[News] Azure AD CBA : Authentification base sur les certificats en preview

Microsoft a rendu publique la pré-version de la solution d'authentification basée sur des certificats avec Azure AD / Office 365.

La solution permet de d'utiliser une infrastructure à clé public d'entreprise et des certificats X.509.

Avant la mise à disposition en mode natif dans Azure AD de l'authentification par certificat, il fallait configurer une infrastructure de fédération d'identité comme AD FS pour utiliser des certificats.

[AD CS] Configurer IIS avec https

Dans cet article nous allons configurer les services IIS du rôle serveur d'inscription Web AD CS.

Vous pouvez consulter l'article suivant : [AD CS] Créer un nouveau modèle, pour créer un modèle de certificat Web.

Après avoir créé le modèle, vous pouvez générer un certificat pour les services Web IIS utilisé par le service d'inscription Web en suivant le lien [AD CS] Demander un certificat.

[AD CS] Demander un certificat pour l’utilisateur ou l’ordinateur

Il existe plusieurs méthodes pour soumettre une demande de certificat à une autorité AD CS. Une des méthodes consistes à utiliser la console « mmc » du magasin de certificat de l'utilisateur « certmgr.msc » ou de l'ordinateur « certlm.msc ». Dans notre exemple, nous allons demander un certificat de type « serveur Web-2 ans » pour le compte de l'ordinateur. Ouvrez la console « certmgr.msc », puis sélectionnez « personnel » et faites un clic droit sur « certificats ». Sélectionnez « toutes les tâches » et « demander un nouveau certificat ».

[AD CS] Créer un nouveau modèle

 

Vous pouvez gérer et créer les modèles de certificats stockés dans la partition de configuration d'un annuaire Active Directory depuis la console « MMC.exe », « modèle de certificat ».

 

Vous pouvez également accéder à cette console depuis la console de gestion de l'autorité de certification. Sur le volet de gauche, faites un clic droit sur « modèles de certificats » puis cliquez sur « gérer ».

[AD CS] Modèle de certificat délivré par défaut

 

Lors de l'installation d'une autorité de certification d'entreprise (intégrée dans un domaine Active Directory), des modèles de certificat sont proposés par défaut. Si vous disposez de plusieurs Autorités dans la même forêt Active Directory, vous pourrez constater que les modèles sont disponibles sur l'ensemble de vos autorités. En effet, les modèles sont enregistrés dans la partition de configuration unique au sein d'une forêt Active Directory. Dans une autorité de certification autonome, donc non lié à un domaine Active Directory, vous n'aurez pas de modèle.

[AD CS] Modèle de certificats

 

Les modèles de certificat vont dépendre des usages qui en sont fait. Les certificats peuvent être utilisés pour une ou plusieurs finalités comme l'authentification, la signature ou le chiffrement.

Les certificats possèdent un certain nombre de valeur comme par exemple, l'usage du certificat, la date de fin de validité, le lien vers la liste de révocation.

Le contenu des informations présent dans les certificats est décrit dans la norme X509.

Cet article n'a pas pour but de détailler la norme en question.

[AD CS] Configuration du service d’inscription Web

Nous venons d'ajouter le rôle d'inscription via le Web sur notre autorité de certification. L'étape suivante consiste à configurer IIS afin de créer le site. Le gestionnaire de serveur nous propose de lancer la configuration post installation.

La configuration du site ne demande pas de paramétrage particulier, mais il est conseillé de réaliser les étapes suivantes, notamment la configuration de IIS pour utiliser https avec un certificat de serveur WEB.

[AD CS] Installation du rôle d’inscription Web

 

L'installation du rôle d'inscription Web se déroule en deux étapes. La première étape est l'ajout du rôle depuis le gestionnaire de serveur ou avec PowerShell.

Ouvrez le gestionnaire de serveur, puis cliquez sur « gérer » puis « ajouter des rôles et fonctionnalités ». Sur la page « avant de commencer » cliquez sur « suivant ».

 

[AD CS] Configurer la publication la liste de révocation

Nous avions déjà vu comment publier la liste de révocation sur un serveur racine autonome, généralement conservé hors ligne. Dans le cas d'une autorité secondaire d'entreprise, nous avons vu dans les paragraphes précédents, comment donner accès au serveur directement sur un partage à la source de la diffusion de la CRL. Il n'y a donc pas besoin de la copier manuellement sur le point de diffusion.

