. A tale scopo, è possibile eseguire i comandi seguenti al prompt dei comandi:

    net stop certsvc
net start certsvc

Per configurare la CA per OCSP, è necessario utilizzare lo snap-in Autorità di certificazione per completare le procedure seguenti di configurazione della CA:

  • Aggiungere il percorso del risponditore online o del risponditore OCSP all'estensione Accesso alle informazioni dell'autorità.

  • Attivare il modello di certificato per la CA.

Per poter completare questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare una CA affinché supporti i servizi Risponditore in linea e Risponditore OCSP

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Estensioni.

  5. Nell'elenco Selezionare l'estensione fare clic su Accesso alle informazioni dell'autorità (AIA) e quindi su Aggiungi.

  6. Specificare i percorsi da cui gli utenti possono ottenere i dati relativi alle revoche dei certificati, ad esempio http://nomecomputer/ocsp.

  7. Selezionare la casella di controllo Includi nell'estensione del protocollo di stato del certificato online (OCSP).

  8. Nell'albero della console dello snap-in Autorità di certificazione fare clic con il pulsante destro del mouse su Modelli di certificato e quindi scegliere Nuovi modelli di certificato da rilasciare.

  9. In Attivazione modelli di certificato selezionare il modello Firma risposta OCSP ed eventuali altri modelli di certificato precedentemente configurati e quindi fare clic su OK.

  10. Fare doppio clic su Modelli di certificato e verificare che i modelli di certificato modificati siano presenti nell'elenco.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete

  • Rinnovare i certificati Firma risposta OCSP con una chiave esistente


Installare un risponditore online

È possibile installare un risponditore online in un computer che esegue Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Datacenter, Windows Server 2008 Enterprise o Windows Server 2008 Datacenter. I dati di revoca dei certificati possono essere ottenuti da un'Autorità di certificazione (CA) in un computer che esegue Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 oppure da una CA non Microsoft.

Nota

Per poter installare il risponditore online, è inoltre necessario installare nel computer Internet Information Services (IIS).

È possibile utilizzare la procedura seguente se nessuno dei servizi ruolo di Servizi certificati Active Directory (ad esempio una CA) è disponibile nel computer.

Per poter completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per installare il servizio Risponditore in linea

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Server Manager.

  2. Fare clic su Gestisci ruoli. In Servizi certificati Active Directory fare clic su Aggiungi servizi ruolo. Se è già installato un altro servizio ruolo di Servizi certificati Active Directory, selezionare la casella di controllo Servizi certificati Active Directory nel riquadro Riepilogo ruoli e quindi fare clic su Aggiungi servizi ruolo.

  3. Nella pagina Selezione servizi ruolo selezionare la casella di controllo Protocollo di stato del certificato online.

    Verrà visualizzato un messaggio indicante che per supportare OCSP devono essere installati IIS e il servizio Attivazione Windows (WAS).

  4. Fare clic su Aggiungi servizi ruolo necessari e quindi su Avanti tre volte.

  5. Nella pagina Conferma opzioni di installazione fare clic su Installa.

  6. Al termine dell'installazione, esaminare la pagina di stato per verificare che l'installazione abbia avuto esito positivo.

Ulteriori considerazioni

  • Per poter utilizzare un risponditore online, è inoltre necessario creare una configurazione di revoca. Vedere Creare una configurazione di revoca.

  • Per impostazione predefinita, il filtro richieste di IIS 7.0 blocca il segno più (+), che viene utilizzato nell'URL dei Delta CRL. Per consentire il recupero di Delta CRL, modificare la configurazione IIS impostando allowDoubleEscaping=true sull'elemento requestFiltering nella sezione system.web della configurazione IIS. Per ulteriori informazioni sulla configurazione del filtro richieste di IIS 7.0, vedere la pagina relativa a IIS 7.0: configurare i filtri richieste in IIS 7.0 all'indirizzo http://go.microsoft.com/fwlink/?LinkId=139569.

    Sicurezza Nota

    L'accettazione del passaggio di alcuni caratteri attraverso il filtro richieste può comportare una riduzione del livello sicurezza, che potrebbe essere inaccettabile in alcuni ambienti. Per una descrizione di questo tipo di rischio, vedere il capitolo 12 della pagina relativa alla scrittura di codice sicuro all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136514.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete


Creare una configurazione di revoca

Un singolo risponditore online è in grado di rendere disponibili informazioni sulle revoche relative a più Autorità di certificazione (CA) e più certificati CA. Per ogni CA e ogni certificato CA serviti da un risponditore online è tuttavia necessaria una configurazione di revoca separata.

In una configurazione di revoca sono incluse tutte le impostazioni necessarie per rispondere alle richieste di stato relative ai certificati rilasciate mediante una chiave CA specifica. Tali impostazioni di configurazione includono quanto segue:

  • Certificato CA. Questo certificato può trovarsi in Servizi di dominio Active Directory, nell'archivio certificati locale o può essere importato da un file.

  • Certificato di firma per il risponditore online. Il certificato di firma può essere selezionato automaticamente o manualmente (in questo caso è necessario eseguire una procedura di importazione separata dopo aver aggiunto la configurazione di revoca) oppure è possibile designare come certificato di firma il certificato CA selezionato.

  • Provider di revoca. Il provider di revoca fornisce i dati di revoca utilizzati dalla configurazione. Per un provider Windows Server 2008 R2 o Windows Server 2008, le informazioni sono specificate sotto forma di uno o più URL da cui è possibile ottenere Base CRL e Delta CRL validi.

Prima di iniziare ad aggiungere una nuova configurazione di revoca, accertarsi di disporre delle informazioni indicate nell'elenco precedente.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per tutti i risponditori online dell'array. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere una configurazione di revoca a un risponditore online

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione di revoca.

    Nel riquadro dei dettagli verrà visualizzato un elenco delle configurazioni di revoca esistenti.

  3. Nel riquadro Azioni fare clic su Aggiungi configurazione di revoca per avviare la procedura guidata corrispondente.

  4. Specificare le informazioni richieste nella procedura guidata.

    • Per informazioni sulla pagina Selezione percorso certificato CA, vedere Certificati CA della configurazione di revoca.

    • Per informazioni sulla pagina Selezionare un certificato di firma, vedere Certificati di firma della configurazione di revoca.

  5. Dopo aver immesso tutte le informazioni, fare clic su Fine e quindi su Sì per completare il processo di configurazione.

È possibile modificare le proprietà di una configurazione di revoca esistente, visualizzare il relativo certificato CA oppure eliminare la configurazione selezionandola e facendo clic su Modifica proprietà nel riquadro Azioni.

È possibile modificare le proprietà seguenti delle configurazioni di revoca:

  • CRL locale. Per ulteriori informazioni, vedere Gestire i dati di revoca mediante CRL locali.

  • Provider di revoca. Per ulteriori informazioni, vedere Proprietà provider di revoca.

  • Firma. Per ulteriori informazioni, vedere Firma del provider di revoca.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete


Certificati CA della configurazione di revoca

Utilizzare i criteri seguenti per selezionare il certificato della configurazione di revoca:

  • Se il certificato dell'Autorità di certificazione (CA) è stato pubblicato in Servizi di dominio Active Directory e il computer da configurare è in grado di accedere a tali informazioni in Servizi di dominio Active Directory, fare clic su Seleziona un certificato per una CA dell'organizzazione (enterprise) esistente.

  • Se non è possibile accedere a Servizi di dominio Active Directory, si conosce il nome del certificato CA e si è certi che esista nell'archivio certificati radice locale, fare clic su Seleziona un certificato dall'archivio certificati locale.

