Diferencias

Muestra las diferencias entre dos versiones de la página.

--- sad:t1:practica1 [2017/09/13 11:26]
José Manuel Guallar
+++ sad:t1:practica1 [2019/01/04 13:18] (actual)
@@ Línea 287: / Línea 287: @@
 Habilitamos la ruta en donde se encontrará el servidor OCSP
+{{:sad:t1:imagen51.png?400|}}
 El servicio OCSP se identifica con un certificado específico de OCSP
+{{:sad:t1:imagen52.png?400|}}
 Localizamos en la lista de plantillas la plantilla de certificado “Firma de Respuesta de OCSP” y hacemos doble clic para acceder a sus propiedades. En la pestaña de Seguridad seleccionamos en la DACL a usuarios autentificados y le asignamos el permiso “Inscribirse”
+{{:sad:t1:imagen53.png?400|}}
 A continuación cerramos la consola de las plantillas de certificados y desde la herramienta de administración de la CA seleccionamos la plantilla que acabamos de modificar para que el servidor pueda usarla a la hora de generar certificados
+{{:sad:t1:imagen54.png?400|}}
 Haciendo clic con el botón derecho sobre Plantillas de certificados y usando las opciones de “Nuevo/Plantilla de certificado que se va a emitir”. En la lista seleccionamos nuestra plantilla: Firma de respuesta de OCSP
+{{:sad:t1:imagen55.png?400|}}
 Si no está instalado, hay que instalar el servicio OCSP desde el Server ManagerArrancamos la consola de Administrador del Servicio de Respuestas en Línea y agregamos una configuración de revocación
+{{:sad:t1:imagen56.png?400|}}
 Asignamos un nombre descriptivo del servicio
+{{:sad:t1:imagen57.png?400|}}
 El certificado para el OCSP nos lo emitirá la CA subordinada de empresa
+{{:sad:t1:imagen58.png?400|}}
 Examinamos los certificados desde el Directorio Activo y permitimos que OCSP automáticamente use el certificado para firmar las respuestas enviadas a los clientes
+{{:sad:t1:imagen59.png?400|}}
+{{:sad:t1:imagen60.png?400|}}
 **El servidor OCSP**
@@ Línea 335: / Línea 335: @@
 Seleccionamos el certificado desde local ya que la CA raíz o está en el DA
+{{:sad:t1:imagen61.png?400|}}
+{{:sad:t1:imagen62.png?400|}}
 Seleccionamos el certificado de la CA raíz y permitimos firmar con él las respuestas a los clientes
+{{:sad:t1:imagen63.png?400|}}
+{{:sad:t1:imagen64.png?400|}}
 Para nuestra CA raíz no tendremos un proveedor de listas de revocación y eso lo solucionamos introduciéndolo manualmente
@@ Línea 347: / Línea 347: @@
 Hacemos clic en aceptar y luego mediante el botón de Proveedor introducimos la ruta a la lista de revocación de nuestra CA raíz
+{{:sad:t1:imagen65.png?400|}}
+{{:sad:t1:imagen66.png?400|}}
 **Publicación de la CA raíz**
@@ Línea 363: / Línea 363: @@
 Desde el servidor que alberga nuestra CA Raíz arrancamos la herramienta de administración de la CA
+{{:sad:t1:imagen67.png?400|}}
 Usando el menú contextual del contenedor Certificados Revocados publicamos nuestra primera CRL
@@ Línea 371: / Línea 371: @@
 Cada vez que generemos una nueva lista de revocación debemos copiar el contenido desde el servidor CA Raíz hacia el servidor CA Subordinado
+{{:sad:t1:imagen68.png?400|}}
 ===== Agente =====
@@ Línea 391: / Línea 390: @@
 En la herramienta de administración de la CA abriremos el editor de plantillas usando el menú contextual de la carpeta Plantillas de Certificados
+{{:sad:t1:imagen69.png?400|}}
 En el administrador de plantillas localizamos la plantilla Agente de recuperación de claves y hacemos doble clic sobre ella para acceder a sus propiedades
@@ Línea 397: / Línea 396: @@
 En la pestaña Seguridad agregamos al grupo Agentes KRA y le asignamos el permiso de Inscribirse y el de lectura
+{{:sad:t1:imagen70.png?400|}}
