Birkaç hafta önce Twitter'da bir heves tweet atıyordum ve Active Directory'nin Microsoft'un şimdiye kadar ürettiği en büyük ürün olduğunu söyledim. Kısmen bir kavga seçmeyi söylüyordum ve elbette birisi Active Directory'nin "sadece LDAP" olduğunu söyleyerek cevap verdi. Linux üyesi olduğu için diğer Twitter üyelerini affedeceğim. Active Directory'nin özellikle memnun kaldığım kısmı, bir sertifikayı dağıtmak için sunuculara ve masaüstlerine yüzlerce ziyaret kaydedebileceğinden Grup İlkesi idi.
Neden sertifika dağıtmalıyım?
Bir sertifikayı dağıtmak için birkaç kullanım durumu vardır, ancak birincil durum dahili bir web hizmeti veya uygulaması için SSL aracılığıyla bir tür şifreleme oluşturmaktır. Bu sertifika kendinden imzalı (teşvik edilmez) veya güvenilir bir kök sertifika yetkilisi tarafından verilebilir. Güvenilen kök sertifika yetkilisi VeriSign, Thawte, Entrust ve diğer ajansları içerir.
Bir web hizmetine yüklenebilecek bireysel sertifikalar (yani ödediğinizler) dışında, temel sertifikaya erişmek için gerekli bir aracı sertifika veya çapraz zincir sertifikası olabilir. VeriSign bir aracı sertifikayı şu şekilde tanımlar:
SSL sertifikaları, SSL Sertifikanızın güvenliğini artıran iki katmanlı bir hiyerarşi (Güven Zinciri olarak da bilinir) kullanılarak bir Ara CA tarafından imzalanır. Doğru Ara CA sunucuya yüklenmemişse, müşterileriniz tarayıcı hatalarını görür ve daha fazla ilerlememeyi ve tarayıcılarını kapatmamayı seçebilir.Basitçe söylemek gerekirse, bu sertifika web hizmetinizde kullanılan SSL sertifikanızı anlamak için kullanılır. Sorun, ara sertifikayı birkaç sisteme dağıtmaktır ve bunu yapmanın en iyi yolunun Grup İlkesi aracılığıyla olduğunu hissediyorum. Bu ara sertifikayı bilgisayar hesabına dağıtmak için bir Grup İlkesi Nesnesi (GPO) oluşturmak, sertifika otomatik olarak yerel sisteme kaydedilir. Windows Server 2008 işletim sisteminde GPO aracılığıyla bir ara sertifika dağıtmak için, bu sertifika Güvenlik Ayarları'nın Ortak Anahtar İlkeleri bölümüne alınır ( Şekil A ). Şekil A
Büyütmek için resme tıklayın.İçe aktarma sihirbazı, ara sertifikayı içe aktarırken size yol gösterecektir; daha sonra GPO kaydedilebilir ve birkaç bilgisayar için bir Kuruluş Birimi'ne uygulanabilir. Daha sonra bilgisayar hesapları, sistem yeniden başlatıldığında veya Grup İlkesi yenilendiğinde kullanıcı müdahalesi olmadan ara sertifika alır. Şekil B, bundan sonra ara sertifikanın kurulacağı alanı göstermektedir. Şekil B
Büyütmek için resme tıklayın.
Sunucular ve iş istasyonları için kitlelere bir ara sertifika aktarmak söz konusu olduğunda, Grup İlkesi'nden daha iyi bir yol düşünemiyorum. Ara sertifikaları farklı bir yaklaşım kullanarak dağıttıysanız, deneyimlerinizi tartışmada paylaşın.
Pazartesi ve Çarşamba günleri yayınlanan TechRepublic Sunucular ve Depolama bülteni, veri merkezinizi yönetmenize ve optimize etmenize yardımcı olacak ipuçları sunar.