    Nota

    Questa opzione non è disponibile se il risponditore online non si trova nello stesso computer dello snap-in Risponditore in linea.

  • Se non è possibile accedere a Servizi di dominio Active Directory e il certificato CA (con estensione cer) è disponibile su un supporto rimovibile, fare clic su Importa certificato da un file.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Certificati di firma della configurazione di revoca

Sono disponibili le opzioni seguenti per la selezione di un certificato di firma della configurazione di revoca:

  • L'opzione predefinita, ovvero Seleziona automaticamente un certificato di firma, soddisfa in genere le esigenze della maggior parte delle organizzazioni. Questa opzione consente l'identificazione di un certificato di firma adeguato nell'archivio certificati locale da parte del processo di impostazione della configurazione di revoca. Se tuttavia si abilita un'opzione per la registrazione automatica di un certificato di firma, il servizio Risponditore in linea eseguirà la registrazione e utilizzerà tale certificato di firma.

  • Quando si seleziona Seleziona manualmente un certificato di firma, il risponditore online non assegna alcun certificato di firma e l'utente dovrà selezionare i certificati di firma per ogni membro dell'array di risponditori online manualmente.

  • L'opzione Usa il certificato CA per la configurazione di revoca può essere selezionata se Risponditore in linea è installato nello stesso computer dell'Autorità di certificazione (CA).

Nota

L'installazione predefinita dei servizi Risponditore in linea non consente la registrazione automatica del certificato Firma risposta OCSP da un modulo di sicurezza hardware che richiede l'intervento dell'utente. Se è necessario utilizzare un modulo di questo tipo per distribuire i certificati Firma risposta OCSP, è necessario modificare il servizio Risponditore in linea affinché venga eseguito come Sistema locale con l'interazione abilitata. Nella scheda Firma della pagina Proprietà risponditore online è inoltre necessario deselezionare la casella di controllo Non richiedere le credenziali per le operazioni di crittografia.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Proprietà provider di revoca

Il provider di revoca recupera l'elenco di revoche di certificati (CRL) da un'Autorità di certificazione (CA) e lo utilizza per determinare lo stato di revoca di un certificato. Utilizzare la finestra delle proprietà Provider di revoca per specificare uno o più percorsi per un CRL e un Delta CRL facoltativo, nonché per definire l'intervallo di aggiornamento per il recupero dei CRL aggiornati.

Percorsi di Base CRL e Delta CRL

Il percorso dei CRL e dei Delta CRL può essere specificato nei formati descritti nella tabella riportata di seguito. Gli eventuali percorsi di CRL definiti nell'estensione del punto di distribuzione CRL del certificato CA vengono aggiunti al provider di revoca durante l'installazione del servizio Risponditore in linea.

Formato del percorso | Esempio
HTTP | http://OnlineResponderHost/OCSP/CRLFile.crl
LDAP | ldap:///CN=CACommonName,CN=CAHostName,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=Fabrikam,DC=com?certificateRevocationList?base?objectClass=cRLDistributionPoint

È possibile specificare più percorsi per un CRL. L'ordine di precedenza è definito dall'ordine utilizzato nell'elenco. Se tra due CRL nessuno include lo stesso elenco di revoche, verrà utilizzato un CRL elencato in una posizione superiore.

Intervallo di aggiornamento

L'intervallo di aggiornamento predefinito viene specificato come il periodo di validità del CRL. Può essere specificato inoltre in minuti, in modo da aggiornare i CRL con maggiore frequenza.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Firma del provider di revoca

Nella scheda Firma della pagina Proprietà risponditore online viene visualizzato l'algoritmo hash utilizzato per consentire la verifica delle operazioni di firma per le risposte del risponditore online ai client.

È possibile configurare le opzioni di firma seguenti:

  • Non richiedere le credenziali per le operazioni di crittografia. Se la chiave di firma è protetta da un'ulteriore password complessa e questa opzione è selezionata, il risponditore online non richiederà all'utente di immettere la password e l'operazione avrà esito negativo senza che vengano visualizzati avvisi.

    Nota

    Non selezionare questa opzione se si utilizza un modulo di sicurezza hardware per proteggere le chiavi private.

  • Usa automaticamente certificati di firma rinnovati. Se si seleziona questa opzione, il risponditore online utilizzerà automaticamente certificati di firma rinnovati senza richiederne l'assegnazione manuale da parte dell'amministratore del risponditore online.

  • Abilita supporto estensione NONCE. Se si seleziona questa opzione, il risponditore online esaminerà ed elaborerà una richiesta del protocollo di stato del certificato online (OCSP) contenente un'estensione NONCE. Se nella richiesta OCSP è inclusa un'estensione NONCE e questa opzione è selezionata, il risponditore online ignorerà eventuali risposte OCSP nella cache e creerà una nuova risposta contenente l'estensione NONCE fornita nella richiesta. Se l'opzione è disattivata e viene ricevuta una richiesta che include un'estensione NONCE, il risponditore online rifiuterà la richiesta generando un errore di assenza di autorizzazione.

    Nota

    Il client OCSP Microsoft non supporta l'estensione NONCE.

  • Usa qualsiasi certificato di firma OCSP valido. Per impostazione predefinita, il risponditore online utilizzerà esclusivamente certificati di firma emessi dalla stessa Autorità di certificazione (CA) che ha emesso il certificato da convalidare. Questa opzione consente di modificare il comportamento predefinito e fa in modo che il risponditore online utilizzi qualsiasi certificato valido esistente contenente l'estensione EKU di firma OCSP.

    Nota

    I client che eseguono versioni di Windows precedenti a Windows Vista con Service Pack 1 (SP1) non supportano questa opzione e le richieste di stato dei certificati provenienti da questi client avranno esito negativo se viene selezionata questa opzione.

Le opzioni di identificazione seguenti del risponditore online consentono di scegliere se includere l'hash di chiave o il soggetto del certificato di firma nella risposta:

  • Hash chiave certificato di firma. Alcuni provider di servizi di crittografia (CSP) richiedono l'hash chiave del certificato di firma per l'accesso alle chiavi private.

  • Soggetto certificato di firma. Alcuni provider di servizi di crittografia richiedono il soggetto del certificato di firma per l'accesso alle chiavi private.

Ulteriori riferimenti

  • Creare una configurazione di revoca


Verificare l'installazione di un risponditore online

Dopo aver completato l'installazione di un risponditore online, è possibile accertarsi che funzioni correttamente verificando che sia possibile effettuare operazioni quali la registrazione automatica e la revoca dei certificati, nonché rendere disponibili dati di revoca esatti mediante il risponditore online.

Per eseguire questa procedura, è necessario essere un amministratore della CA. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per verificare che il risponditore online funzioni correttamente

  1. Nella CA configurare diversi modelli di certificato per la registrazione automatica da parte di computer e utenti.

  2. Dopo la pubblicazione dei nuovi modelli di certificato in Servizi di dominio Active Directory, aprire una finestra del prompt dei comandi nel computer client e immettere il comando seguente per avviare la registrazione automatica dei certificati:

    certutil -pulse

    Nota

    La replica delle informazioni sui nuovi certificati nei controller di dominio può richiedere diverse ore.

  3. Nel computer client utilizzare lo snap-in Certificati per verificare che siano stati emessi i nuovi certificati. In caso contrario, ripetere il passaggio 2. È inoltre possibile riavviare il computer client per avviare la registrazione automatica dei certificati.

