Requisitos para certificados de controlador de domínio de uma AC de terceiros
Este artigo descreve os requisitos que você precisa cumprir para emitir um certificado de controlador de domínio de uma autoridade de certificação de terceiros (AC).
Aplica-se a: Windows Server 2012 R2
Número original do KB: 291010
Resumo
Para obter mais informações sobre os requisitos para um certificado de controlador de domínio do Windows Server 2008 R2 de uma AC de terceiros, consulte Requisitos atualizados para um certificado de controlador de domínio do Windows Server 2008 R2 de uma AC de terceiros.
Suporte
- Atualmente, a Microsoft dá suporte ao uso de certificados de controlador de domínio de terceiros apenas com cartão entrada inteligente.
- Atualmente, a Microsoft não dá suporte ao uso de certificados de CAs de terceiros para dar suporte à replicação do SMTP (Simple Mail Transfer Protocol) entre controladores de domínio.
- Os CAs de terceiros não dão suporte ao registro automático e à renovação de certificados de controlador de domínio ou computador.
Requisitos
- Você pode emitir manualmente um certificado para um controlador de domínio. O certificado para o controlador de domínio deve atender aos seguintes requisitos de formato específicos:
O certificado deve ter uma extensão de ponto de distribuição crl que aponta para uma CRL (lista de revogação de certificado) válida.
Opcionalmente, a seção Assunto de certificado deve conter o caminho do diretório do objeto do servidor (o nome distinto), por exemplo:
CN=server1.northwindtraders.com OU=Controladores de Domínio DC=northwwindtraders DC=comA seção uso da chave de certificado deve conter:
Assinatura Digital, Encipherment de ChaveOpcionalmente, a seção Restrições Básicas de certificado deve conter:
[Tipo de assunto=entidade final, restrição de comprimento do caminho=nenhum]A seção uso de chave aprimorada do certificado deve conter:
- Autenticação do cliente (1.3.6.1.5.5.7.3.2)
- Autenticação do servidor (1.3.6.1.5.5.7.3.1)
A seção Nome Alternativo da Entidade de Certificado deve conter o nome DNS (Sistema de Nomes de Domínio). Se a replicação SMTP for usada, a seção Nome Alternativo do Assunto de certificado também deverá conter o GUID (identificador globalmente exclusivo) do objeto controlador de domínio no diretório. Por exemplo:
Outro Nome: 1.3.6.1.4.1.311.25.1 = ac 4b 29 06 aa d6 5d 4f a9 9c 4c bc b0 6a 6a 65 d9 DNS Name=server1.northwindtraders.comO modelo de certificado deve ter uma extensão que tenha o valor de dados do BMP (painel metabólico básico) DomainController.
Observação
O comando dsstore.exe -dcmon não reconhece o certificado sem uma dessas extensões.
Você deve usar o CSP (provedor de serviços criptográficos do Schannel) para gerar a chave.
- O certificado do controlador de domínio deve ser instalado no repositório de certificados do computador local.
Certificado de exemplo
X509 Certificate:
Version: 3
Serial Number: 61497f5e000000000006
Signature Algorithm:
Algorithm ObjectId: 1.2.840.113549.1.1.5 sha1RSA
Algorithm Parameters:
05 00 ..
Issuer:
CN=TestCA
DC=northwindtraders
DC=com
NotBefore: 2/12/2001 3:57 PM
NotAfter: 7/10/2001 10:24 AM
Subject:
CN=TEST-DC1
OU=Domain Controllers
DC=northwindtraders
DC=com
Public Key Algorithm:
Algorithm ObjectId: 1.2.840.113549.1.1.1 RSA
Algorithm Parameters:
05 00 ..
