Grundlegende Verwaltungsaufgaben: Standorteinstellungen und Sitemodus

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

Vitel GmbH

Microsoft Deutschland GmbH

Tipps zur Vorbereitung von Public Key Infrastructure

Es muss sichergestellt sein, dass alle Computer in Active Directory automatisch der Stammzertifizierungsstelle vertrauen. Dies geschieht zwangsläufig, wenn die Stammzertifizierungsstelle auf einem Domänencontroller installiert ist, entsprechende Installationsoption vorausgesetzt. Ansonsten kann das Stammzertifikat über eine Gruppenrichtlinie oder über das Certutil-Kommando in den Enterprise Trust Store der Domäne gespeichert werden. Sollen nur einige Computer betroffen sein, dann kann das Zertifikat auch über eine Gruppenrichtline auf bestimmten Computer einer Organisationseinheit veröffentlicht werden.

Der native Modus benötigt ein Zertifikat zum Signieren des Standorts und eines für den Webzugriff. Zu beachten ist ebenfalls, dass jeder Standort sein eigenes Standortserversignierungszertifikat (site server signing certificate, siehe Abbildung 1) benötigt. Für die Installation dieses Zertifikats kann zusammenfassend wie Folgt vorgegangen werden:

Erstellen einer neuen Vorlage durch Duplizieren der Vorlage „Computer“ und der anschließenden Modifizierung. Für die Anwendungssicherheit des Zertifikats gilt die Einstellung „Document Signing“, die als einzige Anwendungsrichtlinie aktiv ist.
Das Zertifikat wird am Standortserver von der Zertifizierungsstelle mit Hilfe des Internet Browsers angefordert und anschließend erteilt. Es wird beispielsweise die URL http:///certsrv (siehe Abbildung 2) verwendet.
Im letzten Schritt wird das Zertifikat in den Zertifikatsspeicher geschrieben.

Das zweite wichtige Zertifikat ist das Web Server Zertifikat. Es lässt sich wie Folgt einrichten:

Erstellen einer Sicherheitsgruppe, in der alle Standortsysteme Mitglied sind, die Zertifikate benötigen.
Duplizieren der Vorlage „Web Server“ mit anschließender Anpassung. Die neu erstellte Sicherheitsgruppe erhält „Enroll“-Berechtigungen. Wie bei jeder Vorlage, muss auch diese Zertifikatsvorlage aktiviert werden.
Auf dem Standortserver wird die Web Server-Vorlage angefragt (siehe Abbildung 3).
Das neue Zertifikat wird im IIS der Internet-Site zugewiesen.
Über eine Gruppenrichtlinie wird ein Zertifikat auf Mitglieder der Domäne ausgerollt (Eintrag Automatic Certificate Request in der Gruppenrichtlinie)

Fazit

System Center Configuration Manager 2007 bietet gegenüber seinen Vorgängern eine wesentlich höhere Sicherheit, die sicherlich innerhalb eines bereits gesicherten Netzwerks weniger Verwendung finden wird. Hat das Netzwerk hingegen externe Komponenten, wie Internetcomputer oder fabrikneue Computer, können diese sicher über den nativen Standortmodus von SCCM und einer SSL-Verschlüsselung im HTTPS-Protokoll angesprochen werden.

weitere Beiträge unserer SCCM-Reihe im Überblick:

Microsoft SCCM, Teil 1: Mehr als zehn Jahre System-Management – ein Überblick
Microsoft SCCM, Teil 2: Technische Planung in der Vorprojektphase eines SCCM-Einsatzes
Microsoft SCCM, Teil 3: Einführung in die interne Verwaltungsstruktur
Microsoft SCCM, Teil 5: Grundlegende Verwaltungsaufgaben: Discovery und Clientinstallation
Microsoft SCCM, Teil 6: Agenten für die Verwaltung von stationären und mobilen Computern
Microsoft SCCM, Teil 7: WSUS 3.0 für Microsoft Updates verwenden
Microsoft SCCM, Teil 8: Softwareverteilung mit dem SCCM – grundlegende Server-Aufgaben
Microsoft SCCM, Teil 9: Softwareverteilung mit dem SCCM - Verteilung von Softwarepaketen und Kontrolle