  4. Nella CA utilizzare lo snap-in Autorità di certificazione per visualizzare e revocare uno o più certificati emessi facendo clic su Autorità di certificazione (computer)\Nome CA\Certificati emessi e selezionando il certificato che si desidera revocare. Scegliere Tutte le attività dal menu Azione e quindi fare clic su Revoca certificato. Selezionare il motivo di revoca del certificato e fare clic su Sì.

  5. Nello snap-in Autorità di certificazione pubblicare un nuovo elenco di revoche di certificati (CRL) facendo clic su Autorità di certificazione (computer)\Nome CA\Certificati revocati nell'albero della console. Scegliere quindi Tutte le attività dal menu Azione e fare clic su Pubblica.

  6. Nel computer client utilizzare lo snap-in Certificati per esportare uno dei certificati emessi e salvarlo come file X.509.

  7. Aprire il prompt dei comandi e digitare il comando seguente:

    certutil –url <exportedcert.cer>

  8. Nella finestra di dialogo Strumento di recupero URL selezionare OCSP (da AIA) e quindi fare clic su Recupera. Dopo il recupero del CRL, lo stato verrà visualizzato come Verificato.

Ulteriori riferimenti

  • Configurare i servizi Risponditore in linea in una rete


Gestire i risponditori online

Sono disponibili procedure che consentono di completare le attività di base seguenti per la gestione dei risponditori online:

  • Aggiungere lo snap-in Risponditore in linea a una console

  • Controllare le operazioni del risponditore online

  • Amministrare un risponditore online da un altro computer

  • Modificare il proxy Web del risponditore online

  • Aggiungere percorsi OCSP ai certificati rilasciati

  • Rinnovare i certificati Firma risposta OCSP con una chiave esistente


Aggiungere lo snap-in Risponditore in linea a una console

È possibile utilizzare lo snap-in Risponditore in linea per monitorare e gestire il servizio Risponditore in linea e le configurazioni di revoca sul computer in uso o su altri computer.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere lo snap-in Risponditore in linea a una console

  1. Fare clic sul pulsante Start, digitare mmc e quindi premere INVIO.

  2. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  3. In Snap-in disponibili fare doppio clic su Risponditore in linea, selezionare il computer in cui è installato il risponditore online e quindi fare clic su Fine.

  4. Se non si desidera aggiungere altri snap-in alla console, fare clic su OK.

  5. Per salvare la console, scegliere Salva dal menu File.

Ulteriori riferimenti

  • Amministrare un risponditore online da un altro computer


Controllare le operazioni del risponditore online

È possibile monitorare le operazioni di un risponditore online mediante la registrazione di eventi nel registro eventi di sicurezza di Windows. Il servizio Risponditore in linea consente di configurare gli eventi di controllo seguenti:

  • Avvio e arresto del servizio Risponditore in linea. Verrà registrato ogni evento di avvio e di arresto del servizio Risponditore in linea.

  • Modifiche alla configurazione del risponditore online. Verranno registrate tutte le modifiche apportate alla configurazione del risponditore online, incluse quelle alle impostazioni di controllo.

  • Modifiche alle impostazioni di sicurezza del risponditore online. Verranno registrate tutte le modifiche apportate all'elenco di controllo di accesso (ACL) relativo alle interfacce di gestione e alle richieste del servizio Risponditore in linea.

  • Richieste inviate al risponditore online. Verranno registrate tutte le richieste elaborate dal servizio Risponditore in linea. Questa opzione può determinare un carico elevato nel servizio. È pertanto consigliabile valutarne l'utilizzo a seconda dei singoli casi. Si noti che verranno generati e controllati eventi relativi soltanto alle richieste per le quali è necessaria un'operazione di firma da parte del risponditore online. Le richieste relative a risposte precedentemente memorizzate nella cache non verranno registrate.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per abilitare il controllo delle operazioni del risponditore online

  1. Aprire lo snap-in Risponditore in linea e selezionare il risponditore online desiderato.

  2. Scegliere Proprietà risponditore dal menu Azione oppure fare clic su Proprietà risponditore nel riquadro Azioni.

  3. Fare clic sulla scheda Controllo, selezionare le opzioni di controllo del risponditore online per la registrazione e quindi fare clic su OK.

Gli eventi di controllo verranno registrati nel registro di sicurezza di Windows solo se è abilitato il criterio Controlla accesso agli oggetti.

Per poter completare questa procedura, è necessario essere un amministratore del server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per abilitare il criterio Controlla accesso agli oggetti.

  1. Aprire l'Editor Criteri di gruppo locali.

  2. In Configurazione computer espandere Impostazioni di Windows, Impostazioni sicurezza e Criteri locali e quindi fare clic su Criteri di controllo.

  3. Fare doppio clic sul criterio Controlla accesso agli oggetti.

  4. Selezionare le caselle di controllo Operazioni riuscite ed Errore e quindi fare clic su OK.

Ulteriori riferimenti

  • Gestire i risponditori online

  • Controllare le modifiche alle configurazioni di revoca


Amministrare un risponditore online da un altro computer

Uno dei vantaggi offerti dai risponditori online consiste nella possibilità di distribuirli per fornire servizi di verifica delle revoche in una postazione remota o perfino all'esterno della Intranet locale. A tale scopo, tuttavia, è in genere necessario gestire il risponditore online da un altro computer.

Per impostazione predefinita, lo snap-in Risponditore in linea viene installato automaticamente durante l'installazione del risponditore online in un server. Il risponditore online può essere installato in un altro server utilizzando Server Manager per installare Strumenti per Servizi certificati Active Directory

Per poter consentire l'amministrazione remota, è necessario configurare le impostazioni del firewall correlate al risponditore online nel computer che lo ospita.

Per configurare le impostazioni del firewall è necessario essere un amministratore locale. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare le impostazioni del firewall allo scopo di consentire l'amministrazione remota di un risponditore online

  1. Aprire Server Manager.

  2. In Configurazione espandere Windows Firewall con sicurezza avanzata.

  3. Espandere Regole in entrata e fare clic su Servizio Risponditore in linea (DCOM-In).

  4. Nel riquadro Azioni fare clic su Abilita regola.

  5. Fare clic su Servizio Risponditore in linea (RPC-In) e nel riquadro Azioni fare clic su Abilita regola.

  6. Per identificare gli utenti o i computer autorizzati ad accedere al risponditore online tramite le singole regole firewall relative al servizio Risponditore in linea, nel riquadro Azioni fare clic su Proprietà per ognuna delle regole e quindi fare clic sulla scheda Utenti e computer.

Per poter installare Strumenti di amministrazione remota del server è necessario essere un amministratore locale nel computer remoto. Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per amministrare un risponditore online remoto

  1. Aprire Server Manager nel computer remoto.

  2. In Riepilogo funzionalità fare clic su Aggiungi funzionalità.

  3. Espandere Strumenti di amministrazione remota del server e Strumenti di amministrazione ruoli.

  4. Selezionare la casella di controllo Servizi certificati Active Directory, fare clic su Avanti e quindi su Installa.

  5. Al termine del processo di installazione, fare clic su Chiudi.

  6. Fare clic sul pulsante Start, digitare mmc e premere INVIO.

  7. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  8. Selezionare lo snap-in Risponditore in linea, fare clic su Aggiungi e quindi su OK.

  9. Nell'albero della console fare clic sul risponditore online.

  10. Scegliere Cambia associazione risponditore dal menu Azione per identificare il risponditore online che si desidera gestire.

Ulteriori considerazioni

  • Se il computer dal quale si desidera svolgere le attività di amministrazione remota esegue Windows Vista, è possibile ottenere il pacchetto Strumenti di amministrazione remota del server dall'Area download Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkID=89361.

