שיפורי שני זמינים אשר לקצר את משך הזמן הדרוש לניהול אישורים SCEP באמצעות שירות הרשמה של התקן רשת ב- Windows Server 2008

מאפייני הבעיה

ב- Windows Server 2008, אתה מנסה לנהל אישורים פרוטוקול הרשמת אישורים פשוטה (SCEP) באמצעות שירותי הרשמה של התקן רשת (NDES). NDES מותקן כחלק של שירותי האישורים ב- Windows Server 2008. בתרחיש זה, אתה נתקל בבעיות הבאות:

בעיה 1

לא ניתן לעשות שימוש חוזר בסיסמאות בין התקנים.

בהתבסס על פרוטוקול SCEP, התקן נדרש כדי לשלוח סיסמה כשהוא מבקש אישור משרת SCEP בפעם הראשונה. השרת SCEP מנפיק אישור לאחר אימות הסיסמה.

התהליך לפיו השרת SCEP מנפיק אישור לאחר אימות הסיסמה הוא כדלהלן:

1. מנהל המערכת נכנס לאתר אינטרנט הניהול SCEP ומבקשת סיסמה.

2. השרת SCEP מייצר סיסמה אקראית, הוא מאוחסן במטמון ולאחר מכן מציג את סיסמת מנהל.

3. מנהל המערכת מגדיר את הסיסמה במכשיר.

4. ההתקן שולח סיסמה זו בבקשת הראשונית שלו לקבלת אישור.
   
   הערה סיסמה זו תפוג בעוד 60 דקות.

5. השרת מנפיק האישור, ואחר כך הוא מסיר את הסיסמה מהמטמון. הסיסמה יכולים לשמש עוד התקנים אחרים.

בעיה 2

אישורים SCEP אינו יכול להיות re-enrolled באופן אוטומטי לאחר שתוקפן פג.

עקב בעיות שני אלה, ייתכן שיחלפו מנהלים זמן רב כדי בקשת סיסמאות עבור כל ההתקנים וכדי להחיל עליהם אישורים SCEP.

פתרון

כדי לפתור בעיות אלה שני, התקן את התיקון החם 959193. תיקון חם זה מציג שני השיפורים הבאים:

לשיפור 1

לאחר החלת תיקון חם זה, ניתן להשתמש שוב סיסמאות בין התקנים. תהליך חדש כדי לנהל את הסיסמאות הוא כדלהלן:

1. השרת SCEP מאשרת את הגדרת הרישום עבור מצב "סיסמה יחיד". במצב זה, סיסמת מאסטר הוא נוצרים ומאוחסנים ברישום על-ידי שימוש בנתונים מוצפנים. סיסמת מאסטר לעולם אינה פגה.

2. מנהל מערכת נכנס לאתר האינטרנט של הניהול SCEP ומבקשת סיסמה. סיסמת מאסטר מועבר.

3. מנהל המערכת מגדיר את הסיסמה במכשיר. מאחר הסיסמה אינה זהה עבור כל ההתקנים מכיוון שהוא לעולם אינה פגה, מנהל המערכת יכול בקלות לכתוב קובץ script כדי לפרוס את הסיסמה בכל ההתקנים.

כיצד לאפשר לשיפור 1

חשוב הסעיף, שיטה או המשימה הזו מכילה פעולות המציינות כיצד לשנות את הרישום. עם זאת, עלולות להתרחש בעיות חמורות אם תשנה את הרישום באופן שגוי. לפיכך, ודא כי אתה מבצע צעדים אלה בקפידה. לקבלת הגנה נוספת, בצע גיבוי של הרישום לפני שתבצע בו שינויים. כך תוכל לשחזר את הרישום מאוחר יותר במקרה שתתעורר בעיה. לקבלת מידע נוסף על אופן הגיבוי והשחזור של הרישום, לחץ על מספר המאמר הבא כדי להציג את המאמר הרלוונטי מתוך Microsoft Knowledge Base:

322756 כיצד לגבות ולשחזר את הרישום ב- Windows
כדי להפוך תכונה זו לזמינה, צור את ערך הרישום הבא:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

הערה אם אתה מפעיל NDES תחת החשבון Network Service, עליך להעניק הרשאת שליטה מלאה לחשבון 'שירות רשת' תחת מפתח המשנה הבא ברישום: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

לשיפור 2

אישורים יכול להיות re-enrolled באופן אוטומטי לאחר שתוקפן פג. תכונה זו מופעלת באופן אוטומטי לאחר התקנת התיקון החם.

כברירת מחדל, בעת הגשת בקשת חידוש האישור על-ידי שימוש בתכונה זו, האישור החותם להיות באותו שם הנושא ושם הנושא החלופי האישור המבוקש. כדי לעקוף דרישה זו, הגדר את הערך של ערך הרישום DisableRenewalSubjectNameMatch תחת מפתח המשנה הבא ל- 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

הערה ייתכן שיהיה עליך ליצור ערך רישום זה באמצעות סוג REG_DWORD אם ערך הרישום אינו קיים.

מצב

Microsoft אישרה כי מדובר בבעיה במוצרי Microsoft הרשומים במקטע 'חל על'.

מידע נוסף

לקבלת מידע נוסף אודות SCEP, בקר באתר האינטרנט הבא של טיוטות אינטרנט אתר (IETF):

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

שים לב שמסמך זה יפוג ב- 25 ביולי, 2009. לקבלת מידע לאחר תאריך זה, חפש את "SCEP" בדף הבית של אתר האינטרנט.

Microsoft מספקת פרטי קשר של ספקים חיצוניים כדי לסייע לך באיתור תמיכה טכנית. פרטי קשר אלה עשויים להשתנות ללא הודעה מוקדמת. Microsoft אינה ערבה למידת הדיוק של פרטי קשר של ספקים חיצוניים אלה.


לקבלת מידע נוסף, לחץ על מספר המאמר הבא כדי להציג את המאמר הרלוונטי מתוך Microsoft Knowledge Base:

824684 תיאור המינוח הרגיל המשמש לתיאור עדכוני התוכנה של מיקרוסופט