Sertifika Yolu Doğrulamayı Yönetme

Bazı kuruluşlar etki alanındaki kullanıcıların kendi güvenilen kök sertifikalar kümesini yapılandırmalarını ve kuruluşta hangi kök sertifikalara güvenilebileceğine karar vermelerini engellemek ister. Depolar sekmesi bunu gerçekleştirmek için kullanılabilir.

Depolar sekmesinde aşağıdaki seçenekler bulunur:

• Sertifikaları doğrulamak için kullanıcı tarafından güvenilen kök CA'ların kullanılmasına izin ver. Bu onay kutusu temizlenirse, kullanıcıların sertifikaları doğrulamak amacıyla hangi kök CA sertifikaları kullanacaklarına karar vermeleri engellenir. Bu seçenek kullanıcıların güvenli olmayan bir zincirdeki sertifikalara güvenmelerini ve doğrulamalarını önlemeye yardımcı olmakla birlikte, uygulama hatalarına da neden olabilir veya kullanıcıların kendilerine sunulan bir sertifikayı doğrulama yöntemi olarak kök sertifikayı önemsememelerine yol açabilir.
  
  
• Kullanıcıların eş güven sertifikalarına güvenmesine izin ver. Bu onay kutusunun işareti kaldırıldığında, kullanıcıların hangi eş sertifikalara güveneceğini belirlemesi engellenir. Bu seçenek kullanıcıların güvenli olmayan bir kaynaktaki sertifikalara güvenmelerini önlemeye yardımcı olmakla birlikte, uygulama hatalarına da neden olabilir veya kullanıcıların güven belirleme yolu olarak sertifikaları önemsememelerine yol açabilir. Ayrıca, eş düzey güven sertifikalarının kullanılabileceği, imzalama veya şifreleme gibi sertifika amaçlarını da seçebilirsiniz.
  
  
• İstemci bilgisayarın güvenebileceği kök CA'lar. Bu bölümde, etki alanındaki kullanıcıların güvenebileceği belirli kök CA'ları tanımlayabilirsiniz:
  
  
  • Üçüncü Taraf Kök CA'lar ve Kuruluş Kök CA'ları. Microsoft olmayan ve kuruluş kök CA'larını dahil ederek, bir kullanıcının güvenebileceği kök CA sertifikaları aralığını genişletmiş olursunuz.
    
    
  • Yalnızca Kuruluş Kök CA'ları. Güveni yalnızca kuruluş kök CA'larıyla sınırlandırarak, kimlik bilgilerini alıp Active Directory Etki Alanı Hizmetleri'ne (AD DS) sertifika yayımlayan bir iç kuruluş CA'sı tarafından verilen sertifikalarla güveni etkili şekilde sınırlamış olursunuz.
    
    
• CA'lar Kullanıcı Asıl Adı kısıtlamalarıyla da uyumlu olmalıdır. Bu ayarlar iç kuruluş CA'larına güveni de sınırlar. Ayrıca, kullanıcı asıl adı sınırlaması, kullanıcı asıl adlarıyla ilgili koşullara uymayan kimlik doğrulamayla ilgili sertifikalara güvenmelerini de engeller.
  
  

Bunun yanı sıra, bazı kuruluşlar ek güven ilişkilerinin gerekli olduğu iş senaryolarını etkinleştirmek için güvenilen belirli kök sertifikalarını tanımlamak ve dağıtmak isteyebilir. Etki alanınızdaki istemcilere dağıtmak istediğiniz güvenilen kök sertifikaları tanımlamak için bkz. Sertifika Dağıtmak için İlke Kullanma.

Yazılım imzalama, uygulamalarının güvenilen bir kaynaktan geldiğini doğrulamak için gün geçtikçe daha çok sayıda yazılım yayımcısı ve uygulama geliştiricisi tarafından kullanılmaktadır. Ancak, kullanıcıların çoğu yükledikleri uygulamalarla ilişkili imzalı sertifikaları anlamamakta veya bunları dikkate almamaktadır.