  • Se è presente un firewall tra il risponditore online e il computer remoto, è necessario configurarlo affinché consenta il passaggio dei dati tramite la porta 80 tra Internet Information Services (IIS) e il risponditore online. È possibile ottenere risultati analoghi utilizzando la funzionalità di proxy inverso di Microsoft Internet Security and Acceleration (ISA) Server.

  • Potrebbe essere inoltre necessario configurare le autorizzazioni DCOM per consentire l'autenticazione reciproca dei risponditori online inclusi in un array.

Ulteriori riferimenti

  • Gestire i risponditori online


Modificare il proxy Web del risponditore online

La cache del proxy Web del risponditore online rappresenta l'interfaccia del servizio Risponditore in linea. Viene implementata come estensione ISAPI (Internet Server Application Programming Interface) ospitata da Internet Information Services (IIS) ed esegue le operazioni seguenti:

  • Decodifica delle richieste. Alla ricezione di una richiesta da parte del proxy Web del risponditore online, il componente di decodifica tenta di decodificarla e di estrarre il numero di serie del certificato da convalidare.

  • Memorizzazione delle risposte nella cache. Dopo aver estratto il numero di serie di un certificato da una richiesta ricevuta, il proxy Web del risponditore online verifica se nella cache locale è disponibile una risposta valida. Il periodo di validità degli elementi della cache corrisponde per impostazione predefinita al periodo di validità dell'elenco di revoche di certificati (CRL) da cui è stata generata la risposta.

È possibile modificare le impostazioni seguenti correlate al proxy Web di un risponditore online:

  • Thread proxy Web. Questa impostazione fa riferimento al numero di thread allocati dall'estensione ISAPI del risponditore online per la gestione delle richieste. Se si aumenta il numero di thread verrà utilizzata una quantità maggiore di memoria del server, mentre riducendo tale numero verrà limitato il numero di client che possono essere serviti contemporaneamente.

  • Voci cache consentite: La cache è implementata come componente dell'estensione ISAPI del risponditore online e funziona solo come cache in memoria. La dimensione consigliata della cache è compresa tra 1.000 e 10.000 voci. Il numero minimo di voci cache consentite è cinque. Se la dimensione della cache è ridotta si verificheranno più errori e il carico del servizio Risponditore in linea per le operazioni di ricerca e firma risulterà più elevato. Una dimensione maggiore determina invece un maggiore utilizzo della memoria del risponditore online.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per modificare il proxy Web del risponditore online

  1. Aprire lo snap-in Risponditore in linea e selezionare il risponditore online desiderato.

  2. Scegliere Proprietà risponditore dal menu Azione oppure fare clic su Proprietà risponditore nel riquadro Azioni.

  3. Fare clic sulla scheda Proxy Web, modificare le opzioni del proxy Web desiderate e quindi fare clic su OK.

Ulteriori riferimenti

  • Gestire i risponditori online


Aggiungere percorsi OCSP ai certificati rilasciati

Il percorso di un risponditore online viene specificato sotto forma di URL nell'estensione Informazioni Autorità di certificazione (CA) in un certificato. Quando un'Autorità di certificazione (CA) emette un certificato, aggiunge l'estensione Accesso alle informazioni dell'autorità. Le richieste dei client relative alla verifica dello stato di revoca di un certificato verranno inviate a questo URL.

La scheda Proprietà OCSP consente di aggiungere gli URL dei risponditori online a certificati rilasciati in precedenza che non contengono l'estensione Informazioni Autorità di certificazione (CA). Se un'organizzazione aggiunge un risponditore online a un'infrastruttura a chiave pubblica (PKI) esistente, questa impostazione consente di utilizzare le risposte OCSP (Online Certificate Status Protocol, Protocollo di stato del certificato online) per i certificati esistenti affinché non sia necessario emettere nuovamente i certificati. Quando si aggiunge un percorso di download OCSP per un certificato CA intermedia o radice, il percorso verrà utilizzato per recuperare la risposta OCSP relativa a tutti i certificati rilasciati dalla CA in questione.

Nota

I percorsi di download OCSP aggiunti nella scheda Proprietà OCSP vengono controllati rispetto a eventuali percorsi di download già esistenti in un certificato. Se è necessario aggiungere un URL con segnaposto, utilizzare l'indirizzo seguente: http://localhost.

Ulteriori riferimenti

  • Gestire i risponditori online


Rinnovare i certificati Firma risposta OCSP con una chiave esistente

I certificati Firma risposta OCSP devono essere firmati con la stessa chiave dell'Autorità di certificazione (CA) utilizzata per la firma dei certificati finali di cui forniscono lo stato.

Dopo il rinnovo della chiave, questa viene utilizzata dalla CA per firmare i nuovi certificati rilasciati. Nel periodo compreso tra il rinnovo di un certificato CA e la data di scadenza del certificato CA originale, la CA non può rilasciare o rinnovare certificati Firma risposta OCSP, il che potrebbe impedire a un risponditore online di firmare le risposte OCSP.

Per risolvere questo problema, è possibile modificare il comportamento predefinito delle CA basate su Windows Server 2008 R2 e Windows Server 2008 affinché consentano l'emissione di certificati Firma risposta OCSP mediante una chiave CA rinnovata.

Per poter completare questa procedura, è necessario essere un amministratore del server che ospita la CA. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per consentire il rinnovo di certificati Firma risposta OCSP mediante chiavi CA esistenti

  1. Nel computer che ospita la CA aprire un prompt dei comandi e digitare:

    certutil -setreg ca\UseDefinedCACertInRequest 1

  2. Premere INVIO.

  3. Riavviare il servizio CA.

Ulteriori riferimenti

  • Gestire i risponditori online


Gestire una configurazione di revoca

In una configurazione di revoca sono incluse tutte le impostazioni necessarie per rispondere alle richieste di stato dei certificati rilasciate mediante una chiave CA (Autorità di certificazione) specifica. Queste impostazioni di configurazione includono il certificato CA, il certificato di firma per il risponditore online e il tipo di provider di revoca da utilizzare.

Sono disponibili procedure che consentono di completare le attività seguenti di gestione della revoca:

  • Controllare le modifiche alle configurazioni di revoca

  • Gestire la sicurezza dei risponditori online

  • Gestire i dati di revoca mediante CRL locali

  • Eliminare una configurazione di revoca


Controllare le modifiche alle configurazioni di revoca

È possibile monitorare le modifiche apportate alle configurazioni di revoca mediante la registrazione di eventi nel registro eventi di sicurezza di Windows. Il servizio Risponditore in linea consente di configurare gli eventi di controllo seguenti correlati alla configurazione di revoca:

  • Modifiche alla configurazione del risponditore online. Verranno registrate tutte le modifiche apportate alla configurazione del risponditore online, incluse quelle alle impostazioni di controllo.

  • Modifiche alle impostazioni di sicurezza del risponditore online. Verranno registrate tutte le modifiche apportate all'elenco di controllo di accesso (ACL) relativo alle interfacce di gestione e alle richieste del servizio Risponditore in linea.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per configurare il controllo delle modifiche alle configurazioni di revoca

  1. Aprire lo snap-in Risponditore in linea e selezionare il risponditore online desiderato.

  2. Scegliere Proprietà risponditore dal menu Azione oppure fare clic su Proprietà risponditore nel riquadro Azioni.

  3. Fare clic sulla scheda Controllo, selezionare le opzioni di controllo del risponditore online per la registrazione e quindi fare clic su OK.

