Două îmbunătățiri sunt disponibile care reduce timpul necesar pentru gestionarea certificatelor SCEP prin utilizarea serviciului de înscriere dispozitiv de rețea în Windows Server 2008

Simptome

În Windows Server 2008, încercați să gestionaţi certificate simplă certificat de înscriere Protocol (SCEP) utilizând Network Device înscriere Service (NDES). NDES este instalat ca parte a certificat de servicii în Windows Server 2008. În acest scenariu, întâmpinați următoarele probleme:

Problema 1

Parolele nu pot fi reutilizate între dispozitive.

Pe baza Protocolului SCEP, un dispozitiv este necesară pentru a trimite o parolă, atunci când se solicită un certificat de la un server de SCEP pentru prima dată. Serverul SCEP emite un certificat după validarea parola.

Procesul prin care serverul SCEP emite un certificat după validarea parola este după cum urmează:

1. Administratorul face Log on la un site-ul Web SCEP administrare și solicită o parolă.

2. Serverul SCEP generează o parolă aleatoare, stochează în memoria cache și apoi afișează parola de administrator.

3. Administratorul configurează parola pe dispozitiv.

4. Dispozitivul trimite această parolă în solicitarea sa inițială pentru un certificat.
   
   Notă Această parolă expiră în 60 de minute.

5. Server probleme certificatul şi apoi elimină parola din memoria cache. Parola nu mai poate fi utilizată de orice alte dispozitive.

Problema 2

SCEP certificate nu poate fi re-enrolled automat după expirarea lor.

Din cauza aceste două probleme, este posibil să treacă administratorii mult timp la solicitarea parole pentru toate dispozitivele și să se aplice SCEP certificate.

Rezolvare

Pentru a rezolva aceste două probleme, instalați remedierea rapidă 959193. Această remediere rapidă introduce următoarele două îmbunătăţiri:

Îmbunătățiri 1

După aplicarea acestei remedieri rapide, parolele pot fi reutilizate între dispozitive. Noul proces de gestionare a parolelor este după cum urmează:

1. Serverul SCEP confirmă setarea de registry pentru modul "Parola singur". În acest mod, o parolă master este creat și stocate în registry utilizând datele criptate. Parola expiră niciodată.

2. Un administrator log on la un site-ul Web SCEP administrare și solicită o parolă. Parola este livrat.

3. Administratorul configurează parola pe dispozitiv. Deoarece parola este aceeași pentru toate dispozitivele și, deoarece acesta nu expiră, administratorul poate scrie cu ușurință un script pentru a implementa parola pe toate dispozitivele.

Cum se activează îmbunătățiri 1

Important Această secţiune, metodă sau activitate conţine paşi care vă spun cum să modificaţi registry-ul. Țineți cont că pot apărea probleme grave dacă modificaţi incorect registry-ul. Prin urmare, asiguraţi-vă că urmaţi aceşti paşi cu atenţie. Pentru protecţie suplimentară, faceți backup pentru registry înainte de a-l modifica. Apoi, puteți restabili registry-ul dacă apare o problemă. Pentru mai multe informaţii despre cyum se face backup şi cum se restabilește registry-ul, faceţi clic pe următorul număr de articol pentru a vedea articolul în baza de cunoştinţe Microsoft:

322756 cum să creați copii de rezervă și restabilirea registry în Windows
Pentru a activa această caracteristică, creați următoarea intrare de registry:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Notă Dacă executați NDES sub contul de serviciu de rețea, trebuie să acordaţi permisiunea Control total pentru contul "Network Service" sub următoarea subcheie de registry: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Îmbunătățiri 2

Certificate pot fi re-enrolled automat după expirarea lor. Această caracteristică este activată automat după instalarea remedierii rapide.

În mod implicit, atunci când solicitați o reînnoire certificat utilizând această caracteristică, certificatul semnatar trebuie să aibă același subiect numele și nume alternativ subiect ca certificatul solicitat. Pentru a ocoli această cerință, setați valoarea intrării registry DisableRenewalSubjectNameMatch sub următoarea subcheie de la 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Notă Trebuie să creați această intrare de registry utilizând REG_DWORD tip dacă intrarea de registry nu există.

Stare

Microsoft a confirmat că aceasta este o problemă cu produsele Microsoft enumerate în secţiunea „Se aplică la".

Mai multe informații

Pentru mai multe informații despre SCEP, vizitați următorul site Web Internet schițe Web site (IETF):

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Notați acest document va expira la 25 iulie 2009. Pentru informații după această dată, căutați "SCEP" pe pagina de pornire a site-ul Web.

Microsoft furnizează unor terţe persoane informaţiile de contact pentru a vă ajuta să găsiţi sprijin tehnic. Informaţiile de contact se pot schimba fără notificare prealabilă. Microsoft nu garantează exactitatea acestor informații de contact pentru terți.


Pentru mai multe informaţii, faceţi clic pe următorul număr de articol pentru a vedea articolul în baza de cunoştinţe Microsoft:

824684 Descrierea terminologiei standard care este utilizat pentru a descrie actualizările de software Microsoft