Dostępne są dwa ulepszenia który skrócić czas, który jest wymagany do zarządzania certyfikatami SCEP przy użyciu usługi rejestracji urządzeń sieciowych w systemie Windows Server 2008

Objawy

W systemie Windows Server 2008 próbujesz zarządzać certyfikatami prostego protokołu rejestrowania certyfikatów (SCEP) przy użyciu usługi rejestracji urządzeń sieciowych (NDES). NDES jest instalowany jako część usług certyfikatów systemu Windows Server 2008. W tym scenariuszu występują następujące problemy:

Problem 1

Hasła nie może nastąpić między urządzeniami.

Oparta na protokole SCEP, urządzenie jest wymagane do wysyłania hasła podczas żądania certyfikatu z serwera protokołu SCEP po raz pierwszy. Serwer protokołu SCEP wystawia certyfikat po sprawdzanie poprawności hasła.

Proces, w którym serwer protokołu SCEP wystawia certyfikat po sprawdzanie poprawności hasła jest następująca:

1. Administrator loguje się do witryny sieci Web administracji SCEP i żąda hasła.

2. Serwer protokołu SCEP generuje losowe hasło, zapisuje go w pamięci podręcznej, a następnie wyświetla hasło dla administratora.

3. Administrator konfiguruje hasło na urządzeniu.

4. Urządzenie wysyła to hasło w jego pierwotnym wniosku o certyfikat.
   
   Uwaga To hasło wygasa w ciągu 60 minut.

5. Serwer wystawia certyfikat, a następnie usuwa hasło z pamięci podręcznej. Hasło można już przez inne urządzenia.

Problem 2

Protokół SCEP certyfikaty nie może być zarejestrowani ponownie automatycznie po ich wygaśnięciu.

Ze względu na te dwie kwestie może upłynąć Administratorzy długi czas do żądania haseł dla wszystkich urządzeń i stosowanie certyfikatów SCEP do nich.

Rozwiązanie

Aby rozwiązać te dwa problemy, należy zainstalować poprawkę 959193. Ta poprawka wprowadza dwa następujące ulepszenia:

Ulepszenie 1

Po zastosowaniu tej poprawki można ponownie haseł między urządzeniami. Nowy proces zarządzania hasłami jest następująca:

1. Serwer protokołu SCEP potwierdza to ustawienie rejestru w trybie "Jednego hasła". W tym trybie hasło główne jest tworzone i przechowywane w rejestrze przy użyciu zaszyfrowanych danych. Główny hasło nigdy nie wygasa.

2. Administrator loguje się na SCEP administracyjnej witryny sieci Web i żąda hasła. Hasło główne jest dostarczana.

3. Administrator konfiguruje hasło na urządzeniu. Ponieważ hasło jest taka sama dla wszystkich urządzeń i nigdy nie wygasa, administrator łatwo można napisać skrypt, aby wdrożyć hasła na wszystkich urządzeniach.

Jak włączyć poprawy 1

Ważne Niniejsza sekcja, metoda lub zadanie zawiera informacje dotyczące modyfikowania rejestru. Jednak niepoprawne zmodyfikowanie rejestru może spowodować poważne problemy. W związku z tym upewnij się, że wykonujesz następujące kroki ostrożnie. Aby zapewnić sobie dodatkową ochronę, wykonaj kopię zapasową rejestru przed przystąpieniem do modyfikacji. Wtedy będziesz mógł przywrócić rejestr w przypadku wystąpienia problemu. Aby uzyskać więcej informacji na temat wykonywania kopii zapasowej i przywracania rejestru, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Microsoft Knowledge Base:

322756 jak wykonać kopię zapasową i przywrócić rejestr w systemie Windows
Aby włączyć tę funkcję, należy utworzyć wpis rejestru:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Uwaga Jeśli usługa NDES są uruchomione na koncie Usługa sieciowa, należy udzielić uprawnienia Pełna kontrola na konto "Network Service" w następującym podkluczu rejestru: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Ulepszenie 2

Certyfikaty mogą być zarejestrowani ponownie automatycznie po ich wygaśnięciu. Ta funkcja jest włączona automatycznie po zainstalowaniu tej poprawki.

Domyślnie gdy zostanie wysłane żądanie odnowienia certyfikatu za pomocą tej funkcji certyfikat podpisujący musi mieć tej samej nazwy podmiotu i alternatywnej nazwy podmiotu jako żądany certyfikat. Obejście to wymaganie, należy ustawić wartość wpisu rejestru DisableRenewalSubjectNameMatch w następującym podkluczu na 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Uwaga Być może trzeba utworzyć ten wpis rejestru przy użyciu typu REG_DWORD, jeśli wpis rejestru nie istnieje.

Stan

Firma Microsoft potwierdziła, że jest to problem występujący w produktach firmy Microsoft wymienionych w sekcji „Dotyczy”.

Więcej informacji

Aby uzyskać więcej informacji na temat protokołu SCEP odwiedź następującą witrynę sieci Web witryny (IETF) wersji roboczych programu Internet:

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Należy zauważyć, że ten dokument wygaśnie w dniu 25 lipca 2009. Uzyskać informacji po tej dacie wyszukaj ciąg "SCEP" na stronie głównej witryny sieci Web.

Firma Microsoft udostępnia informacje kontaktowe innych firm, aby ułatwić uzyskanie niezbędnej pomocy technicznej. Niniejsze informacje kontaktowe mogą ulec zmianie bez powiadomienia. Microsoft nie gwarantuje poprawności niniejszych informacji kontaktowych innych firm.


Aby uzyskać więcej informacji, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Microsoft Knowledge Base:

824684 Opis standardowej terminologii używanej do opisywania aktualizacji oprogramowania firmy Microsoft