Windows 2008のPKI戦闘2：登録とローミング

（続き）以前は、自動登録はWindowsのWINLogoNプロセスの一部であり、それがさらに攻撃にさらされていました。実際、すべてのWindows NTサービスはWMIタスクとして再設計されています。つまり、Windows VistaおよびWindows Server 2008のコンポーネントは、Windows Server 2003およびWindows XPほど多くの攻撃を受けることはありません。

証明書の有効期限が切れる前の事前通知機能も追加されています。つまり、証明書が終了しようとしているとき、または終了したときにユーザーに通知することです。関連するシナリオは、自動登録が有効になっていない場合、ユーザーの代わりにコンピューターが証明書を自動的に更新または登録できないことです。

資格情報のローミング

前述のように、資格情報のローミングはWindows Server 2003 SP1で導入され、現在Windows Server 2008に不可欠な要素です。

資格情報ローミングの目的は、Active Directoryを介して暗号化キーをユーザーのコンピュータにコピーする、異なるコンピュータに対する資格情報の重複を減らすことです。

ユーザーがコンピュータにログインすると、認証情報がサーバーに送信され、そこで公開キーと秘密キーが交換されます。通常、ユーザーの資格情報はローミングプロファイルを使用してワークステーション間で転送されるため、負荷が増大します。

資格情報ローミングにより、ユーザーの公開鍵と秘密鍵は、使用するコンピューターに関係なく、ユーザーのActive Directoryオブジェクトに従います。アクティブユーザーまたはローミングユーザーの場合、これにより、電子メール保護、ユーザー認証、およびスマートカードを展開する機能が向上します。

登録とクレデンシャルローミングのデモンストレーション

Windows Server 2008では、登録されたユーザーインターフェイスが大幅に改善されました。同時に、使いやすさ、柔軟性、およびサポートが強化されています。簡単にするために、同じコンピュータ、つまりCAサーバーから新しい証明書を登録します。通常、ドメイン内の任意のコンピュータまたはサーバーから登録できます。証明書MMCを開きます。現在の証明書ユーザーツリーの下にある個人用フォルダには、そのユーザーの現在の証明書がすべて表示されます。図14に示すとおり

このデモでは、私たちは、新しいユーザー証明書を要求します。それはアクションメニューからできます。登録ユーザーインターフェースは以前のバージョンと比較して私たちに多くの新しいオプションを提供します。いくつかの異なるタイプの認証を受け付けるようにサーバーを構成するだけですが、これらの使用可能なオプションが使用されていなくても表示できます。図15に示すように。

我々は直接コンピュータに証明書を割り当てることができます。資格情報はローミングされているため、これはデフォルトのオプションではありません。図16に示すとおりで
ユーザー・オプションの詳細ビューを拡大することができると証明書が作成される前。 [証明書のプロパティ]ウィンドウでは、送信前に証明書をさらにパーソナライズできます。

後で識別する必要がある場合は、証明書にテスト名を割り当てることができます。図17に示すように。 [件名]列には、ユーザーの証明書に特定の属性を割り当てる機会があります。証明書に関連付けられている秘密鍵の所有者は、サブジェクトと呼ばれます。ユーザー、プログラム、または仮想のオブジェクトまたはサービスです。だれがどのトピックなのかに応じて、証明書を要求するときにサブジェクト名を指定する際にある程度の柔軟性があります。 Windowsはトピック名を自動的に生成するか、トピックから手動で要求します。件名が自動的に提供される場合、WindowsはActive Directoryからこの情報を取得します。名前は、Eメール名から指定された組織単位までの任意のオブジェクトです。図18に示すように。拡張子の特殊なタイプを使用する証明書によって

で

拡張列。これらの各オプションは編集できます。キー使用法を使用すると、この構成に小さな変更を加えることができます。図19に示すように。

基本的な制約の詳細を変更することができます。図20に示すように。

プライベートキー列には、我々の認証局の構成オプションを示しています。これらのエントリのオプションは、必要な機能に基づいてカスタマイズすることもできます。図21に示すように。

認証局バー単に重要な要件を探すCA、そこからそれを最初に確認してください。図22に示すように。

ログイン

最後に、我々は、図3に示すように、証明書を登録することができました。ローカルコンピュータに保存されます。これらの証明書は、証明書MMCを介して表示できます。

PKIインフラストラクチャを展開するための

は、管理性と使いやすさで証明書サービスが強化されました。


zh-CN"],null,[1],zh-TW"]]]