Gli eventi di controllo verranno registrati nel registro di sicurezza di Windows solo se è abilitato il criterio Controlla accesso agli oggetti.

Per poter completare questa procedura, è necessario essere un amministratore del server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per abilitare il criterio Controlla accesso agli oggetti.

  1. Aprire l'Editor Criteri di gruppo locali.

  2. In Configurazione computer espandere Impostazioni di Windows, Impostazioni sicurezza e Criteri locali e quindi fare clic su Criteri di controllo.

  3. Fare doppio clic sul criterio Controlla accesso agli oggetti.

  4. Selezionare le caselle di controllo Operazioni riuscite ed Errore e quindi fare clic su OK.

Ulteriori riferimenti

  • Gestire una configurazione di revoca

  • Gestire la sicurezza dei risponditori online

  • Gestire i dati di revoca mediante CRL locali

  • Eliminare una configurazione di revoca

  • Controllare le operazioni del risponditore online


Gestire la sicurezza dei risponditori online

Esistono tre voci di controllo di accesso (ACE) utilizzabili per controllare l'accesso amministrativo a un risponditore online, ognuna delle quali può essere impostata su Consenti o Nega:

  • Lettura. Definisce chi può utilizzare lo snap-in Risponditore in linea per visualizzare informazioni sul risponditore online.

  • Gestisci risponditore online. Definisce chi può utilizzare lo snap-in Risponditore in linea per modificare la configurazione del risponditore online. È consigliabile concedere tali autorizzazioni con estrema cautela.

  • Richieste proxy. Consente l'invio di richieste di stato dei certificati al servizio Risponditore in linea da parte del proxy Web del risponditore online.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per modificare le impostazioni di sicurezza del risponditore online.

  1. Aprire lo snap-in Risponditore in linea, fare clic con il pulsante destro del mouse sul risponditore online che si desidera gestire e quindi scegliere Proprietà.

  2. Fare clic sulla scheda Sicurezza.

  3. Aggiungere l'utente o il gruppo per il quale si desidera impostare le autorizzazioni e quindi selezionare le caselle di controllo Consenti o Nega per ogni voce ACE.

  4. Fare clic su OK.

Ulteriori riferimenti

  • Gestire una configurazione di revoca

  • Controllare le modifiche alle configurazioni di revoca

  • Gestire i dati di revoca mediante CRL locali

  • Eliminare una configurazione di revoca


Gestire i dati di revoca mediante CRL locali

In circostanze ideali, i dati di revoca dei certificati vengono gestiti in una postazione centrale e resi immediatamente disponibili a tutti i potenziali utenti. In ambienti di rete complessi ciò non è tuttavia sempre possibile.

Le organizzazioni che utilizzano i risponditori online possono tuttavia creare un elenco di revoche di certificati (CRL) per gestire i dati di revoca dei certificati localmente durante gli intervalli in cui il risponditore online non è in grado di ottenere dati di revoca aggiornati da un'Autorità di certificazione (CA) o da un altro risponditore online. Alla connessione successiva, i dati del CRL locale potranno essere replicati nuovamente nel CRL della CA e quindi rimossi. Finché non viene rimosso, il CRL locale ha sempre priorità rispetto alle informazioni sullo stato delle revoche fornite dal provider di revoca.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per modificare i dati sui certificati in un CRL locale

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione di revoca.

    Nel riquadro dei dettagli verrà visualizzato un elenco delle configurazioni di revoca esistenti.

  3. Fare clic con il pulsante destro del mouse su una configurazione di revoca e scegliere CRL locale

  4. Nella finestra di dialogo CRL locale selezionare il certificato di cui si desidera modificare i dati.

  5. Fare clic su Aggiorna.

  6. Modificare i valori desiderati.

  7. Fare clic su OK due volte per uscire dalla finestra di dialogo CRL locale.

Dopo aver sincronizzato i dati di revoca locali con quelli per l'intera CA, è consigliabile eliminare tutti i dati dal CRL locale.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per eliminare uno o più certificati da un CRL locale.

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione di revoca.

    Nel riquadro dei dettagli verrà visualizzato un elenco delle configurazioni di revoca esistenti.

  3. Fare clic con il pulsante destro del mouse su una configurazione di revoca e scegliere CRL locale

  4. Nella finestra di dialogo CRL locale selezionare uno o più certificati che si desidera rimuovere dal CRL locale.

  5. Fare clic su Rimuovi.

  6. Fare clic su OK due volte per uscire dalla finestra di dialogo CRL locale.

Ulteriori riferimenti

  • Gestire una configurazione di revoca

  • Controllare le modifiche alle configurazioni di revoca

  • Gestire la sicurezza dei risponditori online

  • Eliminare una configurazione di revoca


Eliminare una configurazione di revoca

Le configurazioni di revoca sono versatili e possono essere modificate in qualsiasi momento, a meno che le modifiche non determinino conflitti con le impostazioni del controller dell'array. In alcune situazioni potrebbe tuttavia essere necessario eliminare una configurazione di revoca. Ad esempio:

  • Il certificato CA è scaduto e la configurazione di revoca non è più necessaria.

  • La configurazione di revoca è danneggiata e risulta più semplice sostituirla con una configurazione di revoca nuova.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per il server che ospita il risponditore online. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per eliminare una configurazione di revoca per un risponditore online

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione di revoca.

    Nel riquadro dei dettagli verrà visualizzato un elenco delle configurazioni di revoca esistenti.

  3. Fare clic con il pulsante destro del mouse sulla configurazione di revoca che si desidera eliminare e quindi scegliere Elimina.

Ulteriori riferimenti

  • Gestire una configurazione di revoca

  • Controllare le modifiche alle configurazioni di revoca

  • Gestire la sicurezza dei risponditori online

  • Gestire i dati di revoca mediante CRL locali


Gestire un array di risponditori online

Quando si utilizzano più risponditori online, è necessario organizzarli in una struttura logica denominata array di risponditori online. Poiché i risponditori online sono progettati per rispondere a singole richieste di stato dei certificati, un array di risponditori online consente di distribuire le richieste di stato tra più risponditori online dislocati in area geografiche distinte.

È necessario designare un risponditore online nell'array come controller dell'array. Le informazioni di configurazione del controller dell'array determinano le opzioni di configurazione per gli altri membri dell'array stesso.

La configurazione di un array richiede una complessa pianificazione basata sugli aspetti seguenti:

  • Il numero e l'indirizzo delle Autorità di certificazione (CA) che saranno supportate dall'array.

  • Il numero di client che richiederanno certificati dalle CA e dai rispettivi indirizzi.

  • La connettività di rete tra client, CA e potenziali risponditori online.

  • Il volume delle registrazioni, delle revoche e delle richieste di stato dei certificati gestito dall'infrastruttura a chiave pubblica (PKI) dell'organizzazione.

  • Le esigenze di ridondanza in caso di indisponibilità di singoli risponditori online.

Ulteriori riferimenti

  • Elenco di controllo: creare un array di risponditori online

  • Aggiungere membri a un array

  • Designare un controller per l'array

  • Sincronizzare i membri con la configurazione di un array

  • Valutare lo stato dei membri dell'array

  • Rimuovere un membro da un array


Elenco di controllo: creare un array di risponditori online

Dopo aver pianificato un array di risponditori online, la configurazione dell'array prevede numerose procedure che devono essere completate in successione.

