Serviços de certificado do Active Directory: Explicação do AD CS & Configuração

Muitas organizações contam com o Windows Server como a espinha dorsal de sua infraestrutura de TI. Muitos também usam a PKI para atender a diversos requisitos de segurança, incluindo segurança de servidor da Web (SSL), autenticação baseada em certificado, assinaturas de documentos digitais e criptografia de e-mail(S/MIME). O Active Directory Certificate Services (AD CS) é uma função do Windows Server que conecta esses dois elementos. Neste artigo, vamos nos aprofundar no que é o AD CS, nas práticas recomendadas para usá-lo e nos detalhes de sua configuração.

Dê uma olhada no guia em vídeo sobre Active Directory Certificate Services: Explicação do AD CS & Configuração [Vídeo].

O que é o Active Directory Certificate Services (AD CS)?

O Active Directory Services é um recurso dos ambientes do Windows Server que fornece uma infraestrutura de chave pública (PKI) para emitir e gerenciar certificados digitais. Os certificados são usados para proteger a comunicação, verificar a identidade de usuários e dispositivos e facilitar a troca segura de dados em uma rede. O AD CS oferece às organizações a capacidade de emitir, renovar, revogar e distribuir certificados para usuários, computadores e serviços dentro da rede.

Como o nome sugere, o Active Directory funciona como um serviço de diretório projetado para redes de domínio do Windows. A base de cada implementação do Active Directory é o Active Directory Domain Services (AD DS). O AD DS armazena informações sobre usuários, computadores e grupos em um domínio, verifica suas credenciais e define direitos de acesso. O AD CS foi introduzido no Windows Server 2008 para emitir certificados digitais para as contas de computador, usuário e dispositivo no domínio para aumentar a segurança e fornecer métodos de autenticação adicionais.

Configuração do AC DS e gerenciamento de certificados

O gerenciamento e a configuração adequados de certificados são importantes para manter uma PKI segura e eficiente em uma organização. Aqui estão alguns elementos-chave do gerenciamento e da configuração dos Serviços de Certificação dos Serviços do Active Directory (AD CS).

Gerenciar modelos de certificados e políticas de registro

Os modelos de certificado definem as propriedades e o uso dos certificados emitidos pelo AD CS. Os administradores podem criar modelos de certificados personalizados para atender a requisitos de segurança específicos e controlar os atributos dos certificados emitidos. Um modelo pode ser criado para autenticação de servidor da Web, enquanto outro é projetado para autenticação de usuário.

As políticas de registro determinam como os certificados são processados e autorizados na PKI. Essas políticas podem ser baseadas em critérios, como associação de usuários ou grupos, tipo de dispositivo ou local da rede, para garantir que somente entidades autorizadas possam solicitar e obter certificados específicos.

Configuração da revogação e renovação de certificados

Os administradores devem configurar e manter a Lista de Certificados Rev ogados (CRL) e/ou o Protocolo de Status de Certificados Online (OCSP) para fornecer informações de status em tempo real sobre certificados revogados e garantir que os certificados revogados não possam ser usados para autenticação ou criptografia.

As práticas recomendadas para configurar a renovação e a revogação incluem o seguinte:

• Atualize regularmente as CRLs ou os respondentes OCSP para garantir que os clientes recebam o status mais recente.
• Planeje períodos sobrepostos para evitar a interrupção do serviço.
• Implemente a renovação bem antes da data de expiração para evitar lacunas.
• Monitore o desempenho do CRA e do OCSP para garantir que eles respondam rapidamente.

Implementação da confiança e da validação do certificado

No AD CS, um certificado verifica se as entidades são quem afirmam ser. Ele é emitido para uma entidade (uma Autoridade de Certificação) por um terceiro que é confiável para as outras partes. As organizações precisam configurar relações de confiança entre as CAs para que os certificados emitidos por CAs confiáveis sejam reconhecidos e aceitos em toda a rede.

Uma lista de confiança de certificados (CTL) é um mecanismo que o AD CS usa para especificar quais CAs são confiáveis para uma organização. Ele contém uma lista de certificados CA confiáveis que os clientes usam para validar a autenticidade dos certificados apresentados a eles durante o processo de validação.

