Wie konfiguriere ich Active Directory Zertifikatsdienste richtig?

[daabm 1.391]

Ich sag mal so - man kann seine PKI mit ADCS aufsetzen, man kann OpenSSL dafür nehmen. Bei beidem kann man viel falsch machen - bei ADCS ist es nur "einfacher" für die Windows-Admins, weil sie denken "Assistent - prima! Weiter, weiter, fertig" OpenSSL läßt sich so nicht einrichten...

[NorbertFe 2.175]

Ja aber am Ende braucht es für beide Varianten jemanden der die Technologie versteht. ;)

[mwiederkehr 390]

OpenSSL (mit GUI) ist für das Ausstellen von Zertifikaten für ein paar interne Server wohl tatsächlich einfacher als ADCS. Ein Kunde signiert mit einer solchen "sicheren Offline-CA" (altes Notebook mit Linux und OpenSSL, ohne Netzwerkanbindung) interne Server- und Client-Zertifikate für die Benutzer seiner Anwendung. Ich habe geschmunzelt, aber eigentlich ist das nicht mal so b***d, auch wenn die Zeremonie mit Notebook aus Safe holen etwas übertrieben wirkte.

[cj_berlin 1.408]

Für Server-Zertifikate ist das alles auch überhaupt kein Problem, denn das sind geringe Stückzahlen, lange Laufzeiten und keine Authentifizierungsfähigkeit.

Spannend wird es erst, wenn 802.1X und Kerberos ins Spiel kommen.

[NorbertFe 2.175]

Oder man mehr als nur 3 Server hat. Wir verteilen bspw. automatisch Computer und RDP Authentifzierungszertifikate für alle PCs und Server. Wer will das denn bei mehr als 5 Geräten von Hand erledigen?