ADCS(Microsoft CA局)の冗長化、負荷分散設計についてふと気になったので、調べてみました。まず、社内で簡単に証明書を発行するＣＡ局を構築したい場合は、ＡＤＣＳが便利です。 特に昨今話題になっているＬＤＡＰＳ通信の為に、ＡＤＣＳをいれておけば、自動でドメインコントローラ証明書を発行して、さらに自動更新までしてくれます。 もはや、必須ともいえるかもしれません。証明書関連の知識はちょっと難しいので、セキュリティのお勉強が必要になります。そして、これまで何度かＡＤＣＳを構築してきましたが、基本はシングル構成で、上位、下位の構成で構築することはあっても、発行ＣＡ局を複数、しかも冗長構成、負荷分散を意識したことがなかったので、調べてみました。 まずはこちらの情報が参考になりました。 証明書サービス（AD CS）の冗長化について 質問の抜粋です。 証明機関およびオンラインレスポンダの役割を
本記事では「Active Directory 証明書サービス」の証明書失効とCRL手動発行方法について紹介します。 ※この記事では、「Active Directory 証明書サービス」をADCS、「Certificate Revocation List」をCRLと表現します。 なお、ADCSの構築や配布については別途記事にしていますので、併せてご覧ください。 「Active Directory 証明書サービス」構築の流れ - JBS Tech Blog 【ADCS】証明書テンプレート作成・発行・配布方法 - JBS Tech Blog 【ADCS】証明書の自動登録設定 - JBS Tech Blog CRL（＝証明書失効リスト）とは 証明書失効と注意事項 証明書失効方法 CRL手動発行 まとめ CRL（＝証明書失効リスト）とは CRLとは、何らかの理由で有効期限前に失効したデジタル証明書(
Macを会社で使っているところがあるかもしれませんが、Windows Serverで構築したADCSの証明書を信頼しないという情報がありました。 こちら Macintosh does not trust certificate from ADCS 以下は質問の抜粋です。 === 2012 R2に基づく新しいADCSをセットアップし、オフラインルート証明書を使用するTier-2ソリューションを使用して、エンタープライズCAの動作に発行CAとOCSPがあります。現在のソリューションは、Windowsクライアントを使用して完全に機能します。非推奨以降、ハッシュにSHA-2を使用しましたが、今では問題が発生し始めています。また、Macintoshなどの非ドメインステーションでのみ使用できます。 Macintoshのキーチェーンでは証明書が信頼できないというメッセージが表示されるため、RADIUS認
先日お伝えしたADFS用の証明書作成の方法ですが、IISを使い、要求を作成してからWeb登録機能を用いて発行を行うというサポートツールをふんだんに利用した方法となっていました。 http://mitomoha.hatenablog.com/entry/2019/08/20/011035 実は、これらの対応はCUIを利用すればIIS、Web登録を利用しなくても実行できるということを最近知りました。 今回はその方法を連携していきたいと思います。 以下を実施前に前回もお伝えしていますが、以下のコマンドで別名を付けられるようにしておきましょう。 certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2 追加したら証明機関の再起動が必要です。 net stop certsvc net start certsvc 以下のサイトを
同じフォレスト、ドメイン内に複数のADCS 認証局を構築できるかということが気になったので調べてみたところ、問題なく構築できそうということが分かりました。 基本的に企業の同一フォレスト、ドメイン内に複数のADCS ルートCA局を構築することは少ないと思いますが、検証などで複数構築したいケースもあるかと思います。 どうして複数のCA局を構築しても問題がないかについて書かれています。 明確にするために、同じフォレストに複数のWindowsルートCAをインストールしてもまったく問題はありません。新しいPKIを展開し、準備が整うまで、ユーザーまたはコンピューターに証明書を発行しないようにすることができます。そして、これらすべてを行っている間、古いCAは、極端な偏見を持ってすぐに削除されるという事実に気付かずに動き続けます。 インストールする各Windows CAには、Active Director
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ADCS(Microsoft CA局)の冗長化、負荷分散設計について - CAFE BREAK
【ADCS】証明書失効・CRL手動発行方法 - JBS Tech Blog
MacがADCSの証明書を信頼しない - よろづやアンテナ
ADCSをコマンドプロンプトで利用してみました - （）のブログ
同じフォレスト、ドメイン内に複数のADCS ルートCA局を構築可能？ - CAFE BREAK