Instalação e configuração do NDES para registro de dispositivos de rede

O Network Device Enrollment Services (NDES) facilita o registro de certificados para dispositivos de rede, como roteadores, switches e pontos de acesso sem fio. A instalação e a configuração adequadas do NDES simplificam esse processo e permitem que esses dispositivos obtenham e usem certificados para autenticação e comunicação seguras.

Para usar o NDES, é necessário instalar a função de serviço NDES no servidor AD CS e configurar uma conta de serviço para o NDES como uma conta de usuário especificada como uma conta de serviço ou como a identidade integrada do pool de aplicativos. Em seguida, configure a conta de serviço NDES com permissão de solicitação na CA, defina um certificado de agente de registro e configure o provedor de chave de assinatura e/ou o provedor de chave de criptografia.

Breve nota sobre protocolos modernos de registro:

Embora o SCEP (Simple Certificate Enrollment Protocol) continue sendo o padrão para o registro de dispositivos (especialmente via MDM usando NDES), os ambientes modernos de PKI estão adotando cada vez mais o EST (Enrollment over Secure Transport). O EST oferece mais segurança e recursos do que o SCEP, e as organizações que gerenciam diversos sistemas operacionais podem, eventualmente, procurar soluções que integrem o suporte ao EST ao seu ambiente AD CS.

Benefícios do uso dos Serviços de Certificação do Active Directory (AD CS)

O Active Directory Services oferece muitas vantagens que reforçam significativamente a segurança e a eficiência das redes de domínio do Windows. 

Alguns dos principais benefícios incluem:

• Segurança aprimorada por meio de certificados digitais e criptografia

Os certificados fornecidos pelo AD CS desempenham um papel fundamental na verificação de usuários, dispositivos e serviços em uma rede. O AD CS garante que somente destinatários autorizados possam acessar dados criptografados, reduzindo o acesso não autorizado e os riscos de violação de dados.

• Gerenciamento e ciclo de vida de certificados simplificados

O AD CS simplifica a emissão, a renovação e a revogação de certificados. A administração centralizada, os modelos e as políticas de registro facilitam o tratamento eficiente das solicitações e da distribuição, reduzem a carga administrativa e economizam tempo.

• Integração com o Active Directory para administração centralizada

A integração do AD CS com o AD DS permite a administração centralizada de certificados, aproveitando a infraestrutura existente do Active Directory. Os administradores podem gerenciar eficientemente os certificados juntamente com as contas de usuário, garantindo políticas consistentes em todo o domínio.

• Suporte a vários tipos de certificados e cenários de uso

As organizações podem emitir certificados para servidores da Web (certificados SSL/TLS) para proteger as comunicações on-line, implementar autenticação baseada em certificados para aprimorar a verificação da identidade do usuário, usar assinaturas digitais para integridade e não repúdio de documentos e criptografar e-mails usando certificados S/MIME.

Desvantagens dos serviços de certificado do Active Directory (AD CS)

• Configuração complexa

A configuração do AD CS pode ser complexa e requer conhecimento técnico sobre as autoridades de certificação e a arquitetura da PKI. As organizações precisam investir recursos substanciais para implementação, treinamento, tempo e muito mais.

• Difícil de usar

O AD CS requer uma equipe com conhecimento técnico em gerenciamento de PKI para ser mantido, e essa equipe precisaria de treinamento e recursos adicionais para se manter atualizada com as práticas recomendadas de PKI.

• Alto custo de manutenção

Embora as CAs da Microsoft sejam gratuitas, as organizações precisam investir na montagem e no treinamento de uma equipe para lidar com o AD CS, além dos requisitos de hardware e software.

• Exploração de scripts entre sites

XSS (Cross-site scripting) refere-se a uma vulnerabilidade de segurança de aplicativos da Web na qual os invasores injetam scripts em páginas da Web. Esse script permite que os hackers acessem informações confidenciais e até mesmo executem ações como alterar o conteúdo do site ou redirecionar os usuários para sites mal-intencionados. O Registro na Web do AD CS não valida corretamente as entradas do usuário, o que o torna vulnerável a ataques XSS.

