שרת CA בתצורת Standalone
certsrv.פרקי ההרצאה: שרת CA בתצורת Standalone
תמלול ההרצאה: שרת CA בתצורת Standalone
הטקסט המלא של הדקות הראשונות בהרצאה «שרת CA בתצורת Standalone» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
טוב, אנחנו בסרטון שמתעסק בשרתים שמחלקים תעודות דיגיטליות. הנחת היסוד שראיתם זה סרטונים הקודמים שמתעסקים בכל המבוא, ואתם יודעים מה זה תעודה דיגיטלית, כי אני אתרכז פה בקטע של השרת, ופחות להסביר על הלוגיקה של התעודה עצמה.
בשלב הזה אתם הייתם צריכים כבר לדעת שתפקידה של תעודה זה לפרסם מפתח הצפנה ציבורי, משתמשים בזה בשביל להצפין מידע בעצם. דרך תעודה, לוקחים את הפאבליקי ומצפינים את המידע.
אתרי ווב HTTPS משתמשים בזה. חברים שמעבירים אליי אימיילים מוצפנים משתמשים בפאבליקי שלי. להצפין קבצים בארדיסק EFS משתמשים במפתח הצפנה ציבורי.
זו בעצם השיטה היחידה שבשימוש היום להצפנה זה בעצם דרך המפתח הציבורי. כאשר את המפתח הפרטי אני מרבי או על דיסק און קי או בתוך איזשהו מנגנון אחר כמו Active Directory.
הפקיד הראשון של תעודה דיגיטלית כמו שראינו בסרטונים הקודמים זה לפרסם מפתח הצפנה ציבורי 2. לוודא זהות של האתר זאת אומרת שבתוך התעודה כתוב מי אחראי על האתר הזה מי הנפיק לו את התעודה זאת אומרת התעודה הדיגיטלית לא סתם בא משום מקום תמיד יש לה אבא שהנפיק אותה ואבא זה שהנפיק אותה השאלה המרכזית האם אני סומך עליו או לא האם הוא נמצא אצלי ברשימת
של trusted rootca האם הוא בtrusted או לא אם הוא לא אז אני מקבל הודעת אזהרה. השימוש השלישי של תעודה דיגיטלית הוא שימוש הפוך, לקחת את הפרייבט קי ועם הפרייבט קי להצפין את המסר שלי ולשלוח אותו למישהו אחר.
ואז כל אחד יכול לפתוח אותו, אבל אני מוודא שההוראה בעצם ניתנה על ידי ולא מישהו התחזה אליי וביקש להעביר כסף לחשבון בנק.
זאת אומרת, אני מצפין מידע עם המפתח הפרטי שלי, כל אחד יכול לפתוח אותו, אבל מי שפוטח בטוח שאני כתבתי את זה. כי רק אני יכלתי לחתום דיגיטלית עם המפתח הפרטי שלי.
זה שלושה דברים שממש הוסברו לעומק בסרטון הקודם. אתם צריכים כבר ממש לשלוט בזה בשלב הזה, כי אני לא הולך לחזור להסבר הזה עוד פעם. אז אנחנו עכשיו עוברים לשרת שהולך לחלק את התעודות הדיגיטליות האלו.
יש לנו שני סוגי שרתים. יש את ערוץ EA, הוא בעצם השורש של כולם, הוא מייסד של השושלת. כל התחנות העבודה שלי בתוך הארגון צריכות לסמוך עליו.
זה לא משנה אם ערוץ CA הזה זה VerySign שכולם סומכים עליו בכל העולם, או שזה רות CA שאני הולך להתקין אותו עוד שתי דקות, אני הולך להתקין CA, זאת אומרת תוכנה כזאת שיודעת לחלק תעודות דיגיטליות, ובעולם הקטן שלי, בתוך החברה שלי, כולם יסמכו
עליו. זאת אומרת, מבחינת האנשים שחיים אצלי בתוך החברה, אני כמו ה-CA העולמית, כולם סומכים, השאלה זה האם סומכים עליך או לא סומכים עליך.
אם אני ארצה שאתר וב שלי יהיה פנים-ארגוני, אז אני אעשה תעודה דיגיטלית פנים-ארגונית חינם. אם אני ארצה שגם הלקוחות מבחוץ יתחברו ולא יקבלו הודעת אזהרה דומה, אז אני כבר אצטרך לקנות בכסף תעודה מרות CA שכל העולם סומך עליה.
זה ההבדל בעצם. אז רות CA הוא המייסד של המשפחה, כל התחנות צריכות לסמוך עליו, אם תחנה לא סומכת עליו היא מתקבלת הודעה דומה.
בארגונים גדולים הרות CA השרת עצמו שמחלק את התעודה הזאת הראשית המייסד הוא מנותק מהרשת, מנותק מהחשמל, הוא לא חלק מאקטיב דירקטור ומניהול מרכזי, כי אם מישהו פורץ עליו, מישהו גונב לו את התעודה הפרטית שלו, הלך כל העץ, כל התחנות העבודה, כל העץ שיש מתחת, שסומך עליו,
הכל זה הלך. אנחנו לא כל כך נתרגש מזה, אז אנחנו לא ננתק פה שום דבר מהחשמל, רק שתבינו, כאילו זה תלוי בסדר גודל של הארגון וברגישות שלו.
אל תשכחו שתעודות דיגיטליות, בארגונים ביטחוניים כמו בצבא ובכל מיני ארגונים ביטחוניים משתמשים בהם. לא הכל סביבות וירטואליות של שני משתמשים.