Sertifika yolu doğrulama ilkesinin Güvenilir Yayımcılar sekmesinde bulunan ilke seçenekleri, güvenilir yayımcılarla ilgili olarak kimlerin karar alabileceğini belirlemenize olanak sağlar:

• Yöneticiler ve kullanıcılar
  
  
• Yalnızca yöneticiler
  
  
• Yalnızca kuruluş yöneticileri
  
  

Ayrıca, bu sekmedeki ilke seçenekleri güvenilir yayımcı sertifikalarının aşağıdaki özelliklere sahip olduğunun denetlenmesini zorunlu kılmanıza da olanak sağlar:

• İptal edilmemiştir
  
  
• Geçerli zaman damgaları vardır
  
  

Etkili olması için, Microsoft Kök Sertifika Programı'ndaki sertifika iptal listeleri (CRL) ve sertifikalar gibi sertifikayla ilgili verilerin belirli aralıklarla güncelleştirilmesi gerekir. Ancak, normalde beklenenden daha fazla veri aktarıldığı için, sertifika iptal verilerinin ve çapraz sertifikaların doğrulama denetimi ve alınması kesilirse sorunlar ortaya çıkabilir.

Ağ alımı ayarları yöneticilerin aşağıdakileri yapmasına olanak tanır:

• Microsoft Kök Sertifika Programı'ndaki sertifikaları otomatik olarak güncelleştirme.
  
  
• CRL'lerdeki ve yol doğrulamadaki alma zaman aşımı değerlerini yapılandırma (ağ koşulları en iyi durumda değilse, daha büyük varsayılan değerler yararlı olabilir).
  
  
• Yol doğrulama sırasında sertifika veren sertifikası almayı etkinleştirme.
  
  
• Çapraz sertifikaların ne sıklıkla karşıdan yükleneceğini tanımlama
  
  

İptal denetimini desteklemek için, Active Directory Etki Alanı Hizmetleri (AD CS) Çevrimiçi Yanıtlayıcılar tarafından dağıtılan Çevrimiçi Sertifika Durumu Protokolü (OCSP) yanıtlarının yanı sıra CRL ve delta CRL kullanımını da destekler.

Yol doğrulama Grup İlkesi ayarları yöneticilerin özellikle çok büyük CRL'lerin veya ağ koşullarının peformansı olumsuz etkilediği durumlarda CRL'lerin ve Çevrimiçi Yanıtlayıcıların kullanımını en uygun şekilde ayarlamasına olanak sağlar.

Aşağıdaki ayarlar kullanılabilir:

• Her zaman Çevrimiçi Sertifika Durumu Protokolü (OCSP) yanıtları yerine Sertifika İptal Listeleri'ni (CRL) tercih et. Genellikle, istemcilerin, bir CRL'den veya Çevrimiçi Yanıtlayıcıdan geldiğine bakmadan, kullanılabilir en yeni iptal verilerini kullanması gerekir. Bu seçenek belirlenirse, bir Çevrimiçi Yanıtlayıcıdan iptal denetimi yalnızca, geçerli CRL veya delta CRL yoksa kullanılır.
  
  
• CRL ve OCSP yanıtlarının yaşam sürelerinden daha uzun geçerli olmasına izin ver. CRL'lerin ve OCSP yanıtlarının geçerlilik döneminin ötesinde geçerli olmasına izin verilmesi genellikle önerilmez. Bununla birlikte, istemcilerin bir CRL dağıtım noktasına veya Çevrimiçi Yanıtlayıcıya uzun süre boyunca bağlanamadığı durumlarda bu seçenek gerekli olabilir. Ancak, bir CRL veya OCSP yanıtının kullanılabileceği belirtilen geçerlilik dönemini aşan süre de bu ilke ayarı altında yapılandırılabilir.