Devido às frequentes vulnerabilidades associadas ao componente AD CS Web Enrollment, a prática recomendada do setor é evitar a instalação desse serviço de função. Use alternativas modernas, como o Network Device Enrollment Service (NDES) para SCEP/MDM ou o registro automático de certificados via Política de Grupo, em vez da interface de registro na Web.

• Problemas de compatibilidade

A integração do AD CS com dispositivos e aplicativos existentes pode, às vezes, ser um desafio para uma infraestrutura de TI híbrida. Por exemplo, as políticas de grupo (GPO) da Microsoft não são compatíveis com dispositivos macOS ou Linux, portanto, os usuários precisariam encontrar soluções alternativas, como software RMM ou MDM.

Práticas recomendadas para os serviços de certificado do Active Directory (AD CS)

Para garantir a operação tranquila e segura dos Serviços do Active Directory, é essencial adotar as práticas recomendadas a seguir:

Proteger a infraestrutura do AD CS

Para proteger sua infraestrutura do AD CS, certifique-se de:

• Limitar o acesso administrativo: Restrinja esse acesso a contas dedicadas usadas para gerenciar a PKI e aplique os membros do grupo de administradores locais via GPO.
• Use a lista branca de aplicativos: Use o AppLocker ou uma ferramenta de lista branca de aplicativos de terceiros para configurar os serviços e aplicativos que podem ser executados nas CAs. Isso adicionará uma camada adicional de segurança, impedindo a execução de aplicativos não autorizados.
• Implemente o acesso remoto seguro: Isso é essencial em um mundo de ambientes de trabalho remotos e híbridos.

Para reduzir o risco de comprometimento de uma AC raiz (que é catastrófico), os profissionais de segurança recomendam enfaticamente ir além de uma PKI de camada única. Isso envolve a criação de uma hierarquia:

• CA raiz (off-line): Essa é a âncora de confiança definitiva. Ele deve ser colocado off-line imediatamente após a instalação, armazenado de forma segura (por exemplo, em um cofre) e nunca conectado à rede. Sua única finalidade é assinar o certificado da AC subordinada.
• CA emissora (on-line): Esse servidor está on-line e emite certificados para usuários e dispositivos. Ela é subordinada à CA raiz. Se for comprometida, os danos serão limitados porque a CA raiz permanecerá segura e poderá emitir um novo certificado de CA emissora.
• Hierarquia: Essa separação de funções garante que, mesmo que a CA emissora on-line seja violada, a confiança fundamental (a chave privada da CA raiz) permanecerá protegida.

Implementar procedimentos de backup e recuperação

O backup e a recuperação adequados do AD CS são essenciais para garantir a disponibilidade, a integridade e a segurança de sua infraestrutura de certificados. 

Algumas das principais práticas recomendadas são as seguintes:

• Faça backup regularmente: O backup frequente do banco de dados do AD CS, dos backups de chaves privadas e dos dados de configuração garante a capacidade de recuperação em caso de falha de hardware e outros eventos catastróficos.
• Armazenar backups fora do local: Armazene as cópias de backup de forma segura em um local remoto para se proteger contra desastres no local.
• Restauração do teste: Teste periodicamente o processo de restauração para verificar a integridade dos backups e a capacidade de recuperação eficaz da perda de dados.

Realizar monitoramento e manutenção regulares

Os processos corretos de manutenção e monitoramento garantirão que os componentes do AD CS estejam funcionando de forma otimizada e ajudarão a solucionar possíveis problemas logo no início. Aqui estão algumas dicas para ajudá-lo a fazer isso:

• Implemente o registro de eventos: A revisão regular dos registros de eventos o ajudará a identificar e responder prontamente a possíveis problemas ou violações de segurança.
• Monitore a expiração do certificado: A configuração de alertas pode ajudar a garantir que as renovações de certificados ocorram dentro do prazo.
• Implementar verificação de revogação: Certifique-se de que os clientes verifiquem a revogação de certificados por meio de CRLs ou OCSP, para evitar o uso de certificados comprometidos.
• Realizar o monitoramento da saúde: Monitore a integridade dos componentes do AD CS, como a Autoridade de Certificação e os serviços da Web, para detectar e resolver possíveis problemas de desempenho ou confiabilidade.

