Требования к PKI-сертификатам для Configuration Manager
Применимо к:System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
Сертификаты инфраструктуры открытых ключей (PKI), которые могут потребоваться для System Center 2012 Configuration Manager, перечислены в таблицах ниже. Эти сведения предполагают наличие у пользователя базовых знаний о сертификатах PKI. Пошаговое руководство, включающее пример развертывания таких сертификатов, см. в разделе Пошаговый пример развертывания сертификатов PKI для Configuration Manager. Центр сертификации Windows Server 2008. Дополнительные сведения о службах сертификации Active Directory см. в следующей документации.
Для Windows Server 2012: обзор служб сертификатов Active Directory
Для Windows Server 2008: службы сертификатов Active Directory в Windows Server 2008
.jpeg "System_CAPS_important") Важно |
|---|
С 1 января 2017 года Windows не будет считать доверенными сертификаты, подписанные SHA-1. Корпорация Майкрософт рекомендует выпустить новые сертификаты проверки подлинности сервера и клиента, подписанные SHA-2. Дополнительные сведения об этом изменении и возможные обновления крайнего срока вы найдете в этой записи блога: Windows Enforcement of Authenticode Code Signing and Timestamping (Принудительное применение Authenticode для подписывания кода и установки меток времени в Windows). |
За исключением сертификатов клиентов, которые Configuration Manager регистрирует на мобильных устройствах и компьютерах Mac, сертификаты, автоматически создаваемые Microsoft Intune для управления мобильными устройствами, и сертификаты, устанавливаемые Configuration Manager на компьютерах на основе AMT, можно использовать любую PKI для создания, развертывания и управления следующими сертификатами. Однако при использовании службы сертификатов Active Directory и шаблонов сертификатов это решение PKI Майкрософт может облегчить управление сертификатами. Для определения шаблона сертификата, наиболее соответствующего требованиям к сертификату, используйте столбец Используемый шаблон сертификата (Майкрософт) в следующих таблицах. Сертификаты на основе шаблонов может выдавать только центр сертификации предприятия в среде Enterprise Edition или Datacenter Edition серверной операционной системы, такой как Windows Server 2008 Enterprise или Windows Server 2008 Datacenter.
| Важно |
|---|
При использовании центра сертификации предприятия и шаблонов сертификатов не следует применять шаблоны версии 3. Эти шаблоны сертификатов создают сертификаты, которые несовместимы с Configuration Manager. Вместо этого используйте шаблоны версии 2, придерживаясь следующих инструкций:
|
Требования к сертификатам рассматриваются в следующих разделах.
Сертификаты PKI для серверов
Компонент Configuration Manager |
Назначение сертификата |
Используемый шаблон сертификата (Майкрософт) |
Особые сведения в сертификате |
Использование сертификата в Configuration Manager |
||
|---|---|---|---|---|---|---|
Системы сайтов, в которых выполняются службы IIS, настроенные для клиентских подключений HTTPS:
|
Проверка подлинности сервера |
Веб-сервер |
Значение Расширенное использование ключа должно содержать Проверка подлинности сервера (1.3.6.1.5.5.7.3.1). Если система сайта принимает подключения из Интернета, то имя получателя или дополнительное имя получателя должны содержать полное доменное имя в Интернете (FQDN). Если система сайта принимает подключения из интрасети, то имя субъекта или альтернативное имя субъекта должны содержать полное доменное имя в интрасети (рекомендуется) или NetBIOS-имя компьютера в зависимости от настройки системы сайта. Если система сайта принимает подключения как из Интернета, так и из интрасети, то следует указывать полное доменное имя в Интернете и полное доменное имя в интрасети (или имя компьютера), используя амперсанд (&) в качестве разделителя этих двух имен.
Поддерживается алгоритм хеширования SHA-2. Программа Configuration Manager не накладывает ограничений на длину ключа для этого сертификата. По вопросам относительно размера ключа обратитесь к документации по PKI и IIS для этого сертификата. |
Этот сертификат необходимо разместить в личном хранилище сертификатов на компьютере. Сертификат веб-сервера используется для проверки подлинности таких серверов при обращении клиента и для шифрования всех данных, передаваемых между клиентом и этими серверами с использованием протокола SSL. |
||
Облачная точка распространения |
Проверка подлинности сервера |
Веб-сервер |
Значение Расширенное использование ключа должно содержать Проверка подлинности сервера (1.3.6.1.5.5.7.3.1). Поле "Имя субъекта" должно содержать пользовательское имя службы и имя домена в формате полного доменного имени в качестве общего имени для конкретного экземпляра облачной точки распространения. Закрытый ключ должен быть доступен для экспорта. Поддерживается алгоритм хеширования SHA-2. Поддерживаемая длина ключей: 2048 бит. |
Для System Center 2012 Configuration Manager с пакетом обновления 1 (SP1) и более поздних версий: Этот сертификат службы используется для проверки подлинности службы облачной точки распространения при обращении клиента Configuration Manager и для шифрования всех данных, передаваемых между ними по протоколу SSL. Этот сертификат должен экспортироваться в формате PKCS #12, и чтобы его можно было импортировать при создании облачной точки распространения, должен быть известен пароль.
