Infrastruktura kluczy publicznych (PKI) to system certyfikatów cyfrowych, urzędów certyfikacji i urzędów rejestrowania, które przy użyciu szyfrowania kluczem publicznym sprawdzają i uwierzytelniają ważność poszczególnych jednostek biorących udział w transakcji elektronicznej. Standardy infrastruktur kluczy publicznych są wciąż rozwijane, nawet mimo ich szerokiego wdrażania jako niezbędnego elementu handlu elektronicznego. Aby uzyskać więcej informacji na temat planowania infrastruktury PKI i szyfrowania kluczem publicznym, zobacz temat Zasoby dotyczące Usług certyfikatów w usłudze Active Directory.
Infrastruktura PKI firmy Microsoft obsługuje hierarchiczny model urzędów certyfikacji, który jest skalowalny i zapewnia spójność z rosnącą liczbą komercyjnych i innych produktów z zakresu urzędów certyfikacji.
W najprostszej postaci hierarchia certyfikatów składa się z jednego urzędu certyfikacji. Jednak hierarchia często zawiera wiele urzędów certyfikacji o wyraźnie zdefiniowanych relacjach między elementami nadrzędnymi i podrzędnymi. W tym modelu podrzędne urzędy certyfikacji otrzymują certyfikaty wystawiane przez ich nadrzędne urzędy certyfikacji, z których tożsamością jest powiązany klucz publiczny urzędu certyfikacji. Urząd certyfikacji na najwyższym poziomie hierarchii jest nazywany głównym urzędem certyfikacji. Urząd certyfikacji na poziomie niższym niż główny urząd certyfikacji nosi nazwę podrzędnego urzędu certyfikacji. Aby uzyskać więcej informacji, zobacz temat Typy urzędów certyfikacji.
Jeśli w systemie Windows główny urząd certyfikacji jest zaufany (jego certyfikat znajduje się w magazynie certyfikatów Zaufane główne urzędy certyfikacji), zaufane są również wszystkie jego podrzędne urzędy certyfikacji z ważnym certyfikatem urzędu certyfikacji, które znajdują się w hierarchii. Z tego powodu główny urząd certyfikacji jest bardzo ważnym elementem w organizacji i powinien być odpowiednio zabezpieczony. Aby uzyskać więcej informacji, zobacz temat Certyfikaty urzędu certyfikacji.
Istnieje kilka praktycznych powodów, dla których konfiguruje się wiele podrzędnych urzędów certyfikacji. Należą do nich:
-
Zastosowanie. Certyfikaty mogą być wystawiane w różnych celach, takich jak zabezpieczanie poczty e-mail i uwierzytelnianie sieciowe. Zasady wystawiania certyfikatów dla tych zastosowań mogą się różnić, a ich rozdzielenie umożliwia administrowanie tymi zasadami.
-
Podziały organizacyjne. W zależności od roli jednostki w organizacji mogą obowiązywać różne zasady wystawiania certyfikatów. Podobnie jak w poprzednim przypadku utworzenie podrzędnych urzędów certyfikacji umożliwia ich rozdzielenie i administrowanie zasadami.
-
Podziały geograficzne. Organizacje mogą składać się z jednostek mających siedziby w wielu miejscach. Łączność sieciowa między tymi miejscami może wymagać indywidualnych podrzędnych urzędów certyfikacji dla wielu lub wszystkich miejsc.
-
Równoważenie obciążenia. Jeśli infrastruktura PKI będzie używana do wystawiania dużej liczby certyfikatów i zarządzania nimi, korzystanie tylko z jednego urzędu certyfikacji może spowodować znaczne obciążenie sieci w tym urzędzie. Wystawianie takich samych certyfikatów przez wiele podrzędnych urzędów certyfikacji pozwala rozdzielić obciążenie sieci między poszczególne urzędy.
-
Kopie zapasowe i odporność na uszkodzenia. Korzystanie z wielu urzędów certyfikacji zwiększa prawdopodobieństwo, że w sieci zawsze będą dostępne działające urzędy, które odpowiedzą na żądania użytkowników.
Hierarchia urzędów certyfikacji może także zapewniać korzyści administracyjne, takie jak:
-
Elastyczna konfiguracja środowiska zabezpieczeń urzędu certyfikacji, umożliwiająca dostosowanie równowagi między zabezpieczeniami a przydatnością. Na przykład można wybrać opcję stosowania specjalnego sprzętu szyfrującego w głównym urzędzie certyfikacji, korzystać z niego w fizycznie bezpiecznym miejscu lub używać go w trybie offline. Ze względu na koszty lub kwestie przydatności może to być nie do przyjęcia w przypadku podporządkowanych urzędów certyfikacji.
-
Możliwość „wyłączenia” określonej części hierarchii urzędów certyfikacji bez wpływu na ustanowione relacje zaufania. Na przykład można łatwo wyłączyć i odwołać wystawianie certyfikatu urzędu certyfikacji związanego z określoną jednostką biznesową bez wpływu na pozostałe części organizacji.