Manueller Zertifikats Request, Benutzer kann "Export Private" anhaken

[NorbertFe 2.050]

Vielleicht falsche Denkweise. Der User hat Zugriff auf den Schlüssel. Ist schließlich seiner. ;) Und bei lokalen Admins hat man immer verloren.

[zoid1988 0]

richtig 

[NilsK 2.940]

Moin,

 

vor einer Stunde schrieb zoid1988:

Um ehrlich zu sein hätte ich mir nicht gedacht das man das nicht irgendwie unterbinden kann.

damit bist du nicht allein. Es gibt hunderte Firmen "da draußen", die glauben, sie hätten ihre Mobil- und BYOD-Szenarien auf diese Weise abgesichert ...

 

Gruß, Nils

 

[zoid1988 0]

Hallo,

ich muss das Thema jetzt nochmal kurz aufgreifen.

Mann kann bei den CA Servern ja einstellen wie die Zertifikate ausgestellt werden. Automatisch oder Manuell.

 

Bei uns steht das im Moment auf automatisch. Alle Zertifikate die wir für den Betrieb benötigen sind auf Autoenroll.

Wenn ich den CA Server auf manuell umstelle, werden die Autoenroll Zertifikate dann automatisch ausgestellt, oder muss man die dann auch bestätigen ? Sollte das funktionieren, hätte ich mein Problem mit einem Schlag erledigt.

 

Liebe Grüße

[NorbertFe 2.050]

vor 6 Minuten schrieb zoid1988:

Wenn ich den CA Server auf manuell umstelle, werden die Autoenroll Zertifikate dann automatisch ausgestellt, oder muss man die dann auch bestätigen ? Sollte das funktionieren, hätte ich mein Problem mit einem Schlag erledigt.

Was ist denn dein Ziel? Autoenrollment bedeutet, dass man das im allgemeinen auch dem Client per Richtlinie beibringen muss. An der ca muss man dazu normalerweise nichts ändern, wenn man keine manuelle Prüfung drin hat.

[zoid1988 0]

Mein Ziel ist das User die Zertifikate über einen manuellen Request anfordern (und das Template leider verändern können) nicht einfach eine Art Blankoscheck in Form eines Zertifikats bekommen.

 

Wenn ich die Einstellung am CA Server auf manuell abändere und dann die Autoenroll Zertifikate aber immer noch automatisch ausgestellt werden habe ich genau das erreicht was ich will. Die User die ein Zertifikat dann manuell anfordern bekommen kein Zertifikat ausgestellt solange das nicht von einem CA Admin geprüft wurde und ggf. wirklich freigegeben wird.

 

Will das sehr ungern in meiner Produktiv Umgebung testen, hänge ja doch ein paar tausend User drann

[NorbertFe 2.050]

Wäre sinnvoll für sowas eine eigene ca zu nutzen würde ich sagen. Afaik gilt die manuelle Prüfung für alle Zertifikate einer ca, unabhängig von autoenrollment oder nicht.

[NilsK 2.940]

Moin,

 

vielleicht sollten wir hier mal klären, von welchen Einstellungen genau die Rede ist. Hier redet man sonst allzu schnell aneinander vorbei.

 

Außerdem wäre noch mal zu klären, was denn nun das Szenario ist, was die Anforderungen sind, was das Problem ist und wo Probleme vermutet werden. Es klingt mir nämlich so, als gäbe es da noch eine Reihe Missverständnisse.

 

Und wenn ich mir die Liste so ansehe - vielleicht wäre es sinnvoll, das nicht in einem Forum, sondern in Ruhe mit einem Berater zu besprechen. Erstens gibt das eine bessere Beratungsqualität bei so einem Thema, das sowohl technisch als auch organisatorisch schnell komplex wird. Zweitens sind solche Themen regelmäßig zu sensibel, um sie öffentlich zu diskutieren.

 

Gruß, Nils