|
||
Кластер балансировки нагрузки (NLB) для точки обновления программного обеспечения |
Проверка подлинности сервера |
Веб-сервер |
Значение Расширенное использование ключа должно содержать Проверка подлинности сервера (1.3.6.1.5.5.7.3.1).
Поддерживается алгоритм хеширования SHA-2. |
Для System Center 2012 Configuration Manager без пакета обновления Этот сертификат используется для проверки подлинности точек обновления программного обеспечения для балансировки сетевой нагрузки при обращении клиента и для шифрования всех данных, передаваемых между клиентом и этими серверами с использованием протокола SSL.
|
||
Серверы систем сайтов, на которых работает Microsoft SQL Server |
Проверка подлинности сервера |
Веб-сервер |
Значение Расширенное использование ключа должно содержать Проверка подлинности сервера (1.3.6.1.5.5.7.3.1). Имя субъекта должно содержать полное доменное имя в интрасети. Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
Этот сертификат должен размещаться в личном хранилище сертификатов на компьютере. Configuration Manager автоматически копирует его в хранилище доверенных лиц для серверов в иерархии Configuration Manager, для чего может потребоваться установить отношения доверия с сервером. Эти сертификаты используются для проверки подлинности уровня "сервер-сервер". |
||
Кластер SQL Server: серверы систем сайтов, на которых работает Microsoft SQL Server |
Проверка подлинности сервера |
Веб-сервер |
Значение Расширенное использование ключа должно содержать Проверка подлинности сервера (1.3.6.1.5.5.7.3.1). Имя субъекта должно содержать полное доменное имя кластера в интрасети. Закрытый ключ должен быть доступен для экспорта. При настройке Configuration Manager для использования кластера SQL срок действия сертификата должен быть не менее двух лет. Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
После запроса и установки сертификата в одном узле кластера экспортируйте этот сертификат и импортируйте его в каждый дополнительный узел кластера SQL Server. Этот сертификат должен размещаться в личном хранилище сертификатов на компьютере. Configuration Manager автоматически копирует его в хранилище доверенных лиц для серверов в иерархии Configuration Manager, для чего может потребоваться установить отношения доверия с сервером. Эти сертификаты используются для проверки подлинности уровня "сервер-сервер". |
||
Мониторинг системы сайта для следующих ролей системы сайта:
|
Проверка подлинности клиента |
Проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Для компьютеров необходимо указать уникальные значения в поле "Имя субъекта" и "Альтернативное имя субъекта".
Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
Этот сертификат является обязательным для перечисленных серверов системы сайта, даже если клиент System Center 2012 Configuration Manager не установлен. Он необходим для отслеживания работоспособности таких ролей системы сайта и передачи этих данных в сайт. Этот сертификат для этих систем сайта необходимо разместить в личном хранилище сертификатов на компьютере. |
||
Серверы, на которых выполняется модуль политики Configuration Manager со службой роли службы регистрации сетевых устройств. |
Проверка подлинности клиента |
Проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Специальные требования к субъекту сертификата или дополнительному имени субъекта (SAN) отсутствуют, поэтому один и тот же сертификат можно использовать для нескольких серверов, на которых выполняется служба регистрации сетевых устройств. Поддерживаются алгоритмы хеширования SHA-2 и SHA-3. Поддерживаемая длина ключей: 1024 бит и 2048 бит. |
Сведения в этом разделе относятся только к версиям System Center 2012 R2 Configuration Manager. Этот сертификат проверяет подлинность модуля политики Configuration Manager на сервере системы сайта точки регистрации сертификатов, чтобы Configuration Manager мог регистрировать сертификаты для пользователей и устройств. |
||
Системы сайта с установленной точкой распространения |
Проверка подлинности клиента |
Проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Особые требования к субъекту сертификата или дополнительному имени субъекта (SAN) отсутствуют, поэтому один и тот же сертификат можно использовать для нескольких точек распространения. Однако мы рекомендуем использовать разные сертификаты для каждой точки распространения. Закрытый ключ должен быть доступен для экспорта. Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
Этот сертификат используется в следующих двух целях.