Depuis la console de l'autorité de certification ou « certsrv.msc », faites un clic droit sur « certificats révoqués » puis « toutes les tâches » et « publier».

[AD CS] Configurer la durée de vie de la liste de révocations

 

Nous avions déjà vu dans l'article précédent comment gérer la durée de vie des listes de révocation sur l'autorité de certification racine autonome. Le principe de configuration reste identique, dans le cas de l'autorité secondaire d'entreprise. Cependant, dans le cas de l'autorité secondaire intégré dans Active Directory, nous allons publier les informations automatiquement sur un partage de fichier.

Pour configurer l'autorité secondaire, ouvrez la console « Autorité de certification » ou « certsrv.msc ».

[AD CS] Configuration des extensions et distribution des fichier

 

Nous avons déjà vu dans un chapitre précédent comment configurer les extensions pour l'autorité racine. Comme pour l'autorité racine, les informations à publier sont le certificat de l'autorité ainsi que les listes de révocation. Dans une autorité d'entreprise, il est possible de stocker ces informations sur plusieurs emplacements.

Par défaut, ces informations sont enregistrées dans l'annuaire Active Directory avec des liens LDAP.

[AD CS] Importer le certificat de l’autorité secondaire

 

Nous allons revenir sur la session sur le serveur « CA-ADCSSub », hébergeant l'autorité secondaire d'entreprise. Nous ouvrons la console de l'autorité de certification « certsrv.msc ». Faites un clic droit sur le nom de l'autorité, puis « toutes les tâches » et « installer un certificat d'autorité de certification ».

 

Sélectionner le certificat de l'autorité secondaire que vous avez créé puis cliquez sur « ouvrir ».

 

[AD CS] Générer le certificat de l’autorité secondaire

 

Dans l'étape précédente, nous avons utilisé l'assistant de configuration des services AD CS, afin de configurer une autorité secondaire d'entreprise. Lors de la configuration, nous avons généré, un fichier de requête à soumettre à l'autorité racine afin de générer le certificat de l'autorité secondaire.

Le fichier en question se trouve sur la racine du disque « c : » de notre serveur « CA-ADCSSub ».

Par défaut, AD CS utilise des fichiers avec une extension « .req ».

[AD CS] Configuration d’une autorité secondaire d’entreprise

 

Après avoir installé le rôle AD CS, il faudra exécuter l'assistant de configuration des services de certificats Active Directory, proposé dans les tâches post déploiement sur le gestionnaire de serveur.

Sur la page « Informations d'identification », conserver le compte de la session qui dispose des droits d'administrations. Par défaut, il s'agit du compte « administrateur » sur la version française. Cliquez sur « suivant ».

 

[AD CS] Installation des binaires ADCS avec Powershell

 

Nous allons configurer un serveur en tant qu'autorité de certification secondaire d'entreprise. Cette autorité sera en mesure de créer différents types de certificats, comme des certificats pour des services Web.

Le serveur qui détiendra le rôle est « CA-ADCSSub ». Il sera membre du domaine Active Directory et dispose d'une adresse IP fixe.

[AD CS] Diffuser le certificat racine par GPO

Nous avons vu dans les étapes précédentes, la mise en œuvre d'une autorité de certification racine autonome avec AD CS. Lors de l'installation, nous avons généré le certificat de l'autorité. Pour que les postes de travails et les serveurs de votre domaine Active Directory acceptent de faire confiance à cette autorité, il est nécessaire d'ajouter le certificat de l'autorité racine dans le magasin des autorités racine de confiance des différents postes.

[AD CS] Publication de la CRL avec IIS

 

Dans les étapes précédentes, nous avions installé une autorité de certification racine autonome. Cette autorité n'est pas accessible directement sur le réseau. Il nous faut maintenant configurer un site IIS sur un autre serveur afin de rendre disponible le certificat de l'autorité racine ainsi que la liste de révocation. Nous avions vu dans une étape précédente comment récupérer ces deux fichiers.

[AD CS] Configuration de la durée de vie des certificats

 

Pour modifier la durée de vie des certificats dans une autorité de certification Microsoft, il faut modifier une clé de registre. Avec une autorité de certification d'entreprise intégrée dans un domaine Active Directory, la durée de vie d'un certificat dépend du modèle de certificat sans pouvoir excéder la durée de vie du certificat de l'autorité ni de la durée de la clé de registre suivante.

