Welche Zertifikate in lokalen Computerspeicher importieren ?

[Soapp 10]

Kleine Frage an die Profis....

 

Wenn man eine Root CA und eine Ausstellende CA am Laufen hat, müssen die Zertifikate der beiden auf den Clients verteilt werden ?

Vom Gefühl her würde ich sagen, ess muss nur das Stammzertifikat importiert werden damit die Zertifikatskette geprüft werden kann (wenn ROOT CA offline ist). Soll das Zertifikat der Ausstellenden CA auch importiert werden ?

 

Mir fehlt da noch so ein wenig der Durchblick

 

Also was ist hier in größeren Umgebungen "Best Practise" ?

 

Danke für die Erleuchtung

 

Soapp

[olc 18]

Hi Soapp,

 

vertrauenswürdig sind erst einmal nur die Root CA Zertifikate, die Du in Deinem lokalen Trusted Root CA Speicher hast. Es gibt da Ausnahmen, aber das führt hier zu weit.

 

Die Intermediate CAs müssen theoretisch nicht im lokalen Intermediate CA Speicher liegen - solange bei der "certificate chain" Überprüfung am Ende eine vertraute Root CA steht und die AIAs der Intermediate / Sub CAs erreichbar sind.

 

Als Best Practice bei internen CAs sollten jedoch beide internen Zertifikate (Root als auch Sub / Issuing CA) in den entsprechenden lokalen Speichern liegen - das verkürzt die Abfragen und ist "ausfallsicherer", denn es müssen dann nicht bei jeder Validierung, die nicht aus dem Cache stattfindet, die AIA URLs geprüft werden.

 

Der Import der internen Root und Sub / Issung CA Zertifikate passiert übrigens automatisch, wenn Du die Zertifikate wie in den meisten Domänenumgebungen üblich in den Configuration NC (Services --> Public Key Services --> "Certification Authorities" bzw. "AIA" Container) importierst, denn von dort werden die Zertifikate über die GPO-Engine in den lokalen Speicher des Clients gezogen.

 

Hierbei ist "Certification Authorities" die Root CA und im AIA Container liegen die Root CA als auch Sub / Issung CA Zertifikate. Zumindest dann, wenn es sich um Enterprise CAs handelt (dann passiert das automatisch) oder Du den Import manuell durchgeführt hast.

 

Relationship of the Configuration Container and Certificate Store

 

Viele Grüße

olc