Public Key Length: 1024 bits
Public Key: UnusedBits = 0
0000 30 81 89 02 81 81 00 b1 c8 84 ce ea 5c da 96 23
0010 4b d5 07 d7 27 f3 76 1f d3 0f 23 3f 8b fa 8b 68
0020 34 09 47 4a f5 33 41 77 86 d2 d3 a7 34 19 5c 49
0030 43 bf 5a 3c 25 a3 77 69 54 ad 84 af 20 b2 c2 f6
0040 40 f7 82 7f b9 b0 db cb db 76 7c 13 54 8e 3b 5e
0050 9e 92 a2 42 8d 97 db 07 06 cc 5d 7a 95 9f 7f 8b
0060 c1 69 7b 0a 6a e7 8f fa 6b c4 60 23 d4 03 88 45
0070 83 61 2e b2 af a2 f9 69 e2 84 d9 95 01 c4 88 eb
0080 89 16 5a 4d a4 34 27 02 03 01 00 01
Certificate Extensions: 9
1.2.840.113549.1.9.15: Flags = 0, Length = 37
SMIME Capabilities
[1]SMIME Capability
Object ID=1.2.840.113549.3.2
Parameters=02 02 00 80
[2]SMIME Capability
Object ID=1.2.840.113549.3.4
Parameters=02 02 00 80
[3]SMIME Capability
Object ID=1.3.14.3.2.7
[4]SMIME Capability
Object ID=1.2.840.113549.3.7
2.5.29.15: Flags = 0, Length = 4
Key Usage
Digital Signature, Key Encipherment (a0)
2.5.29.37: Flags = 0, Length = 16
Enhanced Key Usage
Client Authentication (1.3.6.1.5.5.7.3.2)
Server Authentication (1.3.6.1.5.5.7.3.1)
1.3.6.1.4.1.311.20.2: Flags = 0, Length = 22
Certificate Template Name
DomainController
2.5.29.14: Flags = 0, Length = 16
Subject Key Identifier
a8 20 ce 65 63 3e cd a1 c8 77 97 44 fa 28 43 71 17 e3 6e 84
2.5.29.35: Flags = 0, Length = 18
Authority Key Identifier
KeyID=44 b8 25 f8 d9 53 c5 96 e1 8c 14 d5 e4 5e 33 3a fc 22 7b e7
2.5.29.31: Flags = 0, Length = f8
CRL Distribution Points
[1]CRL Distribution Point
Distribution Point Name:
Full Name:
URL=http://test-dc1.northwindtraders.com/CertEnroll/TestCA.crl
URL=ldap:///CN=TestCA,CN=test-dc1,CN=CDP,CN=Public%20Key%20Services,CN=Services,CN=Configuration,DC=northwindtraders,DC=com?certificateRevocationList?base?objectClass=cRLDistributionPoint
1.3.6.1.5.5.7.1.1: Flags = 0, Length = 10a
Authority Information Access
[1]Authority Info Access
Access Method=Certification Authority Issuer (1.3.6.1.5.5.7.48.2)
Alternative Name:
URL=http://test-dc1.northwindtraders.com/CertEnroll/test-dc1.northwindtraders.com_TestCA.crt
[2]Authority Info Access
Access Method=Certification Authority Issuer (1.3.6.1.5.5.7.48.2)
Alternative Name:
URL=ldap:///CN=TestCA,CN=AIA,CN=Public%20Key%20Services,CN=Services,CN=Configuration,DC=northwindtraders,DC=com?cACertificate?base?objectClass=certificationAuthority
2.5.29.17: Flags = 0, Length = 3d
Subject Alternative Name
Other Name:
1.3.6.1.4.1.311.25.1=04 10 96 8e ea d7 ee ba bc 42 81 db 4f 92 f5 88 db 4a
DNS Name=test-dc1.northwindtraders.com
Signature Algorithm:
Algorithm ObjectId: 1.2.840.113549.1.1.5 sha1RSA
Algorithm Parameters:
05 00
Como determinar o GUID do controlador de domínio
Inicie Ldp.exe e localize o contexto de nomenclatura de domínio. Clique duas vezes no nome do controlador de domínio que você deseja exibir. A lista de atributos desse objeto contém "GUID de Objeto" seguido por um número longo. O número é o GUID para esse objeto.
Comentários
Em breve: Ao longo de 2024, eliminaremos os problemas do GitHub como o mecanismo de comentários para conteúdo e o substituiremos por um novo sistema de comentários. Para obter mais informações, consulte https://aka.ms/ContentUserFeedback.
Enviar e exibir comentários de