Twee verbeteringen zijn beschikbaar die verkort de tijd die nodig is voor SCEP-certificaten beheren met behulp van de Network Device Enrollment Service in Windows Server 2008

Symptomen

In Windows Server 2008 probeert u SCEP Simple Certificate Enrollment Protocol () om certificaten te beheren met behulp van de Network Device Enrollment Service (NDES). De NDES wordt geïnstalleerd als onderdeel van certificaatservices in Windows Server 2008. In dit scenario treden de volgende problemen op:

Probleem 1

Wachtwoorden kunnen niet opnieuw worden gebruikt tussen apparaten.

Op basis van de SCEP-protocol, is een apparaat voor het verzenden van een wachtwoord wanneer dit voor de eerste keer een certificaat bij een SCEP-server aanvraagt vereist. De SCEP-server verleent een certificaat na de validatie van het wachtwoord.

Het proces waarbij de SCEP-server een certificaat verleent na de validatie van het wachtwoord is als volgt:

1. De beheerder zich aanmeldt bij een website voor SCEP-beheer en een wachtwoord vraagt.

2. De SCEP-server genereert een willekeurig wachtwoord in de cache opgeslagen en wordt vervolgens het wachtwoord voor de systeembeheerder.

3. Op het apparaat configureert de beheerder het wachtwoord.

4. Het apparaat verzendt dit wachtwoord in de eerste aanvraag voor een certificaat.
   
   Opmerking Dit wachtwoord verloopt in 60 minuten.

5. De server verleent het certificaat en vervolgens het wachtwoord verwijderd uit de cache. Het wachtwoord kan niet meer worden gebruikt door andere apparaten.

Probleem 2

SCEP-certificaten kunnen niet worden ingeschreven automatisch vervallen.

Door deze twee problemen duurt beheerders lang verzoek wachtwoorden voor alle apparaten en SCEP certificaten op hen van toepassing.

Oplossing

Deze twee problemen oplossen door hotfix 959193 hebt geïnstalleerd. Deze hotfix bevat de volgende twee functies:

1 verbetering

Nadat u deze hotfix hebt toegepast, kunnen wachtwoorden tussen apparaten worden hergebruikt. Het nieuwe proces voor het beheren van wachtwoorden is als volgt:

1. De server SCEP bevestigt de registerinstelling voor de "Één wachtwoord" modus. In deze modus een hoofdwachtwoord gemaakt en opgeslagen in het register met behulp van gecodeerde gegevens. De master-wachtwoord verloopt nooit.

2. Een beheerder zich aanmeldt bij een website voor SCEP-beheer en een wachtwoord vraagt. De master-wachtwoord wordt geleverd.

3. Op het apparaat configureert de beheerder het wachtwoord. Omdat het wachtwoord hetzelfde voor alle apparaten is en omdat deze nooit verloopt, kan de beheerder een script voor de implementatie van het wachtwoord op alle apparaten eenvoudig schrijven.

1 verbetering van de gebruikerservaring inschakelen

Belangrijk Deze sectie, methode of taak bevat stappen voor het wijzigen van het register. Echter, er kunnen ernstige problemen optreden als u het register onjuist bewerkt. Daarom is het belangrijk de volgende stappen zorgvuldig te volgen. Als extra beveiliging maakt u een back-up van het register voordat u wijzigingen aanbrengt. Vervolgens kunt u het register herstellen als er een probleem optreedt. Voor meer informatie over hoe u een back-up van het register kunt maken en terugzetten, klikt u op het volgende artikel in de Microsoft Knowledge Base:

322756 het back-up maken en het register terugzetten in Windows
Als u deze functie inschakelt, maakt u de volgende registervermelding:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Opmerking Als u NDES worden uitgevoerd onder de netwerkserviceaccount, moet u de machtiging Volledig beheer aan de account 'Network Service' onder de volgende registersubsleutel verlenen: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Verbetering 2

Certificaten kunnen worden ingeschreven automatisch vervallen. Deze functie wordt automatisch ingeschakeld nadat u de hotfix hebt geïnstalleerd.

Standaard wanneer u vernieuwen van een certificaat aanvraagt met behulp van deze functie, moet het certificaat van de ondertekenaar hebben dezelfde naam en alternatieve naam als het aangevraagde certificaat. Om te omzeilen deze eis, de waarde van de registervermelding DisableRenewalSubjectNameMatch onder de volgende subsleutel te ingesteld op 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Opmerking U moet deze registervermelding maken met behulp van type REG_DWORD als de registervermelding niet bestaat.

Status

Microsoft heeft bevestigd dat dit probleem kan optreden in de Microsoft-producten die worden vermeld in de sectie 'Van toepassing op'.

Meer informatie

Ga naar de volgende Internet-concepten Web site (IETF)-website voor meer informatie over SCEP:

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Opmerking dat dit document verloopt op 25 juli 2009. Zoek naar "SCEP" op de introductiepagina van de website voor informatie na deze datum.

Microsoft biedt contactinformatie van derden om u te helpen technische ondersteuning te vinden. Deze contactinformatie kan zonder kennisgeving worden gewijzigd. Microsoft garandeert niet de juistheid van deze contactinformatie van derden.


Voor meer informatie klikt u op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base weer te geven:

824684 beschrijving van de standaardterminologie die wordt gebruikt om software-updates voor Microsoft te beschrijven