För att fungera korrekt måste en onlinesvarare ha ett giltigt certifikat för svarssignering för OCSP. Detta OCSP-certifikat för svarssignering behövs även om du använder en OCSP-svarare som inte kommer från Microsoft.
Konfiguration av en certifikatutfärdare med stöd för OCSP-svarare inkluderar följande steg:
-
Konfigurera certifikatmallar och utfärdningsegenskaper för OCSP-certifikat för svarssignering.
-
Konfigurera registreringsbehörigheter för alla datorer som kommer att vara värd för onlinesvarare.
-
Om det är en Windows Server 2003-baserad certifikatutfärdare aktiverar du OCSP-tillägget i utfärdade certifikat.
-
Lägg till platsen för onlinesvarare eller OCSP-svarare till tillägget för auktoritetsinformationsåtkomst på certifikatutfärdaren.
-
Aktivera mallen för OCSP-certifikat för svarssignering för certifikatutfärdaren.
Den certifikatmall som används för att utfärda ett OCSP-certifikat för svarssignering måste innehålla OCSP-tillägg för inaktiverad återkallningskontroll och användningsprincipen för OCSP-signering. Behörigheter måste även konfigureras för att tillåta att den dator som kommer att vara värddator för onlinesvararen registreras för detta certifikat.
Följande procedur gäller en certifikatutfärdare som är installerad på en dator som kör Windows Server 2008 R2 eller Windows Server 2008.
Minimikravet för att kunna slutföra proceduren är att du är medlem i någon av grupperna Domänadministratörer, Företagsadministratörer eller motsvarande. Mer information om hur du administrerar en PKI (Public Key Infrastructure) finns i Implementera rollbaserad administration.
 | Konfigurera certifikatmallen för ett OCSP-certifikat för svarssignering som utfärdats av en certifikatutfärdare i Windows Server 2008 R2 eller Windows Server 2008 |
Öppna snapin-modulen Certifikatmallar.
OBS Om du utför denna procedur på en dator som inte har någon certifikatutfärdare eller onlinesvarare installerad kan du behöva installera AD CS fjärradministrationsverktyg för server för att kunna använda snapin-modulen Certifikatmallar. Mer information om fjärradministrationsverktyg för server ges i Administrera en onlinesvarare från en annan dator.
Högerklicka på mallen Svarssignering för OCSP och klicka sedan på Egenskaper.
Klicka på fliken Säkerhet. Under Grupp- eller användarnamn klickar du på Lägg till.
Klicka på Objekttyper, markera kryssrutan Datorer och klicka sedan på OK.
Skriv in namnet eller bläddra för att välja den dator som är värd för onlinesvararen eller OCSP-svararen och klicka på OK.
I dialogrutan Grupp- eller användarnamn klickar du på datornamnet och i dialogrutan Behörigheter markerar du kryssrutorna Läsa och Registrera. Klicka därefter på OK.
Följande procedur gäller en certifikatutfärdare som är installerad på en dator som kör Windows Server 2003. Proceduren måste utföras på en dator som kör Windows Server 2008 R2 eller Windows Server 2008.
Minimikravet för att kunna slutföra proceduren är att du är medlem i någon av grupperna Domänadministratörer, Företagsadministratörer eller motsvarande. Mer information om hur du administrerar en PKI finns i Implementera rollbaserad administration.
| Så här konfigurerar du certifikatmallen för ett OCSP-certifikat för svarssignering som utfärdats av en Windows Server 2003-baserad certifikatutfärdare |
Öppna snapin-modulen Certifikatmallar.
Högerklicka på mallen Svarssignering för OCSP och klicka sedan på Duplicera. Klicka på Windows 2003 Server, Enterprise Edition och klicka sedan på OK.
Klicka på fliken Säkerhet. Under Grupp- eller användarnamn klickar du på Lägg till och skriv sedan in namnet eller bläddra för att välja den dator som är värd för onlinesvararen eller OCSP-svararen.
Klicka på Objekttyper, markera kryssrutan Datorer och klicka sedan på OK.
Skriv in namnet eller bläddra för att välja den dator som är värd för onlinesvararen eller OCSP-svararen och klicka på OK.
I dialogrutan Grupp- eller användarnamn klickar du på datornamnet och i dialogrutan Behörigheter markerar du kryssrutorna Läsa och Registrera.
| OBS |
|
Standardmallen för OCSP-certifikat för svarssignering innehåller ett OCSP-tillägg för inaktiverad återkallningskontroll. Ta inte bort detta tillägg eftersom det används av många klienter för att kontrollera att svar som signerats med signeringscertifikatet är giltiga. |
Om certifikatutfärdaren är installerad på en dator som kör Windows Server 2003 måste du avsluta följande procedur för att kunna konfigurera principmodulen på certifikatutfärdaren för att utfärda certifikat som inkluderar detta tillägg.
Du måste vara lokal administratör för att göra detta. Mer information om hur du administrerar en PKI finns i Implementera rollbaserad administration.
| Så här förbereder du en dator som kör Windows Server 2003 för utfärdande av OCSP-certifikat för svarssignering |
På den server som är värd för certifikatutfärdaren öppnar du kommandotolken och skriver:
certutil -v -setreg policy\EnableRequestExtensionList +1.3.6.1.5.5.7.48.1.5
Stoppa och starta om certifikatutfärdaren. Du kan göra det vid kommandotolken genom att köra följande kommandon:
net stop certsvc net start certsvc
För att konfigurera din certifikatutfärdare för OCSP måste du använda snapin-modulen Certifikatutfärdare för att utföra följande konfigurationssteg:
-
Lägg till platsen för onlinesvarare eller OCSP-svarare till tillägget för auktoritetsinformationsåtkomst.
-
Aktivera certifikatmallen för certifikatutfärdaren.
Du måste vara certifikatutfärdaradministratör för att göra detta. Mer information om hur du administrerar en PKI finns i Implementera rollbaserad administration.
| Så här konfigurerar du en certifikatutfärdare med stöd för onlinesvarare eller OCSP-svarare |
Öppna snapin-modulen Certifikatutfärdare.
Klicka på certifikatutfärdaren i konsolträdet.
Klicka på Egenskaper på Åtgärd-menyn.
Klicka på fliken Tillägg.
I listan Välj tillägg klickar du på Åtkomst till information om utfärdare (AIA) och klickar sedan på Lägg till.
Ange de platser från vilka användare kan hämta certifikatåterkallningsdata, som till exempel http://computername/ocsp.
Markera kryssrutan Inkludera tillägg för protokollet OCSP (Online Certificate Status Protocol).
I konsolträdet för snapin-modulen Certifikatutfärdare högerklickar du på Certifikatmallar och klickar sedan på Nya Certifikatmallar att utfärda.
I Aktivera certifikatmallar väljer du mallen Svarssignering för OCSP och eventuella andra certifikatmallar som du konfigurerat tidigare och klickar sedan på OK.
Dubbelklicka på Certifikatmallar och kontrollera att de ändrade certifikatmallarna visas i listan.