To forbedringer er tilgjengelige som forkorter tiden som kreves for å behandle sertifikater for SCEP ved hjelp av nettverket enheten registrering-tjenesten i Windows Server 2008

Symptomer

I Windows Server 2008 prøver du å behandle sertifikater for enkel sertifikat sertifikatregistrering Protocol (SCEP) ved hjelp av nettverket enheten registrering Service (NDES). NDES er installert som en del av sertifikattjenester i Windows Server 2008. I dette scenariet kan du oppleve følgende problemer:

Problem 1

Passord kan ikke brukes på nytt mellom enheter.

Basert på SCEP-protokollen, for en enhet å sende et passord når den ber om et sertifikat fra en SCEP-server for første gang. SCEP serveren utsteder et sertifikat etter validere passordet.

Behandle SCEP serveren utsteder et sertifikat etter validere passordet er som følger:

1. Systemansvarlige logger på et webområde for administrasjon av SCEP og ber om et passord.

2. SCEP serveren genererer et tilfeldig passord, lagres i hurtigbufferen, og viser deretter passordet til administrator.

3. Administratoren konfigurerer passordet på enheten.

4. Enheten sender dette passordet i den første forespørselen om et sertifikat.
   
   Obs! Dette passordet utløper i 60 minutter.

5. Serveren utsteder sertifikatet, og deretter fjerner passordet fra hurtigbufferen. Passordet kan ikke lenger brukes av andre enheter.

Problem 2

SCEP sertifikater ikke re-enrolled automatisk når de utløper.

På grunn av disse to problemene, kan det ta administratorer lang tid til å be om passord for alle enheter, og å bruke sertifikater for SCEP.

Oppløsning

Disse to problemene kan løses ved å installere hurtigreparasjon 959193. Denne hurtigreparasjonen innfører to følgende forbedringer:

Forbedring 1

Når du har installert denne hurtigreparasjonen, kan brukes på nytt passord mellom enheter. Den nye prosessen til å administrere passord er som følger:

1. SCEP-serveren bekrefter registerinnstillingen for "Enkelt passord"-modus. I denne modusen er et hovedpassord opprettes og lagres i registret ved hjelp av krypterte data. Master passord utløper aldri.

2. En administrator logger på et webområde for administrasjon av SCEP og ber om et passord. Hovedpassord er levert.

3. Administratoren konfigurerer passordet på enheten. Fordi passordet er den samme for alle enheter, og fordi det aldri utløper, kan administratoren enkelt å skrive et skript for å distribuere passord på alle enheter.

Slik aktiverer du forbedring 1

Viktig Denne delen, metoden eller oppgaven inneholder fremgangsmåter for hvordan du endrer registret. Imidlertid kan oppstå alvorlige problemer hvis du endrer registeret feilaktig. Sørg derfor for at du følger disse trinnene nøye. Ta sikkerhetskopi av registret før du endrer den ekstra beskyttelse. Deretter kan du gjenopprette registret hvis det oppstår et problem. Hvis du vil ha mer informasjon om hvordan du sikkerhetskopierer og gjenoppretter registret, kan du klikke følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:

322756 hvordan du sikkerhetskopierer og gjenoppretter registret i Windows
Hvis du vil aktivere denne funksjonen, kan du opprette følgende registernøkkel:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Obs! Hvis du kjører NDES under nettverkstjenestekontoen, må du gi alle tillatelser til "" nettverkstjenestekontoen under følgende registerundernøkkel: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Forbedring 2

Sertifikater kan også være re-enrolled automatisk når de utløper. Denne funksjonen aktiveres automatisk når hurtigreparasjonen er installert.

Som standard når du ber om en sertifikatfornyelse ved hjelp av denne funksjonen må signataren sertifikatet ha samme mottakernavn og alternative emnenavnet som forespurte sertifikatet. For å omgå dette kravet, kan du angi verdien for registeroppføringen DisableRenewalSubjectNameMatch under følgende undernøkkel til 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Obs! Du må kanskje opprette registernøkkelen ved hjelp av typen REG_DWORD hvis registeroppføringen ikke finnes.

Status

Microsoft har bekreftet at dette er et problem i Microsoft-produktene som er oppført i delen "Gjelder for".

Hvis du vil ha mer informasjon

Hvis du vil ha mer informasjon om SCEP, kan du gå til følgende webområde for Internett-kladder-området (IETF):

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Vær oppmerksom på dette dokumentet vil utløpe på 25 juli 2009. Mer informasjon etter denne datoen, kan du søke etter "SCEP" på hjemmesiden for webområdet.

Microsoft tilbyr kontaktopplysninger for tredjeparter for å hjelpe deg med å finne teknisk kundestøtte. Disse kontaktopplysningene kan endres uten varsel. Microsoft garanterer ikke nøyaktigheten av disse kontaktopplysningene for tredjeparter.


Hvis du vil ha mer informasjon, kan du klikke følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:

824684 beskrivelse av standardterminologien som brukes til å beskrive oppdateringer av Microsoft-programvare