CONFIGURCION CA PARTE 2

PLANTILLAS DE CERTIFICADOS

WINDOWS SERVER 2012 R2

Continuando con el capítulo anterior instalación y configuración de una entidad de certificados, en este módulo se revisara los conceptos básicos de que es una plantilla y que se puede hacer con las mismas.

Se revisara todas las plantillas predeterminadas que se pueden usar y editar.

CONCEPTO PLANTILLAS 

Las plantillas de certificado son como una receta donde ya se tiene todo configurado y listo para usar en el momento que uno lo solicite, a parte las plantillas pueden simplificar en gran medida la tarea de administrar una entidad de certificación (CA) permitiendo a un administrador emitir certificados configurados previamente para tareas seleccionadas.

Los certificados basados en una plantilla de certificado sólo pueden ser emitidos por una CA de empresa (CA PRIVADA O INTERNA) Las plantillas se almacenan en Servicios de dominio de Active Directory (AD DS) para su uso por parte de todas las CA del bosque. Esto permite a la CA tener acceso en todo momento a la plantilla estándar actual y garantiza la aplicación uniforme de la directiva de certificado en todo el bosque.

 El complemento Plantillas de certificado permite a un administrador llevar a cabo las siguientes tareas:

• Ver las propiedades de cada plantilla de certificado
• Copiar y modificar plantillas de certificado
• Controlar qué usuarios y equipos pueden leer las plantillas e inscribirse para los certificados.
• Realizar otras tareas administrativas relacionadas con las plantillas de certificado
• Generar una o más plantillas de acuerdo a la necesidad de un usuario o grupos de usuarios
• Mantener un control y administración segura de cada plantilla
• Utilizar la plantilla cada vez que sea necesario
• Copiarla, borrarla, editarla etc…

DISPONIBILIDAD DE LA PLANTILLA

• Todas las ediciones de Windows Server 2008 R2
• Windows Server 2008, Enterprise y Datacenter
• Windows Server 2003 R2, Enterprise y Datacenter
• Windows Server 2003, Enterprise y Datacenter
• Windows server 2012
• Windows server 2012 R2

PLANTILLAS DE CERTIFICADOS PREDETERMINADAS

Citaremos todas las plantillas predeterminadas para su uso aplicado al sistema operativo Windows server 2012, estas plantillas se las puede modificar, editar, usar.

NOMBRE DESCRIPCIÓN Administrador Permite la firma de listas de confianza y la autenticación de usuarios. Sesiónautenticada Permite al sujeto autenticarse en un servidor web. EFS básico Usada por el Sistema de cifrado de archivos (EFS) para cifrar datos. Intercambio de CA Se usa para almacenar claves que están configuradas para el archivo de claves privadas. Cifrado CEP Permite al propietario del certificado actuar como autoridad de registro para las solicitudes del Protocolo de inscripción de certificados simple (SCEP). Firma de código Se usa para firmar software digitalmente. Equipo Permite a un equipo autenticarse en la red. Entidad de certificacióncruzada Se usa para certificación cruzada y subordinación certificada. Replicación del directorio de correo electrónico Se usa para replicar correo electrónico dentro de AD DS. Controlador de dominio Usada por controladores de dominio como certificados para todos los fines. Autenticación de controlador de dominio Se usa para autenticar usuarios y equipos de Active Directory. Agente de recuperación de EFS Permite al sujeto descifrar archivos cifrados previamente con EFS. Agente de inscripción Se usa para solicitar certificados en nombre de otro sujeto. Agente de inscripción Se usa para solicitar certificados en nombre de otro PC. Intercambiar agente de inscripción (solicitud sin conexión) Se usa para solicitar certificados en nombre de otro sujeto y proporcionar el nombre del sujeto en la solicitud. Intercambiarsólo la firma Usada por el Servicio de administración de claves de Microsoft Exchange para emitir certificados a usuarios de Exchange para firmar correo electrónico digitalmente. Intercambiarusuario Usada por el Servicio de administración de claves de Microsoft Exchange para emitir certificados a usuarios de Exchange para cifrar correo electrónico. IPSEC Usada por el protocolo de seguridad de Internet (IPsec) para firmar, cifrar y descifrar digitalmente comunicaciones de red. IPSEC (solicitud sin conexión) Usada por IPsec para firmar, cifrar y descifrar digitalmente comunicaciones de red cuando el nombre del sujeto se indica en la solicitud. Autenticación Kerberos Se usa para autenticar usuarios y equipos de Active Directory. Key Recovery Agent Recupera claves privadas que se archivan en la CA. Firma de respuesta de OCSP Usada por un servicio Respondedor en línea para firmar respuestas a solicitudes de estado de certificado. Servidor RAS e IAS Habilita servidores de acceso remoto y servidores de Servicio de autenticación de Internet (IAS) para que autentiquen su identidad en otros equipos. Entidad de certificaciónraíz Se usa para demostrar la identidad de la CA raíz. Enrutador (solicitud sin conexión) Usada por un enrutador cuando se solicita a través de una solicitud SCEP desde una CA que posee un certificado de cifrado CEP. Inicio de sesión de Tarjeta inteligente Permite al propietario autenticarse mediante una tarjeta inteligente. Usuario de tarjetainteligente Permite al propietario autenticar y proteger el correo electrónico mediante una tarjeta inteligente. Entidad de certificaciónsubordinada Se usa para demostrar la identidad de la CA raíz. El emisor es la CA raíz o primaria. Firma de listas de confianza Permite al propietario firmar digitalmente una lista de confianza. Usuario Usada por los usuarios para autenticación de correo electrónico, EFS y cliente. Sólo firma de usuario Permite a los usuarios firmar datos digitalmente. Servidor web Demuestra la identidad de un servidor web. Autenticación de estación de trabajo Permite a los equipos cliente que autentiquen su identidad en los servidores.