Attività | Riferimento
Configurare un'Autorità di certificazione (CA) per il supporto dei risponditori online. | Configurare una CA per il supporto dei risponditori OCSP
Installare i risponditori online da aggiungere all'array. | Installare un risponditore online
Aggiungere i risponditori online all'array | Aggiungere membri a un array

Ulteriori riferimenti

  • Gestire un array di risponditori online


Aggiungere membri a un array

Quando si crea un risponditore online, quest'ultimo non viene automaticamente impostato come membro di un array. È necessario aggiungere i risponditori online all'array manualmente.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per tutti i risponditori online che si desidera aggiungere. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per aggiungere un membro a un array

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione array.

  3. Fare clic su Aggiungi membro dell'array nel riquadro Azioni.

  4. Digitare il nome e il percorso di rete del computer che ospita il risponditore online da aggiungere all'array oppure fare clic su Sfoglia per individuare il risponditore online e quindi fare clic su OK.

  5. Ripetere questa procedura per ogni membro che si desidera aggiungere all'array.

Ulteriori riferimenti

  • Gestire un array di risponditori online


Designare un controller per l'array

Quando un array contiene più risponditori online, uno di questi deve essere designato come controller dell'array. Le impostazioni di configurazione del controller hanno priorità sulle impostazioni in conflitto in altri risponditori online dell'array.

Per eseguire questa procedura, è necessario disporre dell'autorizzazione Gestisci risponditore online per tutti i risponditori online dell'array. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per designare un controller dell'array

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione array.

  3. Selezionare il risponditore online che si desidera designare come controller dell'array.

  4. Fare clic su Imposta come controller dell'array nel riquadro Azioni.

Dopo aver selezionato il nuovo controller dell'array, i dati della configurazione di revoca del risponditore online designato vengono recuperati e confrontati con i dati di configurazione degli altri risponditori online membri dell'array.

Ulteriori riferimenti

  • Gestire un array di risponditori online


Sincronizzare i membri con la configurazione di un array

Tutti i risponditori online in un array devono utilizzare gli stessi dati di configurazione. Tali dati sono definiti in un controller dell'array. È necessario sincronizzare i membri dell'array con il controller affinché tutti i membri dispongano della stessa configurazione.

Per eseguire questa procedura, è necessario disporre dell' autorizzazione Gestisci risponditore online per tutti i risponditori online dell'array. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per sincronizzare i membri con il controller di un array

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione array.

  3. Nel riquadro Azioni fare clic su Sincronizza membri con il controller dell'array.

Ulteriori riferimenti

  • Gestire un array di risponditori online


Valutare lo stato dei membri dell'array

Sebbene le prestazioni di un risponditore online dovrebbero risultare affidabili dopo la configurazione, è consigliabile che un amministratore verifichi periodicamente lo stato dell'array e dei relativi membri.

È possibile verificare lo stato dell'array e dei membri mediante lo snap-in Risponditore in linea. Gli eventuali messaggi di errore e di avviso vengono visualizzati nel riquadro relativo allo stato dello snap-in.

Se sono presenti messaggi di errore o di avviso, potrebbe essere necessario controllare ogni membro dell'array per verificare se sussistono le condizioni seguenti:

  • È disponibile una connessione di rete. In caso contrario, è necessario decidere come ristabilire la connettività.

  • Il servizio è in esecuzione. In caso contrario, è necessario riavviarlo.

  • I certificati CA o di firma sono prossimi alla scadenza. In questo caso, pianificarne il rinnovo prima che scadano.

  • I certificati CA o di firma sono scaduti. In questo caso, rinnovarli immediatamente.

Ulteriori riferimenti

  • Gestire un array di risponditori online

  • Risolvere i problemi relativi ai risponditori online


Rimuovere un membro da un array

Potrebbe talvolta essere necessario eliminare un membro da un array se quest'ultimo non è più necessario, è danneggiato, è stato compromesso oppure deve essere riconfigurato diversamente.

Per eseguire questa procedura, è necessario disporre dell' autorizzazione Gestisci risponditore online per tutti i risponditori online dell'array. Per ulteriori informazioni sull'amministrazione di un'infrastruttura a chiave pubblica (PKI), vedere Implementare l'amministrazione basata sui ruoli.

Per rimuovere un membro da un array

  1. Aprire lo snap-in Risponditore in linea.

  2. Nell'albero della console fare clic su Configurazione array.

  3. Selezionare il membro dell'array che si desidera eliminare.

  4. Scegliere Rimuovi membro dell'array dal menu Azione o dal riquadro Azioni.

Ulteriori considerazioni

  • Se il membro dell'array che si desidera eliminare è il controller dell'array, sarà necessario innanzitutto designare un nuovo controller prima di rimuovere quello corrente. Per ulteriori informazioni, vedere Designare un controller per l'array.

Ulteriori riferimenti

  • Gestire un array di risponditori online


Risolvere i problemi relativi ai risponditori online

In questa sezione vengono elencati alcuni problemi comuni che possono verificarsi quando si utilizzano lo snap-in Risponditore in linea o gli array di risponditori online. Per ulteriori informazioni su come risolvere i problemi relativi ai risponditori online, vedere la pagina sulla risoluzione dei problemi relativi a Servizi certificati Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=89215.

Problema riscontrato

  • Il servizio Risponditore in linea non è stato avviato

  • Non è possibile individuare il certificato di firma del risponditore online

  • Un tentativo di creare una configurazione di revoca ha avuto esito negativo

  • Il certificato di firma per la configurazione del risponditore online scadrà a breve

  • Il certificato di firma per la configurazione di revoca scadrà a breve

  • Non è possibile caricare la configurazione di revoca di un risponditore online

  • Il servizio Risponditore in linea non è un grado di recuperare un elenco di revoche di certificati (CRL) per la configurazione di revoca specificata
Il servizio Risponditore in linea non è stato avviato.
  • Causa: l'avvio del servizio Risponditore in linea può avere esito negativo a causa di informazioni danneggiate nel Registro di sistema oppure di risorse di sistema insufficienti.

  • Soluzione: provare a riavviare il servizio Risponditore in linea dallo snap-in Servizi (services.msc). Se l'avvio del servizio Risponditore in linea non riesce, cercare nel registro eventi eventuali errori che potrebbero essere correlati al problema. Se non sono disponibili risorse di sistema sufficienti per l'avvio del servizio Risponditore in linea, provare a riavviare il computer oppure a liberare risorse di sistema. Se le informazioni del Registro di sistema sono danneggiate, è necessario utilizzare Server Manager per disinstallare e reinstallare il servizio Risponditore in linea.

Non è possibile individuare il certificato di firma del risponditore online.
  • Causa: il certificato Firma risposta OCSP non è presente nell'archivio certificati personali per l'account computer oppure, se il certificato di firma avrebbe dovuto essere rilasciato mediante la registrazione automatica, quest'ultima non è stata completata.

  • Soluzione: se nell'archivio certificati personali per il computer locale non è presente un certificato Firma risposta OCSP e la revoca è configurata per la registrazione manuale del certificato Firma risposta OCSP oppure per l'individuazione automatica, è necessario effettuare manualmente la registrazione per un certificato. Per le configurazioni in cui il servizio Risponditore in linea effettua la registrazione per il proprio certificato, la registrazione manuale non funziona ed è necessario identificare il motivo a causa del quale la registrazione automatica non è stata completata. Di seguito sono illustrati alcuni dei motivi possibili:

    • Il computer nel quale è in esecuzione il servizio Risponditore in linea non è grado di connettersi all'Autorità di certificazione (CA) configurata per il rilascio di certificati basati sul modello Firma risposta OCSP.

    • Il risponditore online non dispone delle autorizzazioni di lettura, registrazione e registrazione automatica (se quest'ultima viene utilizzata) per il modello Firma risposta OCSP.