סאב-סי-איי זה תת-סי-איי, תת-סי-איי זה סי-איי שהוא בעצם קיבל ליפוי כוח מהאבא שלו ומירוץ-סי-איי והוא מחלק תעודות והוא אומר התעודות שהוא מחלק הוא אומר שהוא בעצם מציג תעודה מאבא שהוא רשאי לחלק אותו.
מה שחשוב שאם מישהו מצליח לפרוץ לסאב-סי-איי לרוב היא נקראת גם אישיונג, אישיונג CA, כאילו תעודה שהיא, CA שמחלק תעודות, אישיונג CA, לאנשים רגילים כאילו, לתחנות.
אז אם מישהו מצליח לפרוץ לסאב-CA או לאישיונג-CA, אז האב תמיד יכול לפרסם את ה-CA הזאת כ-CA פסולה ואת כל התעודות שלה לפסול במכה. קשר בין Active Directory ל-CA. חבר'ה, אנחנו הולכים להתקין את זה עוד דקה, אני רוצה רק ככה לתת לכם קצת בסיס, אחרי זה נראה את הקליקים.
אז יש Standalone-CL ו-Enterprise. ואומר שהיא עומדת לבד, היא לא סומכת על Active Directory, לא מעניין אותה שאתה יוזר באקטיב דירקטורי ולא מעניין אותה שאתה קומפיוטר באקטיב דירקטורי.
אתה רוצה תעודה דיגיטלית? תחכה שמנהל הרשת יאשר לך, שמנהל של CA יאשר לך את התעודה. Enterprise CA יש לה אופציה, אם אני רוצה יש לה אופציה כמובן, זה לא חייב, להגיד שמי שעבר עימות באקטיב דירקטורי יכול לקבל תעודה מסוימת, קבוצה מסוימת של אנשים יכולים לקבל תעודה מסוימת
באופן אוטומטי בלי להטריד את המנהל הרשת. זאת אומרת מאפשרת הנפקת תעודות לפי בקשת המשתמש ללא אישור של מנהל רשת לכל תעודה בנפרד. ללא אישור של מנהל רשת לכל תעודה בנפרד כמו בסטנדלורן.
במילים אחרות מנהל רשת מאשר ל-CA סוג מסוים של תעודות להנפיק לקבוצה מסוימת של אנשים מבלי לבקש אישור לכל תעודה.
דגש אני לוקח קבוצה של אנשים לוקח תעודה מסוימת ואומר שהקבוצה הזאת יכולה לבקש את התעודה הזאתי בלי לבקש בלי לעבור דרכי בלי בלי אישור שלי רוצים תעודה תיקחו תעודה אין לי בעיה כל עוד אקטיב דירקטורי בדקה שיש לכם שם וסיסמה ואתם באמת היוזרים אצלי תיקחו חופשי חוץ מזה אני יכול לבקש גם מג'י פי או דרך ג'י פי או
לעשות את הבקשה הזאתי בשמו של המשתמש זאת אומרת שהמשתמש לא יצטרך לעשות את הבקשה באופן ידני אלא gpu מהצד של היוזר יבקש את התעודה אוטומטית והיוזר כאילו יקבל תעודה בלי שהוא מרגיש את זה עכשיו היתרון של הדבר הזה שיוזר מבחינת אוייר יקבל תעודה ויוכל להצפין מיילים ויוכל לחתום דיגיטלית ובלי שהוא עבר איזושהי סדרה של פעולות ידניות פשוט תהיה לו אופציה
בתוך האימיילים לחתום דיגיטלית או על קבצים אז זה ההבדל בין stand alone ל-enterprise stand alone כל תעודה חייבת לעבור אישור ידני של מנהל הרשת Enterprise CA יש אופציה להנפיק קבוצה מסוימת של תעודות לקבוצה מסוימת של אנשים באופן אוטומטי בלי שמנהל של CA,
זה לא חייב להיות מנהל של רשת, דרך אגב, זה יכול להיות תפקיד של מנהל CA, אנחנו אחרי זה נדבר על זה, יאשר כל תעודה בנפרד. אנחנו הולכים להתקין בהתחלה סטנדלון מתחת לסטנדלון.
אתם רואים איך אנחנו הולכים לעשות את ההיררכיה. אנחנו מתקינים את ערוץ CA, את האבא הראשי כסטנדלון, ה-Tat-CA כ-Enterprise זאת האוטומטית, זאת אומרת אבא הראשי לא מנפיק שום דבר באופן אוטומטי והילדים, כאילו ה-Tat-CA מנפיק באופן אוטומטי לתחנות.
זה מה שקורה, זה מומלץ לפי מייקרוסופט, בסדר? לפי מייקרוסופט מומלץ שתחנות העבודה יעבדו מול Enterprise-CA שהכול יהיה אוטומט, אבל מי שמעל Enterprise-CA שיהיה stand alone כדי לוודא ששום דבר לא קורה שמה, בסדר?
איך לבקש תעודה מ-CA? אנחנו נניח התקנו את ה-CA, עובד CA, איך מבקשים ממנו תעודה. אפשר לבקש דרך אתר האינטרנט, אפשר לבקש דרך קובץ טקסט.
בואו נחזור לשקופית הזאת אחרי שקצת נתקין ונראה קצת איך עובדת CA, אחרי זה נעבור לשלב שבו