userspeziefische Zertifikate für VPN Zugang im Interexplorer im Netzwerk verteilen?

[IT-Eric 10]

Hallo,

 

ich möchte 3 pfx Zertifikate irgendwie automatisiert auf allen Clients im Netzwerk verteilen.

 

Um den Zertifikat von Hand zu installieren muss der entsprechende User angemeldet sein. Der entsprechende User, unter dem das Zertifikat funktionieren soll, benötigt zur Installation lokale Adminrechte. Er muss während der Installation ein Passwort mitgeben...

 

Wie kann ich nun die Zertifikate automatisiert verteilen, ohne, dass der User etwas zusteuern muss und er temporäre Admin Rechte braucht?

 

Über die Computerspeziefische GPO "Computerkonfiguration - WindowsEinstellungen - Sicherheitseinstellungen - Rechtlinie öffentlicher Schlüssel" gehts ja nicht, da userspezifich.

 

Eine entsprechende User GPO wäre klasse, hab aber keine gefunden, die klappt. Ich versuchte "Benutzerkonfiguration - WindowsEinstellungen - Internet Explorer Wartung - Sicherheit - Authenticode Einstellungen"

 

Hat jemand eine Idee, vielleicht stelle ich mich auch nur zu dumm an bei einer GPO

 

Gruß

Eric

[grizzly999 11]

Mir ist kein Tool bekannt, wenn man nicht mit XP/2003 und der autom. Zertifikatsaforderung schafft. Ist IMHO auch richtig und gut so, da geht es um Ssecurity.

Zertifikate MIT privaten Schlüsseln solltenaus Sicherheitsgründen nicht im Netz umhergeschubst werden. Alles IMHO.

 

grizzly999

[IT-Eric 10]

Ok, das beruhigt mich leicht, aber von PC zu PC gehen möchte ich trotzdem nicht.

 

Wie sieht die Möglichkeit über autom. Zertifikatsanforderung aus? Was benötige ich dazu.

 

Sind dies die Zertifikatsdienste? Dort habe ich keine Möglichkeit des import eines bestehenden Schlüssels gefunden....

 

Danke übrigends für die Hilfe!

[grizzly999 11]

Ja, das geht über die Zertifikatsdienste

 

Man braucht

- eine Enterprise CA

- 2003 AD

- XP clients

- eine ensprechendes Certificate Template mit dem korrekten zweck (IPSec), das für die autom. Registrierung vorbereitet ist.

- eine entsprechende GPO für Benutzer (ist aber defaultmäßig da)

 

Naja, klingt jetzt einfach, bedarf aber alles zusammen einiger Ahnung und vielleicht auch ein paar Tests vor der Einrichtung.

 

Hier ein wenig mehr dazu:

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/security/autoenro.mspx

http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/certenrl.mspx

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/security/mngpki.mspx

 

 

grizzly999