EAP-TLS und Maschinenzertifikat

[Magic_Sunny 10]

Hallo Experten,

ich plane diverse Wireless Clients an denen mehrere Benutzer arbeiten per EAP-TLS also Serverseitig und Clientseitig per Zertifikate zu authentifizieren. Da an dem Rechner mehrere Benutzer arbeiten macht ein Maschinenzertifikat eher Sinn als ein normales Benutzerzertifikat.

Meine Frage jedoch ist, wie kann ich solch ein Maschinenzertifikat anfordern? Ich habe bisher nichts dergleichen bei meinem Zertifikatsserver finden können.

 

Zusatzfrage, ist es auch möglich Maschinen/Benutzer Zertifikate per AD oder anderen Userdatenbanken auszurollen?

 

Wo wird eigentlich das Benutzerzertifikat abgespeichert? Im Profil des Benutzers? Oder lokal auf der Maschine. Oder kann ich das evtl. auch in AD einstellen? Wenn das Zertifikat im Profil liegen würde, könnte ich mich ja von jedem Rechner aus anmelden, egal ob da schon ein Benutzerzertifikat von mir liegt oder nicht, und ich hätte immer mein Benutzerzertifikat. Sehe ich das richtig?

[grizzly999 11]

Also, PKI-Stuff ist nicht einfach, ich empfehle dir, dich ein wenig einzulesen.

 

Zu deinen Fragen: "Maschinenzertifikate" sind Computerzertifikate. Allerdings weißt du, dass du da (ich nehme an, du willst auf 802.1x hinaus) auch einen IAS brauchst, der braucht auch ein Zertifikat? Und der Access Point muss das unterstützn.

Für EAP-TLS braucht auch der Benutzer ein Zertifikat.

 

Zusatzfrage, ist es auch möglich Maschinen/Benutzer Zertifikate per AD oder anderen Userdatenbanken auszurollen?

Ein Zertifikat wird von einer CA ausgestellt. Man kann das Anfordern und Installieren im AD unter bestimmten Umständen automatisieren.

 

Benutzerzertifikate liegen im Profilverzeichnis.

 

grizzly999

[Magic_Sunny 10]

Allerdings weißt du, dass du da (ich nehme an, du willst auf 802.1x hinaus) auch einen IAS brauchst, der braucht auch ein Zertifikat? Und der Access Point muss das unterstützn.

 

Richtig, 802.1x. EAP-TLS läuft derzeit wunderbar mit der Kombination Cisco Accesspoint, Cisco ACS Server (auch ein Radiusserver wie IAS) und Benutzerzertifikaten sowie Serverzertifkat auf dem ACS Server.

 

Nun soll sich jedoch nicht der Benutzer am Netzwerk anmelden, sondern die Maschine. Und wie ich so ein Maschinenzertifikat anfordern/erstellen kann ist mir noch ein Rätsel...