Un tentativo di creare una configurazione di revoca ha avuto esito negativo.
  • Causa: un tentativo di creare una configurazione di revoca ha avuto esito negativo con il messaggio "Certificato di firma non valido nel controller dell'array".

  • Soluzione: verificare che il modello di certificato Firma risposta OCSP sia stato configurato correttamente. In caso contrario, configurare il modello di certificato in modo da consentire la registrazione manuale per questi certificati di firma.

Il certificato di firma per la configurazione del risponditore online scadrà a breve.
  • Causa: se non si utilizza la registrazione automatica, viene automaticamente generato un promemoria relativo al rinnovo dei certificati in scadenza la cui durata residua ha raggiunto una percentuale configurata, la quale, per impostazione predefinita, corrisponde al 10% del periodo di validità complessivo. È possibile verificare il tempo rimanente del certificato di firma corrente utilizzando lo snap-in Certificati per esaminare il certificato Firma risposta OCSP nell'archivio certificati personali del computer oppure il servizio Risponditore in linea.

  • Soluzione: se il modello di certificato Firma risposta OCSP è stato configurato per la registrazione e il rinnovo automatici, potrebbero non essere necessarie ulteriori azioni. Per le configurazioni manuali, è possibile rinnovare il certificato di firma mediante lo snap-in Certificati e il Rinnovo guidato certificati.

Il certificato di firma per la configurazione di revoca scadrà a breve.
  • Causa: il rinnovo automatico del certificato di firma ha avuto esito negativo oppure il rinnovo manuale del certificato non è stato completato prima della data di scadenza.

  • Soluzione: per le configurazioni in cui il servizio Risponditore in linea effettua la registrazione per il proprio certificato, la registrazione manuale non funziona ed è necessario identificare il motivo a causa del quale la registrazione automatica non è stata completata. Di seguito sono illustrati alcuni dei motivi possibili:

    • Il computer nel quale è in esecuzione il servizio Risponditore in linea non è grado di connettersi alla CA configurata per il rilascio di certificati basati sul modello Firma risposta OCSP.

    • Il risponditore online non dispone delle autorizzazioni di lettura, registrazione e registrazione automatica per il modello Firma risposta OCSP.

    Affinché possa essere eseguito un nuovo tentativo di registrazione automatica, un amministratore della CA deve utilizzare gli snap-in Autorità di certificazione e Modelli di certificato per verificare la disponibilità e la configurazione del modello Firma risposta OCSP.

    Se la configurazione di revoca è impostata per la registrazione manuale del certificato Firma risposta OCSP, individuare il certificato di firma nell'archivio certificati personali del computer locale del risponditore online.

    Per le configurazioni manuali, è possibile rinnovare il certificato di firma mediante lo snap-in Certificati e il Rinnovo guidato certificati.

    È inoltre possibile che il certificato Firma risposta OCSP non possa essere rinnovato poiché la chiave CA utilizzata per firmare il certificato Firma risposta OCSP originale è stata rinnovata e non è più disponibile. Per superare questo problema, è necessario consentire il rinnovo del certificato Firma risposta OCSP con una chiave esistente. Per ulteriori informazioni, vedere Rinnovare i certificati Firma risposta OCSP con una chiave esistente.

Non è possibile caricare la configurazione di revoca di un risponditore online.
  • Causa: la configurazione di revoca è danneggiata.

  • Soluzione: utilizzare lo snap-in Risponditore in linea per eliminare e creare nuovamente la configurazione di revoca. Se il problema si è verificato in un membro dell'array, è possibile eliminare la configurazione danneggiata dal membro e quindi sincronizzare l'array per creare nuovamente la configurazione di revoca. Se il problema si verifica in un controller dell'array, impostare temporaneamente un altro computer come controller dell'array, sincronizzare l'array e quindi reimpostare il computer originale come controller dell'array.

Il servizio Risponditore in linea non è in grado di recuperare un elenco di revoche di certificati (CRL) per la configurazione di revoca specificata.
  • Causa: la pubblicazione dell'elenco di revoche di certificati (CRL) ha avuto esito negativo, i punti di distribuzione CRL non sono validi oppure il servizio Risponditore in linea non è in grado di accedere al CRL pubblicato.

  • Soluzione: per identificare e risolvere i problemi di recupero dell'elenco di revoche di certificati per un risponditore online:

    1. Utilizzare lo snap-in Risponditore in linea per verificare che gli URL configurati per i punti di distribuzione Delta CRL e Base CRL siano validi.

    2. Utilizzare lo snap-in Autorità di certificazione per verificare gli URL in cui la CA pubblica i Base CRL e Delta CRL.

    3. Nel computer in cui è pubblicato il Base CRL esaminare l'estensione CRL più aggiornato per individuare il Base CRL. Verificare che quest'ultimo identifichi un percorso in cui è possibile trovare il Delta CRL.

    4. Ripubblicare il CRL corrente, se necessario, digitando il comando seguente al prompt dei comandi: certutil -crl

    5. Verificare quindi che il servizio Risponditore in linea sia in grado di accedere al CRL. Nello snap-in Risponditore in linea fare clic con il pulsante destro del mouse su Configurazione array e scegliere Aggiorna dati di revoca.


Provider di revoca

I risponditori online in Windows Server 2008 R2 e Windows Server 2008 utilizzano il provider di revoca basato sull'elenco di revoche di certificati (CRL) Microsoft per fornire lo stato dei certificati. Il provider di revoca è il componente contattato da un risponditore online per verificare lo stato di un certificato. Il provider di revoca è responsabile del recupero di CRL aggiornati su cui si basa l'individuazione dello stato di un certificato.

È possibile selezionare uno o più CRL e Delta CRL da utilizzare con i risponditori online inclusi nell'array, nonché definire la frequenza di ricezione dei CRL aggiornati da parte del provider di revoca.


Implementare l'amministrazione basata sui ruoli

È possibile utilizzare l'amministrazione basata sui ruoli per organizzare gli amministratori dell'Autorità di certificazione (CA) in ruoli CA predefiniti distinti, ognuno con il proprio gruppo di attività. I ruoli vengono assegnati in base alle impostazioni di sicurezza di ogni utente. All'utente viene infatti assegnato un ruolo assegnandogli le impostazioni di sicurezza specifiche associate a tale ruolo. Un utente che dispone di un tipo di autorizzazione, ad esempio Gestione CA, potrà pertanto eseguire attività CA specifiche che non possono essere eseguite da un utente con un altro tipo di autorizzazione, ad esempio Rilascio e gestione certificati.

Nella tabella seguente vengono descritti i ruoli, gli utenti e i gruppi che possono essere utilizzati per implementare l'amministrazione basata sui ruoli. Per assegnare un ruolo a un utente o a un gruppo, è necessario assegnare all'utente o al gruppo le autorizzazioni di sicurezza, le appartenenze ai gruppi o i diritti utente corrispondenti del ruolo. Le autorizzazioni di sicurezza, le appartenenze ai gruppi e i diritti utente vengono utilizzati per stabilire quali utenti hanno determinati ruoli.