Garantir a conformidade com os padrões do setor

Para garantir que você esteja em conformidade com os padrões e as práticas recomendadas do setor, siga estas diretrizes:

• Desenvolver uma política de PKI: Crie e aplique uma política clara de PKI que defina a finalidade e o uso de certificados na organização.
• Use modelos de certificado: Os modelos garantem o uso consistente e apropriado de certificados em toda a organização.
• Conduzir auditorias de conformidade: As auditorias regulares devem avaliar a conformidade do AD CS com os padrões do setor e as práticas de segurança interna.
• Treine os funcionários: Instrua os administradores e outros funcionários sobre as práticas recomendadas, os riscos de segurança e suas funções na manutenção de um ambiente de PKI seguro.

Como configurar os serviços de certificado do Active Directory (AD CS)

A primeira etapa para criar uma PKI segura e eficiente com o AD CS é instalá-la e configurá-la. Aqui está uma visão geral do processo, desde os pré-requisitos até a instalação passo a passo, além de considerações importantes sobre a configuração.

Pré-requisitos para a instalação do AD CS

Antes de iniciar a instalação do AD CS, certifique-se de que os seguintes requisitos sejam atendidos:

• Windows Server: É necessário ter um sistema operacional Windows Server com as atualizações mais recentes instaladas.
• Serviços de domínio do Active Directory (AD DS): O AD CS é fortemente acoplado ao AD DS. Certifique-se de que sua rede tenha um ambiente AD DS existente com pelo menos um controlador de domínio.
• Endereço IP estático: Atribua um endereço IP estático ao servidor que hospedará os componentes do AD CS. Isso garante uma comunicação de rede estável para serviços de certificado.
• Privilégios administrativos: Você precisa de privilégios administrativos no servidor para instalar o AD CS.

Guia passo a passo para instalar o AD CS em um servidor Windows

Veja a seguir as etapas para instalar o Active Directory Certificate Services:

1. Inicie o Server Manager: Você o encontrará no menu Iniciar.
2. Adicionar funções e recursos: Navegue até “Manage” (Gerenciar) e clique em “Add Roles and Features” (Adicionar funções e recursos)
3. Escolha o tipo de instalação: Escolha “Role-based or feature-based installation” (Instalação baseada em funções ou recursos) no “Add Roles and Features Wizard” (Assistente para adicionar funções e recursos) e clique em “Next” (Avançar)
4. Selecione o servidor: Certifique-se de que o servidor de destino esteja selecionado e clique em “Next” (Avançar)
5. Selecionar funções e recursos do servidor: Role a tela para baixo e selecione “Active Directory Certificate Services” Clique em “Add Features” (Adicionar recursos) no assistente e, em seguida, clique em “Next” (Avançar)
6. Selecione os serviços de função: Escolha os serviços de função do AD CS que você deseja instalar e clique em “Next” (Avançar)
7. Instale o AD CS: Revise suas seleções, selecione “Restart the destination server automatically if required” (Reiniciar o servidor de destino automaticamente, se necessário) e clique em “Install” (Instalar)
8. Configurar o AD CS: Quando a instalação estiver concluída, clique em “Fechar” Selecione o sinalizador de notificação no aplicativo Server Manager, localize a mensagem para iniciar a configuração pós-implantação e clique no link para iniciar a configuração.

Opções de configuração e considerações durante a instalação

Ao personalizar a configuração do AD CS de acordo com seus requisitos de segurança e necessidades operacionais específicos, você pode criar um ambiente de PKI que atenda aos padrões de conformidade e aprimore a postura de segurança da sua rede. Aqui estão algumas opções a serem consideradas:

• Armazenamento de chaves: Durante a instalação, você pode optar por armazenar a chave privada no Microsoft Strong Cryptographic Provider ou em um Hardware Security Model (HSM) para aumentar a segurança.
• Configurações de revogação: Configure a frequência e o método de publicação da CRL (CRL ou OCSP) para garantir atualizações oportunas do status de revogação para os clientes.
• Modelos de certificado: Configure os modelos de certificado que serão necessários para vários casos de uso em sua organização.
• Backup da CA: Implemente um plano de backup para proteger a chave privada da CA e os dados de configuração.
• Configuração de segurança: Proteja adequadamente o servidor CA, limitando o acesso administrativo e ativando a auditoria.

