Aufgrund eines Fehlers und wahrscheinlich, weil ich nicht aufgepasst habe, habe ich bei der Migration von ESXi auf Hyper-V eine VM gelöscht, auf der meine Offline CA gespeichert war. Natürlich hatte ich ausgerechnet von diesem Zertifikat keine Datensicherung des privaten Schlüssels. Da in der Root CA auch noch ein Designfehler vorhanden war bzgl. der CRL, habe ich mich dazu entschieden, ein neues Root Zertifikat zu erstellen und die vorhandenen Designfehler zu korrigieren.
Da sieht man mal wieder, wie wichtig eine vernünftige Planung, auch in einer Testumgebung ist und das man natürlich die Datensicherung, gerade von kritischen Geräten nicht vergessen sollte 😉
Die Grundkonfiguration lässt sich mit folgenden Schritten schnell erledigen:
- 1. Standard-Installation von Windows Server 2008 R2 Enterprise Edition (Aktivierung auch gleich erledigen)
- Primären DNS-Suffix eintragen
- Unter C: ein Verzeichnis ADCS mit zwei Unterverzeichnissen “Database” und “Logs” anlegen
- Serverrolle Active Directory Zertifikatsdienste (Active Directory Certificate Services) installieren
- Bei Rollendiesten “Zertifizierungsstelle” auswählen
- Installationstyp “Eigenständig“
- Zertifizierungsstellentyp “Stammzertifizierungsstelle“
- Privater Schlüssel “Neuen privaten Schlüssel erstellen“
- Kryptografiediensteanbieter: “RSA#Microsoft Key Storage Provider“
- Schlüsselzeichenlänge “4096” (meine Empfehlung)
- Hashalgorithmus “SHA1“
- Allgemeiner Name dieser Zertifizierungsstelle “F1NaLByte Root Authority” (denkt euch euren eigenen aus 😉 )
- Gültigkeitsdauer, da es sich um eine Offline Root CA handelt, kann diese zwischen 20 und 30 Jahren liegen. Wenn dieses Zertifikat kompromitiert werden sollte, verliert es ohnehin seine Gültigkeit.
- Zertifikatdatenbank, auswählen des im Vorfeld angelegenten Database-Verzeichnis für die Datenbank und Logs-Verzeichnis für die Logs.
Restliche Abfragen mit Standardwerten bestätigen. Daraufhin ist die Rolle installiert.
Konfiguration Sperrlistenverteilungspunkt
Nun müssen die Sperrlisteninformationen angepasst werden, dass ist wichtig! Hier sind zunächst alle Einträge mit “ldap” und “file” zu löschen, siehe Bild.
Das ganze sollte, nach geänderter Konfiguration, folgendermaßen aussehen:
Konfiguration Stelleninformationen
Zuletzt sollte ebenfalls der Zugriff auf die Stelleninformationen angepasst werden.
Veröffentlichung der Sperrliste
Nächster Schritt ist die Konfiguration für das Veröffentlichungsintervall der Sperrliste. Da ich mit dieser Root CA nur meine Sub CA autorisiere, kann das Intervall ziemlich hoch eingestellt werden. Dies sollte aber im Einzelfall betrachtet werden. Bei Ausstellung von mehrere SubCA, sollte man das Intervall entsprechend der Anforderungen anpassen. In meinem Fall habe ich mich für 2 Jahre entschieden.
Nun muss noch die Zertifikatssperrliste veröffentlicht werden: 
Ist der “File-Pfad” nicht verändert worden, so befindet sich die veröffentlichte Sperrliste nun an folgendem Ort: “C:WindowsSystem32CertSrvCertEnroll”
Diese beiden Dateien können nun mit dem Root- Zertifikat exportiert werden. Die beiden Dateien müssen unter der konfigurierten URL auf dem Webserver zur Verfügung gestellt werden.
Damit ist die Konfiguration der Offline Root CA abgeschlossen und alle notwendigen Dateien stehen zur Verfügung. Der nächste Schritt wäre die Erstellung einer untergeordneten Online CA (SubCA) die, beispielsweise, im Active-Directory veröffentlicht ist.