Ruoli e gruppi | Autorizzazione di sicurezza | Descrizione
Amministratore della CA | Gestione CA | Consente di configurare e gestire la CA. Questo è un ruolo CA e consente di assegnare tutti gli altri ruoli CA e di rinnovare il certificato CA. Queste autorizzazioni vengono assegnate tramite lo snap-in Autorità di certificazione.
Gestore di certificati | Rilascio e gestione certificati | Consente di approvare le richieste di registrazione e revoca dei certificati. Questo è un ruolo CA e a volte viene indicato come responsabile CA. Queste autorizzazioni vengono assegnate tramite lo snap-in Autorità di certificazione.
Backup Operators | Backup di file e directory Ripristino di file e directory | Consentono di eseguire operazioni di backup e ripristino del sistema. Il backup è una funzionalità del sistema operativo.
Auditor | Gestione file registro di controllo e di sicurezza | Consente di configurare, visualizzare e gestire i registri di controllo. Il controllo è una funzionalità del sistema operativo e l'auditor è un ruolo del sistema operativo.
Iscritti | Lettura Registrazione | Gli iscritti sono client autorizzati a richiedere certificati a una CA. Questo non è un ruolo CA.

Tutti i ruoli CA vengono assegnati e modificati dai membri del gruppo Administrators, Enterprise Admins o Domain Admins locale. Nelle CA dell'organizzazione (Enterprise) gli amministratori locali, gli amministratori dell'organizzazione e gli amministratori di dominio sono amministratori della CA per impostazione predefinita. In una CA autonoma (Standalone) invece solo gli amministratori locali sono amministratori della CA per impostazione predefinita. Se una CA autonoma (Standalone) è installata in un server che viene aggiunto a un dominio Active Directory, gli amministratori di dominio sono anche amministratori della CA.

I ruoli di amministratore della CA e di gestore di certificati possono essere assegnati agli utenti di Active Directory o agli utenti locali in Gestione account di sicurezza (SAM, Security Accounts Manager) nel computer locale, ovvero nel database degli account di sicurezza locale. È consigliabile assegnare i ruoli ad account di gruppo anziché a singoli account utente.

Solo l'amministratore della CA, il gestore di certificati, l'auditor e Backup Operators sono ruoli CA. Gli altri utenti descritti nella tabella sono importanti per l'amministrazione basata sui ruoli ed è necessario acquisire familiarità con essi prima di assegnare i ruoli CA.

Solo gli amministratori della CA e i gestori di certificati vengono assegnati tramite lo snap-in Autorità di certificazione. Per cambiare le autorizzazioni di un utente o di un gruppo, è necessario cambiare le autorizzazioni di sicurezza, l'appartenenza ai gruppi o i diritti utente dell'utente.

Per impostare le autorizzazioni di sicurezza degli amministratori della CA e dei gestori di certificati per una CA

  1. Aprire lo snap-in Autorità di certificazione.

  2. Nell'albero della console fare clic sul nome della CA.

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Sicurezza e specificare le autorizzazioni di sicurezza.

Ruoli e attività

A ogni ruolo CA è associato un elenco specifico di attività di amministrazione delle CA. Nella tabella seguente vengono elencate tutte le attività di amministrazione delle CA insieme ai ruoli a cui sono associate.

Attività | Amministratore della CA | Gestore di certificati | Auditor | Operatore di backup | Amministratore locale | Note
Installare CA |  |  |  |  | X |
Configurare moduli criteri e di uscita | X |  |  |  |  |
Arrestare e avviare il servizio Servizi certificati Active Directory | X |  |  |  |  |
Configurare estensioni | X |  |  |  |  |
Configurare ruoli | X |  |  |  |  |
Rinnovare chiavi CA |  |  |  |  | X |
Definire agenti di recupero chiavi | X |  |  |  |  |
Configurare limitazioni per i gestori di certificati | X |  |  |  |  |
Eliminare una singola riga nel database CA | X |  |  |  |  |
Eliminare più righe nel database CA (eliminazione di massa) | X | X |  |  |  | L'utente deve essere sia amministratore della CA che gestore di certificati. Questa attività non può essere eseguita se viene applicata la separazione dei ruoli.
Attivare la separazione dei ruoli |  |  |  |  | X |
Rilasciare e approvare certificati |  | X |  |  |  |
Negare certificati |  | X |  |  |  |
Revocare certificati |  | X |  |  |  |
Riattivare certificati in attesa |  | X |  |  |  |
Rinnovare certificati |  | X |  |  |  |
Attivare, pubblicare o configurare pianificazioni di elenchi di revoche di certificati (CRL, Certificate Revocation List) | X |  |  |  |  |
Recuperare chiavi archiviate |  | X |  |  |  | Solo un gestore di certificati può recuperare dal database CA la struttura dati delle chiavi crittografata. È necessaria la chiave privata di un agente di recupero chiavi valido per decrittografare la struttura dati delle chiavi e generare un file PKCS #12.
Configurare parametri di controllo |  |  | X |  |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system audit.
Controllare registri |  |  | X |  |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system audit.
Eseguire il backup del sistema |  |  |  | X |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system backup.
Ripristinare il sistema |  |  |  | X |  | Per impostazione predefinita, l'amministratore locale dispone del diritto utente system backup.
Leggere il database CA | X | X | X | X |  | Per impostazione predefinita, l'amministratore locale dispone dei diritti utente system audit e system backup.
Leggere le informazioni di configurazione delle CA | X | X | X | X |  | Per impostazione predefinita, l'amministratore locale dispone dei diritti utente system audit e system backup.

Ulteriori considerazioni

  • Gli iscritti sono autorizzati a leggere le proprietà delle CA e i CRL, nonché a richiedere certificati. In una CA dell'organizzazione (Enterprise) un utente deve disporre delle autorizzazioni di lettura e registrazione per il modello di certificato per poter richiedere un certificato. Gli amministratori delle CA, i gestori di certificati, gli auditor e i membri del gruppo Backup Operators dispongono implicitamente delle autorizzazioni di lettura.

  • Un auditor dispone del diritto utente system audit.

  • Un membro del gruppo Backup Operators dispone del diritto utente system backup. È inoltre autorizzato ad avviare e arrestare il servizio Servizi certificati Active Directory.

Assegnare ruoli

L'amministratore di una CA assegna gli utenti ai diversi ruoli dell'amministrazione basata sui ruoli applicando all'account dell'utente le impostazioni di sicurezza richieste da un ruolo. L'amministratore della CA può assegnare un utente a più ruoli, ma la CA risulterà più sicura se ogni utente verrà assegnato a un solo ruolo. Questa strategia di delega consente di limitare il numero delle attività CA che possono essere compromesse in caso di violazione dell'account di un utente.

Responsabilità degli amministratori

Come impostazione di installazione predefinita, per una CA autonoma i membri del gruppo Administrators locale sono amministratori della CA. Per una CA dell'organizzazione (Enterprise) invece sono amministratori della CA i membri dei gruppi Administrators, Enterprise Admins e Domain Admins locali. Per limitare il potere di questi account, rimuoverli dai ruoli di amministratore della CA e di gestore di certificati al momento dell'assegnazione di tutti i ruoli CA.

È consigliabile che gli account di gruppo a cui vengono assegnati ruoli di amministratore della CA o di gestore di certificati non siano membri del gruppo Administrators locale. È opportuno inoltre assegnare i ruoli CA solo ad account di gruppo piuttosto che a singoli account utente.

Nota

Per rinnovare un certificato CA, è necessaria l'appartenenza al gruppo Administrators locale della CA. I membri di tale gruppo possono avere autorità amministrativa su tutti gli altri ruoli CA.


Configurazione di revoca

Sono disponibili procedure che consentono di completare le attività seguenti di gestione della revoca:

  • Controllare le modifiche alle configurazioni di revoca

  • Gestire la sicurezza dei risponditori online

  • Gestire i dati di revoca mediante CRL locali

  • Eliminare una configurazione di revoca