Этот сертификат необходимо экспортировать в формате PKCS 12, и пароль должен быть известен, чтобы его можно было импортировать в свойства точки распространения.
|
||
Точка обслуживания аппаратного контроллера управления |
Инициализация AMT |
Веб-сервер (изменено) |
Расширенное использование ключа должно содержать значение Проверка подлинности сервера (1.3.6.1.5.5.7.3.1) и следующий идентификатор объекта: 2.16.840.1.113741.1.2.3. В поле имени субъекта должно быть указано полное доменное имя сервера, на котором размещается точка обслуживания аппаратного контроллера управления.
SHA-1 — единственный поддерживаемый хэш-алгоритм. Поддерживаемая длина ключей: 1024 и 2048. Для AMT 6.0 и более поздних версий также поддерживается длина ключа 4096 бит. |
Этот сертификат размещается в личном хранилище сертификатов компьютера сервера системы сайта точки обслуживания аппаратного контроллера управления. Этот сертификат инициализации AMT используется для подготовки компьютеров к управлению с помощью аппаратного контроллера управления. Этот сертификат необходимо запросить в ЦС, поддерживающем сертификаты инициализации AMT. В расширении BIOS для компьютеров, основанных на технологии Intel AMT, должно быть задано использование отпечатка корневого сертификата (также называемого хэшем сертификатов) для этого сертификата инициализации. Типичным примером внешнего ЦС, выдающего сертификаты инициализации AMT, является VeriSign, однако вы можете использовать собственный внутренний ЦС. Установите сертификат на сервер, на котором размещается точка обслуживания аппаратного контроллера управления, которая должна успешно прослеживать цепочку сертификатов до корневого ЦС сертификата (по умолчанию сертификат корневого ЦС и сертификат промежуточного ЦС для VeriSign устанавливаются при установке Windows). |
||
Сервер системы сайта, на котором работает соединитель Microsoft Intune. |
Проверка подлинности клиента |
Не применяется: Intune автоматически создает этот сертификат. |
Значение "Расширенное использование ключа" содержит проверку подлинности клиента (1.3.6.1.5.5.7.3.2). 3 пользовательских расширения однозначно идентифицируют подписку Intune клиентов. Ключ имеет размер в 2048 бит и использует алгоритм хэширования SHA-1.
|
Этот сертификат автоматически запрашивается и устанавливается в базу данных Configuration Manager при подписке на Microsoft Intune. Затем, при установке соединителя Microsoft Intune, этот сертификат устанавливается на сервер системы сайта, на котором работает соединитель Microsoft Intune. Он устанавливается в хранилище сертификатов на компьютере. Этот сертификат используется для проверки подлинности иерархии Configuration Manager в Microsoft Intune с помощью соединителя Microsoft Intune. Все данные передаются между ними с помощью протокола SSL. |
Прокси-веб-серверы для интернет-управления клиентами
Если сайт поддерживает интернет-управление клиентами, и для входящих подключений к Интернету используется прокси-веб-сервер с завершением запросов SSL (мостом), то на прокси-веб-сервере потребуются сертификаты, перечисленные в следующей таблице.
.jpeg "System_CAPS_note") Примечание |
|---|
Если же используется прокси-веб-сервер без завершения запросов SSL (туннелирование), то на прокси-веб-сервере дополнительные сертификаты не нужны. |
Компонент сетевой инфраструктуры |
Назначение сертификата |
Используемый шаблон сертификата (Майкрософт) |
Особые сведения в сертификате |
Использование сертификата в Configuration Manager |
|---|---|---|---|---|
Прокси-веб-сервер, принимающий подключения клиентов через Интернет |
Проверка подлинности сервера и клиента |
|
Полное доменное имя в Интернете в поле "Имя получателя" или "Альтернативное имя получателя". (Если используются шаблоны сертификатов Майкрософт, то альтернативное имя получателя доступно только для шаблонов рабочих станций.) Поддерживается алгоритм хеширования SHA-2. |
Этот сертификат используется для проверки подлинности перечисленных ниже серверов при обращении интернет-клиентов и для шифрования всех данных, передаваемых между клиентом и этим сервером с использованием протокола SSL:
Проверка подлинности клиента используется для подключения клиентов System Center 2012 Configuration Manager к системам сайта в Интернете. |
Сертификаты PKI для клиентов
Компонент Configuration Manager |
Назначение сертификата |
Используемый шаблон сертификата (Майкрософт) |
Особые сведения в сертификате |
Использование сертификата в Configuration Manager |
||
|---|---|---|---|---|---|---|
Клиентские компьютеры Windows |
Проверка подлинности клиента |
Проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Для клиентских компьютеров в полях "Имя субъекта" и "Альтернативное имя субъекта" должно быть указано уникальное значение.
Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
По умолчанию Configuration Manager ищет сертификаты компьютера в личном хранилище сертификатов на компьютере. За исключением точки обновления программного обеспечения и точки веб-сайта каталога приложений этот сертификат используется для проверки подлинности клиента при обращении серверов системы сайта, на которых выполняются службы IIS и для которых настроено использование протокола HTTPS. |
||
Клиенты мобильных устройств |
Проверка подлинности клиента |
Проверенный сеанс |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). SHA-1 — единственный поддерживаемый хэш-алгоритм. Максимальный поддерживаемый размер ключа составляет 2048 бит.
|
Этот сертификат используется для проверки клиента мобильного устройства при обращении серверов системы сайта, с которыми он обменивается данными, таких как точки управления и точки распространения. |
||
Загрузочные образы для развертывания операционных систем |
Проверка подлинности клиента |
Проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Нет каких-либо определенных требований к имени субъекта или альтернативному имени субъекта сертификата. Можно использовать один и тот же сертификат для всех загрузочных образов. Закрытый ключ должен быть доступен для экспорта. Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
Этот сертификат используется, если последовательность задач при развертывании операционной системы включает такие действия клиента, как извлечение политики клиента или отправка сведений инвентаризации. Этот сертификат используется только во время развертывания операционной системы и не устанавливается на клиент. Поскольку этот сертификат используется временно, то можно использовать один и тот же сертификат при каждом развертывании операционной системы, если нет другой необходимости использовать несколько сертификатов. Этот сертификат необходимо экспортировать в формате PKCS 12, и пароль должен быть известен, чтобы его можно было импортировать в загрузочные образы Configuration Manager.
|
||
Клиентские компьютеры Mac |
Проверка подлинности клиента |
Для регистрации Configuration Manager:проверенный сеанс Для установки сертификата независимо от Configuration Manager: проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Для Configuration Manager, создающего сертификат пользователя, значение "Субъект" сертификата автоматически заполняется именем пользователя лица, зарегистрировавшего компьютер Mac. Для установки сертификата, которая не использует регистрацию Configuration Manager, а разворачивает сертификат компьютера независимо от Configuration Manager, значение "Субъект" сертификата должно быть уникальным. Например, можно указать полное доменное имя компьютера. Поле "Альтернативное имя субъекта" не поддерживается. Поддерживается алгоритм хеширования SHA-2. Максимальный поддерживаемый размер ключа составляет 2048 бит. |
Для System Center 2012 Configuration Manager с пакетом обновления 1 (SP1) и более поздних версий: Этот сертификат используется для проверки клиентского компьютера Mac при обращении серверов системы сайта, с которыми он обменивается данными, таких как точки управления и точки распространения. |
||
Клиентские компьютеры Linux и UNIX |
Проверка подлинности клиента |
Проверка подлинности рабочей станции |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Поле "Альтернативное имя субъекта" не поддерживается. Закрытый ключ должен быть доступен для экспорта. Поддерживается алгоритм хэширования SHA-1. Хэш-алгоритм SHA-2 поддерживается в том случае, если операционная система клиента поддерживает SHA-2. Дополнительные сведения см. в разделе О Linux и UNIX операционных систем, выполните не поддерживающие SHA-256 статьи Планирование развертывания клиента для серверов Linux и UNIX. Поддерживаемая длина ключей: 2048 бит.
