Windows-Autoenrollment einfach erklärt: AD CS und Zertifikatvorlagen

In Windows-Netzen bekommen Computer und Benutzer ihre Zertifikate meist, ohne dass jemand etwas klickt: Der Rechner startet, holt sich ein Zertifikat für WLAN und VPN, und der Benutzer erhält beim Anmelden eines für E-Mail-Signaturen. Möglich machen das die Active Directory Certificate Services (AD CS), Zertifikatvorlagen und die automatische Registrierung (Autoenrollment) per Gruppenrichtlinie. Dieser Artikel erklärt, wie die Teile zusammenspielen, welche Vorlageneinstellungen wichtig sind, wie man die Registrierung anstößt und prüft und wofür die Webdienste CEP und CES gut sind.

Die Bausteine

Unternehmens-CA: eine Zertifizierungsstelle, die in Active Directory eingebunden ist. Nur sie kann mit Vorlagen und Autoenrollment arbeiten. Zur Rolle einer CA siehe Zertifizierungsstelle einfach erklärt.
Zertifikatvorlagen: Bauanleitungen für Zertifikate, gespeichert in der Konfigurationspartition von Active Directory. Sie legen Zweck, Laufzeit, Schlüssel, Namen und Berechtigungen fest.
Gruppenrichtlinie: schaltet die automatische Registrierung für Computer und Benutzer ein.
Der Windows-Client: prüft regelmäßig, für welche Vorlagen er berechtigt ist, und beantragt fehlende oder bald ablaufende Zertifikate selbst.

Grundlagen zu Active Directory erklärt Active Directory und LDAP.

Vier Kästen nacheinander: Unternehmens-CA, Zertifikatvorlage mit Zweck, Laufzeit und Rechten, Gruppenrichtlinie und der Windows-Client, der selbst beantragt und erneuert. — Wie die Teile des Autoenrollments zusammenspielen.

Zertifikatvorlagen: was darin steht

Eine Vorlage hat viele Registerkarten. Die wichtigsten Einstellungen:

Gültigkeit und Erneuerung: zum Beispiel ein Jahr Laufzeit und ein Erneuerungszeitraum von sechs Wochen. Erreicht ein Zertifikat diesen Zeitraum vor Ablauf, erneuert der Client es von selbst.
Zweck (Anwendungsrichtlinien): etwa Client-Authentifizierung für WLAN und VPN, Server-Authentifizierung für Webserver oder sichere E-Mail.
Antragstellername: Entweder baut die CA den Namen aus den Daten in Active Directory (sicher), oder der Antragsteller darf ihn selbst angeben (riskant, dazu gleich mehr).
Kryptographie: Algorithmus, Mindestschlüssellänge, Anbieter (etwa der Schlüsselspeicher des TPM) und ob der private Schlüssel exportierbar ist.
Ausstellungsvoraussetzungen: Freigabe durch einen Zertifikatsverwalter oder Signatur eines Registrierungsagenten.
Sicherheit: wer die Vorlage lesen, damit registrieren (Enroll) und automatisch registrieren (Autoenroll) darf.

Vorlagen haben Schema-Versionen von 1 bis 4. Die eingebauten Vorlagen der Version 1, etwa „Computer“ und „Benutzer“, lassen sich nicht ändern. Üblich ist, eine Vorlage zu duplizieren, anzupassen und dann auf der CA zur Ausstellung freizugeben.

Autoenrollment einschalten

Damit ein Computer automatisch ein Zertifikat bekommt, braucht es drei Dinge:

Die Vorlage ist auf der CA veröffentlicht.
Die Gruppe (etwa „Domänencomputer“) hat auf der Vorlage die Rechte Lesen, Registrieren und Automatisch registrieren.
Eine Gruppenrichtlinie aktiviert den Client: Computerkonfiguration, Richtlinien, Windows-Einstellungen, Sicherheitseinstellungen, Richtlinien für öffentliche Schlüssel, Eintrag Zertifikatdienste-Client: Automatische Registrierung. Dort stellt man das Konfigurationsmodell auf „Aktiviert“ und setzt die Häkchen für Erneuern, Aktualisieren und Entfernen gesperrter Zertifikate sowie für Aktualisierungen von Vorlagen.

Für Benutzer gibt es denselben Eintrag unter Benutzerkonfiguration.

Tabelle: Domänencomputer haben Lesen, Registrieren und Automatisch registrieren, Domänen-Admins nur Lesen und Registrieren, authentifizierte Benutzer nur Lesen. — Beispiel für die Rechte auf einer Computer-Vorlage.

