Installation einer zweistufigen PKI unter Windows Server (Teil 1)

Letzte Aktualisierung am 21.07.2020, 14:07:58 Uhr

Zertifikate werden auch im Unternehmensnetzwerk immer wichtiger. Viele Services können inzwischen SSL/TLS umgehen. Voraussetzungen dafür ist, dass ein SSL-Zertifikat zur Verfügung gestellt wird. Im folgenden Artikel beschreibe ich die Installation einer internen, zweistufigen Zertifizierungsstelle mit Hilfe von Windows Server 2012R2. Je größer das Unternehmen ist, desto mehr Planung bezüglich Anforderung, Installation, Betrieb und Organisation wird erforderlich sein.

Ich möchte mit diesem Artikel einen kleinen Einblick in das Thema geben. Dies ersetzt in keinem Fall eine ordentliche Planung bezogen auf die jeweiligen Gegebenheiten der jeweiligen Umgebung!

Aufbau der Umgebung

Voraussetzungen

– Funktionstüchtige Active Directory-Domäne (in meinen Fall Windows Server 2012R2)
– VM mit Windows Server 2012R2, die nicht Mitglied in der Domäne ist (DNS-Name: pki01).
– VM mit Windows Server 2012R2, die Mitglied in der Domäne ist (DNS-Name: pki02).
– Der Servername und DNS-Suffix können nach der Installation der entsprechenden Rolle(n)nicht mehr verändert werden!

Installation der Stammzertifizierungsstelle

Diese VM (pki01) dient dazu um allen Unterzertifizierungsstellen (SubCA) ein Zertifikat auszustellen bzw. erneuern. Diese stellt später keinerlei Zertifikate für Webdienste, SIME o.ä. aus! Die VM wird nach der Ausstellung der Zertifikate und Sperrlisten heruntergefahren und gut versteckt. Somit ist eine Kompromittierung nicht ohne weiteres möglich. Des Weiteren wäre es später möglich, dass die Stammzertifizierungsstelle mit Hilfe von z.B. GlobalSigns Trusted Root zu validieren und somit sind alle ausgestellten Zertifikate der Unterzertifizierungsstelle auch im Internet ohne weiteres gültig.

Ersteinrichtung der Stammzertifizierungsstelle

	Der Name der Zertifizierungsstelle kann frei gewählt werden. Dieser Name wird später im Zertifikatsspeicher angezeigt.
Die Laufzeit sollte sorgfältig gewählt werden. Die Laufzeit des auszustellenden Zertifikates kann nicht die Restlaufzeit des Zertifikats der ausstellenden Stammzertifizierungsstelle übersteigen. Daher sollten die Laufzeit für die Stammzertifizierungsstelle mindestens doppelt so lange sein, wie später die Laufzeit der Unterzertifizierungsstelle. In meinen Fall RootCA: 20 Jahre, SubCA: 10 Jahre.

Konfiguration der Stammzertifizierungsstelle

Bei der neuen Adresse habe ich absichtlich pki statt pki01 angegeben. Es handelt sich dabei um einen Eintrag im DNS-Server vom Typ CNAME. Dieser Eintrag verweist auf den Host pki02. Durch die Installation der Rolle auf pki01 wird das Zertifikat als auch die Sperrliste abgelegt. Damit später geprüft werden kann, ob das Zertifikat der Zwischenzertifizierungsstelle noch gültig ist, muss die Sperrliste erreichbar sein. Die pki01 wird nach dem Ausstellen der benötigten Zertifikate heruntergefahren und weggeschlossen. Somit ist die Sperrliste nicht mehr erreichbar. Durch die Installation der Rolle „Zertifizierungsstelle“ auf pki02 und Aktivierung der Funktion „Zertifikatregistrierungs-Webdienst“ wird parallel der IIS-Server (Webserver) mitinstalliert. Somit bietet es sich an, dort die beiden Dateien der pki01 abzulegen. Selbstverständlich kann dafür auch ein anderer (Web)Server hergenommen werden. Die Stammzertifizierungsstelle wird irgendwann mal auf eine neue VM mit einem neuen Hostnamen umgezogen. Da ein DNS-Alias verwendet wurde, spielt der Hostname keine Rolle. Denn in den Zertifikatseigenschaften taucht ausschließlich der CNAME pki auf.
Hier gilt das gleiche wie bereits beim Sperrlisten-Verteilungspunkt erläutert.	Abschließend erscheint der Hinweis, dass durch die Anpassungen der Active Directory-Zertifikatsdienste neugestartet werden müssen. Mit „Ja“ bestätigen.

Parameter für die Sperrlistenveröffentlichung

Damit hat die Sperrliste der pki01 nach Veröffentlichung eine Gültigkeit von einem Jahr. Daher eine Erinnerung in den Kalender setzen, dass man nach 11 Monaten die Sperrliste erneuern muss.

Gültigkeitsdauer auszustellender Zertifikate
Die Gültigkeitsdauer eines Zertifikats ist standardmäßig ein Jahr. Das ist für Zertifikate bezogen auf Zwischenzertifizierungsstelle (SubCA) deutlich zu kurz. Die Laufzeit darf aus meiner Sicht ruhig 10 Jahre betragen. Erfolgt eine Kompromittierung der SubCA wird einfach eine Neue aufgesetzt und das Zertifikat in der Stammzertifizierungsstelle gesperrt. Ansonsten gilt hier meine Erläuterung von Bild 20 (Laufzeit des Zertifikats).