|
Для System Center 2012 Configuration Manager с пакетом обновления 1 (SP1) и более поздних версий: Этот сертификат используется для проверки клиента Linux и UNIX при обращении серверов системы сайта, с которыми он обменивается данными, таких как точки управления и точки распространения. Этот сертификат должен быть экспортирован в формате PKCS#12, и чтобы его можно было указывать клиенту при указании сертификата PKI, необходимо знать пароль. Дополнительные сведения см. в разделе Планирование безопасности и сертификаты для серверов Linux и UNIX статьи Планирование развертывания клиента для серверов Linux и UNIX. |
||
Сертификаты корневых центров сертификации (ЦС) в следующих случаях:
|
Цепочка сертификатов до надежного источника |
Неприменимо. |
Стандартный сертификат корневого ЦС. |
Сертификат корневого ЦС необходимо указывать, если клиенты должны будут отслеживать цепочку сертификатов сервера, с которым они обмениваются данными, до доверенного источника. В качестве примеров можно привести следующие случаи:
Кроме того, сертификат корневого ЦС для клиентов необходимо указать, если сертификаты клиентов выдаются иерархией ЦС, которая отличается от иерархии ЦС, выдавшей сертификат точки управления. |
||
Компьютеры на базе технологии Intel AMT |
Проверка подлинности сервера |
Веб-сервер (изменено) Необходимо задать имя субъекта для параметра Строится на основе данных Active Directory, а затем для параметра Формат имени субъекта выбрать Общее имя. Универсальной группе безопасности, указанной в свойствах компонента управления с помощью аппаратного контроллера управления, необходимо предоставить разрешения Чтение и Регистрация. |
Значение Расширенное использование ключа должно содержать Проверка подлинности сервера (1.3.6.1.5.5.7.3.1). Имя субъекта должно содержать полное доменное имя компьютера, основанного на технологии AMT, которое автоматически задается доменными службами Active Directory. SHA-1 — единственный поддерживаемый хэш-алгоритм. Максимальная поддерживаемая длина ключа: 2048 бит. |
Этот сертификат размещается в энергонезависимом ОЗУ контроллера управления на компьютере. Он недоступен для просмотра из интерфейса пользователя Windows. Все компьютеры на базе технологии Intel AMT запрашивают этот сертификат во время инициализации AMT, а также для последующих обновлений. Если удалить данные инициализации AMT с этих компьютеров, они отзовут этот сертификат. При установке этого сертификата на компьютеры, основанные на Intel AMT, также устанавливается цепочка сертификатов до корневого ЦС. Компьютеры, основанные на АМТ, не поддерживают сертификаты центров сертификации, которые имеют длину ключа более 2048 бит. После установки этого сертификата он подтверждает подлинность компьютеров, основанных на AMT, при обращении сервера системы сайта точки обслуживания аппаратного контроллера управления и компьютеров, на которых выполняется консоль управления аппаратного контроллера управления, а также шифрует все данные, которыми они обмениваются, с помощью протокола TLS. |
||
Сертификат клиента 802.1X для Intel AMT |
Проверка подлинности клиента |
Проверка подлинности рабочей станции Необходимо задать имя субъекта для параметра Строится на основе данных Active Directory, затем для параметра Формат имени субъекта выбрать Общее имя, очистить DNS-имя и выбрать имя участника-пользователя (UPN) в качестве альтернативного имени субъекта. Универсальной группе безопасности, указанной в свойствах компонента управления с помощью аппаратного контроллера управления, необходимо предоставить разрешения Чтение и Регистрация для этого шаблона сертификата. |
Значение Расширенное использование ключа должно содержать Проверку подлинности клиента (1.3.6.1.5.5.7.3.2). Поле "Имя субъекта" должно содержать полное доменное имя компьютера, основанного на технологии AMT. В поле "Альтернативное имя субъекта" необходимо указать имя участника-пользователя (UPN). Максимальная поддерживаемая длина ключа: 2048 бит. |
Этот сертификат размещается в энергонезависимом ОЗУ контроллера управления на компьютере. Он недоступен для просмотра из интерфейса пользователя Windows. Все компьютеры, основанные на технологии Intel AMT, могут запросить этот сертификат во время инициализации AMT, однако они не отзывают его при удалении соответствующих данных инициализации AMT. После установки этого сертификата на компьютерах, основанных на AMT, он используется для проверки подлинности AMT-компьютеров при обращении сервера RADIUS, после чего им разрешается доступ к сети. |
||
мобильные устройства, зарегистрированные с помощью Microsoft Intune; |
Проверка подлинности клиента |
Не применяется: Intune автоматически создает этот сертификат. |
Значение "Расширенное использование ключа" содержит проверку подлинности клиента (1.3.6.1.5.5.7.3.2). 3 пользовательских расширения однозначно идентифицируют подписку Intune клиента. Пользователи могут предоставлять значение "Субъект" сертификата во время регистрации. Однако это значение не используется Intune для идентификации устройства. Ключ имеет размер в 2048 бит и использует алгоритм хэширования SHA-1.
|
Этот сертификат автоматически запрашивается и устанавливается, когда прошедшие проверку подлинности пользователи регистрируют свои мобильные устройства с помощью Microsoft Intune. Итоговый сертификат на устройство размещается в хранилище компьютера и проверяет зарегистрированное мобильное устройство в Intune, чтобы им можно было управлять. Вследствие пользовательских расширений в сертификате проверка подлинности ограничивается проверкой в отношении подписки Intune, которая установлена для организации. |