Dans une autorité autonome, vous n'avez pas de modèle de certificats et vous ne pouvez donc pas définir de durée de certificat depuis un modèle.

[AD CS] Générer manuellement une nouvelle liste de révocation

 

Vous pouvez générer une nouvelle liste de révocation, même si la précédente n'a pas encore expiré. Il est même préférable de la renouveler et de la rendre disponible avant l'expiration.

Pour générer la liste de révocation, ouvrez la console « autorité de certificat », faites un clic droit sur « certificats révoqués », puis « toutes les tâches » et « publier ».

[AD CS] Configuration des extensions CA Root

 

Parmi les éléments importants dans la configuration d'une autorité de certification, il y a les extensions. Ces extensions sont généralement présentes sur les certificats que l'autorité émet et permettent de définir un lien vers le certificat de l'autorité racine ainsi qu'un lien vers la liste des certificats révoqués. Le principe de configuration est le même pour une autorité racine autonome ou pour une autorité d'entreprise. Néanmoins certains éléments, comme la publication de la liste de révocation dans Active Directory n'est exploitable que dans une autorité d'entreprise.

[AD CS] Configuration de la CA Racine

 

Après avoir installé le rôle AD CS, nous allons configurer l'autorité et générer le certificat de l'autorité racine. Dans le gestionnaire de serveur, l'étape « installation de fonctionnalité » devrait être terminé et une étape de configuration post-déploiement vous est proposé. Cliquez sur « Configurer les services de certificats Active Directory ».

[AD CS] Installation du rôle AD CS

 

Depuis le gestionnaire de serveur, ouvrez l'assistant d'ajout de rôles et de fonctionnalités ».

Sur la page « Avant de commencer », cliquez sur « suivant »

Sur la page « Type d'installation », conservez l'option « installation basée sur un rôle ou une fonctionnalité », puis « suivant ».

Sur la page « Sélection du serveur », sélectionnez le serveur local puis « suivant ».

[AD CS] Présentation de l’environnement

Dans notre exemple et pour les articles à venir, nous disposons de deux contrôleurs de domaine lab2016dc1 et lab2019dc2. Le nom de domaine du lab est « htrab.lan ».

Nous allons créer une autorité racine « CA-Root » autonome et déconnectée du réseau. Nous choisissons une durée de vie du certificat de l'autorité racine de 30 ans et la durée de vie des CRL de 3 mois. L'autorité racine n'aura d'autre but que de générer des certificats pour l'autorité secondaire d'entreprise AD CS.

[AD CS] Planification d’une autorité AD CS

 

Avant de débuter, il faudra répondre à quelques questions. Le premier élément est d'identifier les types de certificats et l'utilisation qui en sera faites.

Il faudra définir si vous devez publier en format web, la liste de révocation et les informations de l'autorité (AIA), ou si la publication dans l'AD, existant par défaut est suffisante pour votre usage.

[Active Directory] Verrouillage des comptes et audit

Dans cet article, nous allons voir le suivi du verrouillage de compte par suite d'une succession de tentatives de connexion avec un mot de passe erroné.

L'environnement de test est composé de deux contrôleurs de domaine : LAB2016dc1 et LAB2019DC2 et d'un poste client Windows 10 LABCL1. Tous les rôles FSMO sont gérés par LAB2016DC1.

La stratégie de verrouillage a été définie dans la GPO « Default Domain Policy ». Nous avons défini un verrouillage de 10 minutes si pendant une durée de 10 minutes, 3 mauvais mot de passe sont saisie.

[AD PowerShell] Déterminé la stratégie de mot de passe appliquée

J'avais déjà publié un message sur la stratégie de mot de passe affiné et sur la commande « Get-ADUserResultantPasswordPolicy » ainsi qu'un article plus détaillé sur la stratégie de mot de passe dans un domaine Active Directory.

[News] Disponibilité de Windows 11

 

Vous savez sans doute déjà que la nouvelle version de Windows client : Windows 11.

Vous pouvez télécharger Windows 11 à l'adresse : https://www.microsoft.com/en-us/software-download/windows11

Vous pouvez également consulter les prérequis matériels en cliquant sur le lien : https://www.microsoft.com/fr-fr/windows/windows-11-specifications

 

 

 

Pages

S'abonner à Philippe BARTH RSS