-Para que no sea necesario que un administrador autorice la emisión de estos certificados quitamos la marca que hay en la casilla Aprobación del administrador de certificados de entidad de certificación en la pestaña Requisitos de Emisión.En entornos de alta seguridad podría ser conveniente dejar esta marca activada para que la emisión de estos certificados estuviese controlada por los administradores
+Para que no sea necesario que un administrador autorice la emisión de estos certificados quitamos la marca que hay en la casilla Aprobación del administrador de certificados de entidad de certificación en la pestaña Requisitos de Emisión.
+En entornos de alta seguridad podría ser conveniente dejar esta marca activada para que la emisión de estos certificados estuviese controlada por los administradores
+{{:sad:t1:imagen71.png?400|}}
 A continuación tenemos que permitir la emisión de esta plantillaPara ello en el menú contextual de la carpeta de certificados elegimos nuevo – Plantilla de certificado que se va a emitir y seleccionamos la plantilla del Agente de Recuperación de Claves
+{{:sad:t1:imagen72.png?400|}}
 **Creación del certificado del KRA**
 A continuación debemos de solicitar el certificado de KRA para el usuario que le corresponda
   * Iniciamos una sesión con el usuario KRA desde cualquier máquina en el dominio
   * Si lo vamos a hacer desde el controlador de dominio debemos de recordar que los usuarios básicos no pueden iniciar sesión en este tipo de servidores
 Para solicitar el certificado KRA para este usuario vamos a usar la consola MMC
   * Desde una sesión de ese usuario arrancamos una consola MMC en blanco y agregamos el complemento de certificados
@@ Línea 418: / Línea 421: @@
 Desde la consola MMC accederemos al menú contextual del contenedor Personal para llegar a la opción de Solicitar un nuevo certificado
+{{:sad:t1:imagen73.png?400|}}
 En el asistente seleccionaremos el certificado Agente de Recuperación de claves
+{{:sad:t1:imagen74.png?400|}}
 **Preparación de la CA para que almacene las claves privadas**
@@ Línea 431: / Línea 434: @@
   * Una vez reiniciado el servicio podremos volver a consultar esta pestaña para ver que ahora los certificados están activos
+{{:sad:t1:imagen75.png?400|}}
 **Definición de los tipos de certificados cuya clave privada será respaldada**
@@ Línea 447: / Línea 450: @@
+{{:sad:t1:imagen76.png?400|}}
 A continuación en la pestaña Tratamiento de la Solicitud tendremos que activar la casilla: Archivar clave privada de cifrado de sujeto
@@ Línea 453: / Línea 456: @@
 Esta opción es la que permitirá archivar la clave privada del certificado
+{{:sad:t1:imagen77.png?400|}}
 Tendremos que modificar sus permisos para que se puedan distribuir los certificados basados en esta plantilla de forma automática mediante Directivas de Grupo. Para ello asignamos al grupo Usuarios Autentificados los permisos de lectura, inscribirse e inscripción automática. También podríamos restringir estos permisos a grupos más reducidos dependiendo de como queremos asignar certificados a nuestros usuarios
+{{:sad:t1:imagen78.png?400|}}
 A continuación solo resta publicar la plantilla en la CA mediante el menú contextual de la carpeta Plantillas de certificados
@@ Línea 463: / Línea 466: @@
 Nuestra CA de Empresa debería de tener un aspecto similar al siguiente
+{{:sad:t1:imagen79.png?400|}}
 **En este punto se puede desconcetar la CA raíz**
@@ Línea 482: / Línea 485: @@
 Aquí hacemos clic sobre Cliente de Servicios de Certificate Server – Inscripción Automática
+{{:sad:t1:imagen80.png?400|}}
 Lo habilitamos y activamos las casillas de renovaciones automáticas y actualizaciones de plantillas
+{{:sad:t1:imagen81.png?400|}}

Seguridad y Alta Disponibilidad

Herramientas de usuario

Herramientas del sitio

Diferencias

Herramientas de la página