Zwei Verbesserungen stehen, die Verkürzen der Zeit SCEP Zertifikate verwalten mithilfe der Registrierungsdienst für Netzwerkgeräte in Windows Server 2008

Problembeschreibung

Versuchen Sie in Windows Server 2008 (SCEP = Simple Certificate Enrollment Protocol) Zertifikate verwalten mithilfe der Network Device Enrollment Service (NDES). Die NDES wird als Teil der Zertifikatdienste in Windows Server 2008 installiert. In diesem Szenario treten die folgenden Probleme:

Problem 1

Kennwörter können zwischen Geräten wiederverwendet werden.

Basierend auf SCEP-Protokoll, ein Gerät muss ein Kennwort zu senden, wenn es zum ersten Mal von einem SCEP-Server ein Zertifikat anfordert. SCEP-Server gibt ein Zertifikat nach dem Kennwort überprüfen.

Der Prozess mit dem SCEP-Server ein Zertifikat ausstellt, nachdem das Kennwort überprüfen lautet wie folgt:

1. Der Administrator einer SCEP-Verwaltungswebsite anmeldet und ein Kennwort angefordert.

2. SCEP-Server generiert ein zufälliges Kennwort, im Cache gespeichert und anschließend das Kennwort für den Administrator angezeigt.

3. Der Administrator konfiguriert das Kennwort auf dem Gerät.

4. Das Gerät sendet dieses Kennwort in der ursprünglichen Anforderung eines Zertifikats.
   
   Hinweis Dieses Kennwort läuft in 60 Minuten.

5. Der Server stellt das Zertifikat und das Kennwort aus dem Cache entfernt. Das Kennwort kann nicht von anderen Geräten verwendet werden.

Problem 2

SCEP Zertifikate basierendes automatisch nicht nach ablaufen.

Durch diese beiden Probleme können Administratoren lange Anforderung Kennwörter für alle Geräte und SCEP Zertifikate auf sie angewendet dauert.

Problemlösung

Um diese beiden Probleme zu beheben, installieren Sie Hotfix 959193. Dieser Hotfix enthält zwei Verbesserungen:

Verbesserung 1

Nach Installation dieses Hotfixes können Kennwörter Geräte wiederverwendet werden. Der neue Prozess Kennwörter verwalten lautet wie folgt:

1. SCEP Server bestätigt den Registrierungseintrag "Kennwort"-Modus. In diesem Modus ein Hauptkennwort erstellt und mit Daten in der Registrierung gespeichert. Das master-Kennwort läuft nie ab.

2. Ein Administrator einer SCEP-Verwaltungswebsite Anmeldung und ein Kennwort angefordert. Das master-Kennwort übermittelt.

3. Der Administrator konfiguriert das Kennwort auf dem Gerät. Da das Kennwort für alle Geräte und da es nie abläuft, der Administrator problemlos kann schreiben Sie ein Skript, um das Kennwort auf allen Geräten bereitstellen.

Verbesserung 1 aktivieren

Wichtig Dieser Abschnitt bzw. die Methode oder Aufgabe enthält Schritte, die erklären, wie Sie die Registrierung ändern. Allerdings können schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie daher sicher, dass Sie die folgenden Schritte sorgfältig ausführen. Sichern Sie die Registry für zusätzlichen Schutz, bevor Sie sie ändern. Anschließend können Sie die Registrierung wiederherstellen, falls ein Problem auftritt. Weitere Informationen zum Sichern und Wiederherstellen der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:

322756 zum Sichern und Wiederherstellen der Registrierung in Windows
Um diese Funktion zu aktivieren, erstellen Sie den folgenden Registrierungseintrag:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Hinweis Wenn Sie NDES unter dem Netzwerkdienstkonto ausgeführt, muss, gewähren Sie Vollzugriff auf das Konto "Netzwerkdienst" unter dem folgenden Registrierungsunterschlüssel: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Verbesserung 2

Zertifikate können basierendes automatisch nach werden ablaufen. Diese Funktion wird automatisch aktiviert, nachdem das Update installiert ist.

Standardmäßig beim Anfordern der zertifikatserneuerung eines mithilfe dieser Funktion benötigen das Signaturzertifikat gleichen Antragstellernamen und alternativen Antragstellernamen als das angeforderte Zertifikat. Um dies zu umgehen, legen Sie den Wert der DisableRenewalSubjectNameMatch -Registrierungseintrag unter dem folgenden Unterschlüssel 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Hinweis Sie müssen mithilfe dieser Registrierungseintrag Typ REG_DWORD Wenn der Registrierungseintrag nicht vorhanden ist.

Status

Microsoft hat bestätigt, dass es sich um ein Problem bei den Microsoft-Produkten handelt, die im Abschnitt „Eigenschaften“ aufgeführt sind.

Weitere Informationen

Weitere Informationen über SCEP Website die folgenden Entwürfe des Internets Website (IETF):

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Beachten Sie, dass dieses Dokument auf 25 Juli 2009 abläuft. Suchen Sie Informationen nach diesem Datum für "SCEP" auf der Homepage der Website.

Microsoft stellt Kontaktinformationen von Drittanbietern zur Verfügung, damit Sie technischen Support erhalten können. Diese Kontaktinformationen können sich ohne vorherige Ankündigung ändern. Microsoft garantiert nicht die Richtigkeit dieser Kontaktinformationen von Drittanbietern.


Klicken Sie für weitere Informationen auf die folgende Artikelnummer, um den Artikel in der Microsoft Knowledge Base anzuzeigen:

824684 Erläuterung von der standardmäßigen Standardbegriffen bei Microsoft Softwareupdates