Deux améliorations ne sont disponibles que raccourcir le temps nécessaire pour gérer les certificats SCEP à l’aide du Service d’inscription de périphériques réseau dans Windows Server 2008

Symptômes

Dans Windows Server 2008, vous essayez de gérer les certificats du protocole SCEP (Simple Certificate Enrollment Protocol) en utilisant le Service NDES. Le NDES est installé dans le cadre des services de certificats dans Windows Server 2008. Dans ce scénario, vous rencontrez les problèmes suivants :

Problème 1

Les mots de passe ne peuvent pas être réutilisées entre les périphériques.

Un périphérique basé sur le protocole SCEP, est nécessaire pour envoyer un mot de passe lorsqu’il demande un certificat à partir d’un serveur SCEP pour la première fois. Le serveur SCEP émet un certificat après avoir validé le mot de passe.

Le processus par lequel le serveur SCEP délivre un certificat après avoir validé le mot de passe est la suivante :

1. L’administrateur ouvre une session sur un site Web d’administration SCEP et demande un mot de passe.

2. Le serveur SCEP génère un mot de passe aléatoire, il stocke dans le cache et affiche ensuite le mot de passe pour l’administrateur.

3. L’administrateur configure le mot de passe sur l’appareil.

4. Le périphérique envoie ce mot de passe dans sa demande initiale d’un certificat.
   
   Remarque Ce mot de passe expire dans 60 minutes.

5. Le serveur émet le certificat, puis supprime le mot de passe à partir du cache. Le mot de passe ne peut plus être utilisé par d’autres périphériques.

Problème 2

Les certificats SCEP ne peut pas être réinscrits automatiquement qui arrivent à expiration.

En raison de ces deux problèmes, il peut prendre beaucoup de temps administrateurs demande des mots de passe pour tous les périphériques et pour leur appliquer des certificats SCEP.

Résolution

Pour résoudre ces deux problèmes, installez le correctif 959193. Ce correctif introduit les deux améliorations suivantes :

Amélioration 1

Après avoir appliqué ce correctif logiciel, les mots de passe peuvent être réutilisées entre les périphériques. Le nouveau processus pour gérer les mots de passe est la suivante :

1. Le serveur SCEP confirme le paramètre de Registre pour le mode « Mot de passe unique ». Dans ce mode, un mot de passe maître est créé et stocké dans le Registre à l’aide de données chiffrées. Le maître mot de passe n’expire jamais.

2. Un administrateur ouvre une session sur un site Web d’administration SCEP et demande un mot de passe. Le mot de passe maître est remis.

3. L’administrateur configure le mot de passe sur l’appareil. Étant donné que le mot de passe est le même pour tous les périphériques et parce qu’il n’expire jamais, l’administrateur peut facilement écrire un script pour déployer le mot de passe sur tous les périphériques.

Comment faire pour activer l’amélioration 1

Important Cette section, méthode ou tâche contient des étapes vous indiquant comment modifier le Registre. Toutefois, des problèmes graves peuvent survenir si vous modifiez le Registre de façon incorrecte. Par conséquent, veillez à suivre ces étapes scrupuleusement. Pour une meilleure protection, sauvegardez le Registre avant de le modifier. Vous pourriez alors restaurer le Registre si un problème survient. Pour plus d’informations sur la façon de sauvegarder et de restaurer le Registre, cliquez sur le numéro ci-dessous pour afficher l’article correspondant dans la Base de connaissances Microsoft :

322756 comment sauvegarder et restaurer le Registre dans Windows
Pour activer cette fonctionnalité, créez l’entrée de Registre suivante :Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Remarque Si vous exécutez NDES sous le compte Service réseau, vous devez accorder l’autorisation contrôle total au compte « Service réseau » sous la sous-clé de Registre suivante : HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Amélioration 2

Les certificats peuvent être réinscrits automatiquement qui arrivent à expiration. Cette fonction est activée automatiquement après l’installation du correctif.

Par défaut, lorsque vous demandez un renouvellement de certificat à l’aide de cette fonctionnalité, le certificat de signataire doit avoir le même nom de sujet et le nom de substitution du sujet en tant que le certificat demandé. Pour contourner cette exigence, la valeur de l’entrée de Registre DisableRenewalSubjectNameMatch sous la sous-clé suivante à 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Remarque Vous devrez peut-être créer cette entrée de Registre à l’aide de type REG_DWORD si l’entrée de Registre n’existe pas.

État

Microsoft a confirmé l'existence de ce problème dans les produits Microsoft répertoriés dans la section « S'applique à ».

Plus d'informations

Pour plus d’informations sur SCEP, visitez le site de Web de site (IETF) Web de brouillons Internet suivant :

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Notez que ce document expire le 25 juillet 2009. Pour plus d’informations après cette date, recherchez « SCEP » sur la page d’accueil du site Web.

Microsoft fournit des informations pour contacter des sociétés tierces afin de vous aider à obtenir une aide technique. Ces coordonnées peuvent changer sans préavis. Microsoft ne garantit pas l'exactitude des informations de contact de ces tiers.


Pour plus d'informations, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

Description 824684 terminologie standard utilisée pour décrire les mises à jour logicielles de Microsoft