Wenn man einen Server mit der installierten Rolle der AD CS außer Betrieb nimmt, dann bleibt zum Schluss immer die Aufgabe, die betreffende Zertifizierungsstelle aus dem Active Directory zu entfernen. Andernfalls stört sie etwa beim Ausstellen neuer Zertifikate. Das Löschen erfolgt manuell in AD-Standorte und Dienste.
Virtuelle Smartcards sollen die Vorteile von physischen Smartcards ohne zusätzliche Hardware bieten. Sie basieren auf einem TPM und authentifizieren Benutzer wie eine physische Smartcard mit einem Zertifikat gegenüber dem Active Directory. Die User müssen bei der Anmeldung dann nur mehr eine PIN eingeben.
Einige Active Directory Certificate Services (AD CS) verwenden immer noch SHA-1 für das Signieren von Zertifikaten sowie den veralteten Cryptographic Service Provider (CSP). Für mehr Sicherheit sollte man den Hash-Algorithmus auf SHA-2 aktualisieren. Dafür benötigt man den CSP-Nachfolger Key Storage Provider (KSP).
Secure Hash Algorithm (SHA) ist ein häufig verwendetes kryptografischen Verfahren. Der ursprüngliche Standard (SHA-1) ist aber veraltet und bietet nur mehr geringen Schutz. Die meisten Web-Browser lehnen damit signierte Zertifikate ab. Daher ist es für Firmen an der Zeit, von SHA-1 auf SHA-2 umzustellen.
Die Entschlüsselung von BitLocker mit TPM + PIN erfordert physischen Zugriff auf das Gerät, wenn es hochfährt oder aus dem Ruhezustand aufwacht. Dies kann ein Hindernis für das Remote-Management sein, falls PCs dafür über Wake-on-LAN starten. Für diesen Fall hat Microsoft die BitLocker Netzwerkentsperrung entwickelt.
Wenn Firmen ältere Versionen von Windows Server ausmustern, dann steht oft der Umzug wichtiger Infrastrukturdienste an. Davon können die Active Directory Certificate Services (AD CS) betroffen sein. Der folgende Beitrag zeigt, wie man die Datenbank und die Einstellungen der AD CS auf Windows 2019 überträgt.
Ein virtuelles Netzwerk in Azure kann auf die Cloud beschränkt bleiben, muss also keine Route zum öffentlichen Internet haben. So können Sie Server in der Cloud platzieren, ohne dass diese aus dem Internet erreichbar sind. Um sich mit ihnen zu verbinden, bietet Azure den verwalteten Dienst Gateway für virtuelle Netzwerke.
Wenn Benutzer auf verschlüsselte Laufwerke nicht mehr zugreifen können, etwa weil sie das Passwort vergessen haben, dann muss man den betreffenden Datenträger über andere Mechanismen entsperren. Dazu zählen Wiederherstellungsagenten, die das Laufwerk mittels Zertifikat freischalten können.
BitLocker unterstützt mehrere Mechanismen, um ein verschlüsseltes Laufwerk zu entsperren. Dazu gehören auch Wiederherstellungsagenten, mit deren Zertifikat man einen BitLocker-Protector hinzufügen kann. Für die Ausstellung eines solchen Zertifikats benötigt man eine eigens dafür angepasste Vorlage.
Let's Encrypt betreibt eine freie und mittlerweile sehr populäre CA für SSL-Zertifikate. Deren größte Einschränkung besteht in der Gültigkeit von nur 90 Tagen. Daher wird man das Verlängern und Installieren der Zertifikate möglichst automatisieren. Der ACME2-Client für Windows bietet entsprechende Funktionen.