Wann Windows registriert und wie man es prüft

Der Client prüft beim Start, bei der Anmeldung und danach etwa alle acht Stunden. Wer nicht warten will, stößt die Prüfung an:

gpupdate /force
certutil -pulse
certutil -pulse -user

Ob es geklappt hat, zeigen die Zertifikatspeicher. In PowerShell listet dieser Befehl die Computerzertifikate mit Ablaufdatum:

Get-ChildItem Cert:\LocalMachine\My | Format-List Subject, Issuer, NotAfter

Ein Zertifikat für eine bestimmte Vorlage kann man auch direkt anfordern, hier für die Vorlage mit dem internen Namen „Machine“:

certreq -enroll -machine -q Machine

Fehler landen im Anwendungsprotokoll unter der Quelle CertificateServicesClient-AutoEnrollment. Häufige Ursachen: fehlende Rechte auf der Vorlage, Vorlage nicht auf der CA veröffentlicht oder das CA-Zertifikat steht nicht im vertrauenswürdigen Speicher. Wie Zertifikatsketten geprüft werden, erklärt Zertifikatskette einfach erklärt.

Zeitleiste über 365 Tage: Ab Tag 323, sechs Wochen vor Ablauf, erneuert der Windows-Client das Computerzertifikat; er prüft beim Start, bei der Anmeldung und etwa alle acht Stunden. — Rechenbeispiel zum Erneuerungszeitraum einer Vorlage.

Typische Vorlagen und Einsatzzwecke

Computer oder Arbeitsstationsauthentifizierung: WLAN mit 802.1X, VPN, Mutual TLS zu internen Diensten; siehe Mutual TLS.
Domänencontrollerauthentifizierung und Kerberos-Authentifizierung: für Domänencontroller, etwa für Smartcard-Anmeldung.
Benutzer: E-Mail-Signatur und Verschlüsselung mit S/MIME; siehe S/MIME einfach erklärt.
Webserver: interne Websites; hier ist der Name oft frei wählbar, deshalb darf nur eine kleine Gruppe von Administratoren registrieren.

CEP und CES: Registrierung über HTTPS

Autoenrollment setzt voraus, dass der Client Active Directory und die CA direkt per LDAP und RPC erreicht. Für Rechner außerhalb der Domäne, in anderen Gesamtstrukturen oder im Internet gibt es seit Windows Server 2008 R2 zwei Webdienste: Der Certificate Enrollment Policy Web Service (CEP) liefert die Vorlagen, der Certificate Enrollment Web Service (CES) nimmt Anträge entgegen. Beide arbeiten über HTTPS, und seit Windows Server 2012 R2 können Clients ihr Zertifikat damit auch schlüsselbasiert erneuern. Für Mobilgeräte und Netzwerkgeräte ist dagegen SCEP über NDES üblich; siehe SCEP einfach erklärt.

Häufige Fragen

Warum bekommt mein Rechner kein Zertifikat? Meist fehlt das Recht „Automatisch registrieren“ auf der Vorlage, die Vorlage ist nicht auf der CA freigegeben, oder die Gruppenrichtlinie wurde noch nicht angewendet. gpupdate und certutil -pulse helfen beim Testen.

Sollte der private Schlüssel exportierbar sein? Nur wenn es einen Grund gibt, etwa für E-Mail-Verschlüsselung auf mehreren Geräten. Für Gerätezertifikate ist ein nicht exportierbarer Schlüssel, am besten im TPM, sicherer; siehe HSM und TPM.

Kann ich die eingebaute Vorlage „Computer“ ändern? Nein, sie hat Schema-Version 1. Duplizieren Sie sie und geben Sie die Kopie frei.

Funktioniert Autoenrollment ohne Domäne? Nicht direkt. Dafür gibt es CEP und CES oder Geräteverwaltung mit SCEP.

Fazit

Autoenrollment verbindet eine Unternehmens-CA, Zertifikatvorlagen mit passenden Rechten und eine Gruppenrichtlinie. Danach holen sich Computer und Benutzer ihre Zertifikate selbst und erneuern sie rechtzeitig. Sorgfalt verlangen die Vorlagen: Namen aus Active Directory, knappe Rechte und nicht exportierbare Schlüssel. Wie Angreifer Fehler in Vorlagen ausnutzen, ist das Thema des nächsten Beitrags dieser Reihe. Mehr in der Übersicht Verschlüsselung und IT-Sicherheit.