NOTA:

En las lecciones siguientes se revisara en la parte práctica como utilizar las plantillas predeterminadas como modificarlas y cómo usarlas en nuestra entidad de certificación. Espero les haya sido de utilidad hasta pronto.

INSTALACION CERTIFICATE AUTHORITY

INSTALACION CERTIFICATE AUTHORITY EN WINDOWS SERVER 2012 R2

En este módulo se verá como realizar la instalación de una autoridad de certificados digitales interna.Con la cual podremos emitir certificados para nuestra organización de active directory. Sin la necesidad de contar con certificados públicos o externos con los cuales tendremos que pagar un monto determinado por la compra de un certificado.  La ventaja de usar Windows server 2012 es que cuenta con roles y características útiles para implementar o instalar un certificado.

INSTALACION DE NUESTRA PRIMERA ENTIDAD DE CERTIFICADOS

ROOT –CA

PASOS 1

INSTALACION

1.      Abrir server manager o administración del servidor

2.      Ingresamos a Manage

3.      Escogemos roles y características

4.      Escogemos active directory Certificate Services, seleccionamos dos componentes

a.      Certificate authority

b.      Certificate authority web Enrollment

5.      Procedemos con la instalación hasta finalizar el asistente.

PASO 2

CONFIGURACION

1.      En la pantalla de  server manager

2.      Visualizamos un símbolo de exclamación marcado con una bandera

3.      Ingresamos ahí, escogemos configurar active directory certificate services

4.      Se despliega el asistente de configuración

5.      En Credenciales: Dejamos las credenciales por defecto, credenciales de administrador.

6.      En Role Services: Marcamos Certificate authority, marcamos Certificate authority Web Enrollment.

7.      En Setup Type: Escogemos Enterprise CA

8.      En CA Type: Escogemos Root CA

9.      En Private Key: click en  Create New private key

10.   En Cryptography: Dejamos las opciones por Defecto.

11.   Todas las demás opciones las dejamos por defecto y finalizamos la configuración.

PASO 3

TESTEO DE NUESTRO PRIMER CERTIFICADO 

Para probar y verificar que la instalación y configuración salió correcta, deberemos realizar el TEST de nuestro primer certificado para ese se debe realizar las siguientes revisiones:

ü  Verificar los servicios en services.msc

ü  Verificar que los servicios de certificate authority estén corriendo

ü  Verificar que se use a nivel de explorador Internet Explorer versión mas reciente

ü  Verificar que el sistema operativo que aloje a la entidad de certificados este con todas sus actualizaciones automáticas al día, parches, etc…

ü  Verificar que el firewall interno este apagado o si no desean apagarlo por seguridad, verificar que tenga excepciones para el certificate authority

ü  Verificar que esté instalado el IIS internet información services y en el mismo IIS a nivel de default web site, debe estar creado un directorio virtual para CERTSRV.

TEST CERTIFICATE AUTHORITY.

1.      Ingresar a Internet Explorer

2.      Colocar https://localhost/certsrv

3.      Ingresar las credenciales de administrador de dominio

4.      En seleccionar una tarea:

a.      Request  a certificate

b.      Select the certificate Type:  User Certificate

c.      Certificate Issued:  base 64 Encoded

d.      Download Certificate

e.      Guardamos el certificate del usuario

5.      Se emitió y se guardó el certificado con éxito.

Nota:

Si se siguieron todos los pasos correctamente se tendrá instala lado un Enterprise Root – CA, correctamente y bien configurado. Se realizó el Test de la emisión de un certificado de usuario también con éxito. En los próximos capítulos se verá como generar un certificado mediante un témplate y se revisara algunas opciones más. Espero les haya sido de utilidad. Hasta Pronto.