Zertifikatsauswahl anhand von OID-Attributen
Frage
-
Guten Morgen,
wir verwenden zur sicheren Kommunikation von Server zu Client HTTPS mit von unserer Domänen-CA ausgestellten Zertifikaten. Die Zertifikate werden vom Domänencomputer selbst angefordert (Auto-Request per GPO). Das Problem ist allerdings, dass ich einige wenige Computer in der Domäne habe, bei denen im persönlichen Zertifikatsspeicher mehrere Zertifikate hinterlegt sind, die den Verwendungszweck "Clientauthentifizierung" erlauben. Unglücklicherweise sind die nicht vorhergesehenen Zertifikate auch noch die, die am längsten gültig sind, sodass der Client diese zur Authentifizierung auswählt und die Kommunikation zum Server gestört ist.
Bei meiner Recherche bin ich auf die "PKI-Clientzertifikatsauswahl" anhand von OID-Attributen gestoßen: (https://docs.microsoft.com/de-de/mem/configmgr/core/plan-design/security/plan-for-certificates) nun weiß ich aber nicht, wie diese anzuwenden sind und ob (da das Zertifikat auto-enrolled ist) es im Zertifikat Attribute gibt, anhand derer es sich von anderen unterscheidet?
Alternativ habe ich gesehen, dass man auch einen anderen Zertifikatsspeicher-Pfad für die Suche nach dem Clientzertifikat im SCCM hinterlegen kann. Allerdings werden die Auto-Enrollment-Zertifikate immer unter "Persönlich" gespeichert, ich könnte diese zwar per PS-Skript verschieben, dann wird jedoch ein neues Zertifikat vom Client angefordert und in "Persönlich" abgelegt.
Wenn ich in der GPO für den Auto-Request einen anderen Zertifikatsspeicherort angebe, werden alle Zertifikate in den abweichenden Pfad abgelegt, das möchte ich auch nicht.
Wie habt ihr das gelöst?
Vielen Dank & freundliche Grüße
David- Bearbeitet David Strulik Montag, 4. April 2022 07:22
Antworten
-
Du meinst ob dem Aussteller des "falschen" Zertifikats vertraut wird? Nein, der Server, auf dem der Endpoint Manager installiert ist vertraut dem Zertifikat nicht, der Client-Computer aber.
Magst du mir verraten, wo ich das Erfordernis der Vertrauensstellung konfigurieren kann?
Das ist dadurch geregelt, dass das Root-Zertifikat der Kette im Trusted Roots Store des jeweiligen Computers ist.
Laut dem von Dir verlinkten Artikel dürfte das Zertifikat aber nicht ausgewählt werden, denn:
Evgenij Smirnov
- Als Antwort markiert David Strulik Montag, 4. April 2022 18:53
Alle Antworten
-
Kann man beim auto-enrollment eigentlich Werte konfigurieren, die dem Zertifikat später hinzugefügt werden sollen? Dann würde ich einfach darüber ein eindeutiges Merkmal/Wert vergeben lassen und danach filtern.
Die Liste der OIDs, die ausgewertet werden können, steht im Artikel.
In der Vorlage kannst Du folgende Werte verwenden:
Nimmst Du also Full DN, werden da alle Domain-Teile drin vorkommen (wie ich oben bereits schrieb ;-) ), und Du kannst danach filtern.
Evgenij Smirnov
-
Du meinst ob dem Aussteller des "falschen" Zertifikats vertraut wird? Nein, der Server, auf dem der Endpoint Manager installiert ist vertraut dem Zertifikat nicht, der Client-Computer aber.
Magst du mir verraten, wo ich das Erfordernis der Vertrauensstellung konfigurieren kann?
Das ist dadurch geregelt, dass das Root-Zertifikat der Kette im Trusted Roots Store des jeweiligen Computers ist.
Laut dem von Dir verlinkten Artikel dürfte das Zertifikat aber nicht ausgewählt werden, denn:
Evgenij Smirnov
- Als Antwort markiert David Strulik Montag, 4. April 2022 18:53