Solução de problemas comuns do AD CS

Mesmo que o AD CS tenha sido configurado cuidadosamente, ainda podem surgir problemas. Aqui estão algumas dicas para ajudá-lo a identificar, solucionar problemas e resolver alguns problemas comuns do AD CS:

Identificação de problemas comuns de configuração

• Erros no modelo de certificado: Os problemas com a emissão e o registro de certificados podem ser causados por modelos de certificados configurados incorretamente.
• Falha ao iniciar os serviços da CA: Examine os registros de eventos para ver se há mensagens de erro. Isso pode ocorrer devido à corrupção do banco de dados, permissões inadequadas ou conflitos de porta.
• Configuração de revogação: Verifique se as CRLs ou os respondentes OCSP estão configurados corretamente e acessíveis aos clientes.
• Falhas na revogação de certificados: Isso pode ser causado por pontos de distribuição de CRL inacessíveis ou respondedores OCSP, ou por problemas de validação da cadeia de certificados.

Solução de problemas de registro e validação

• Falhas de registro: Verifique a permissão em modelos de certificado e agentes de registro. Certifique-se de que os clientes possam se comunicar com a CA e acessar URLs de registro.
• Certificados expirados: Verifique se os certificados não expiraram e configure o monitoramento para alertar os administradores sobre as próximas expirações.
• Certificados revogados: Investigue o motivo da revogação e garanta que os clientes possam acessar CRLs ou respondedores OCSP atualizados.
• Erros de validação da cadeia de certificados: Verifique se todo o certificado de cadeia está intacto e válido. Verifique a presença de certificados intermediários e raiz no armazenamento de certificados raiz confiáveis.
• Problemas no lado do cliente: Verifique a sincronização de horário, a conectividade de rede e as configurações de firewall no lado do cliente.

Ainda posso usar o AD CS depois de migrar para o Azure AD (Microsoft Enterprise ID)?

Sim, as equipes de TI ainda podem usar o AD CS mesmo depois de migrar para o Azure AD (Microsoft Enterprise ID). Os certificados do AD CS protegem as comunicações, autenticam dispositivos e permitem o acesso seguro a recursos, independentemente de as identidades serem gerenciadas no Azure AD ou no Active Directory local. O Azure AD pode automatizar o registro de certificados para simplificar os fluxos de trabalho das equipes de TI.

O AD CS funciona com o gerenciamento de dispositivos móveis (MDM)?

Sim, o software MDM normalmente utiliza certificados para autenticação de dispositivos, criptografia e segurança de dispositivos móveis.

O AD CS pode funcionar com soluções MDM, pois a maioria dos provedores fornece um conector do AD CS que permite que soluções de nuvem, como o MDM, se comuniquem com o servidor do AD CS. Esses conectores são especialmente úteis ao lidar com dispositivos que não são Windows, como Apple e Android. Os técnicos podem adicionar CAs personalizadas e implantá-las e gerenciá-las por meio de sua solução MDM.

A integração perfeita com um software MDM garante que os dispositivos sejam devidamente autenticados e protegidos, aumentando a segurança geral dos dados e dos dispositivos na organização.

Deseja proteger, gerenciar e dar suporte aos seus dispositivos móveis de qualquer lugar? Saiba mais nas Perguntas Frequentes do NinjaOne MDM para explorar as respostas às perguntas comuns sobre MDM.

Conclusão

O Active Directory Certificate Services (AD CS) desempenha uma função importante no aprimoramento da segurança das redes de domínio do Windows. O AD CS integra a PKI à infraestrutura familiar do Active Directory e permite que as organizações emitam e gerenciem certificados digitais, protejam a comunicação e verifiquem a identidade de usuários e dispositivos na rede. Os benefícios do AD CS incluem segurança aprimorada por meio de criptografia e autenticação baseada em certificado, gerenciamento simplificado de certificados e administração centralizada no Active Directory.

Para obter esses benefícios, o AD CS deve ser gerenciado e configurado corretamente, o que significa aderir a um conjunto de práticas recomendadas, que incluem a implementação de procedimentos de backup e recuperação, o monitoramento do AD CS e a realização de manutenção regular. Seguindo essas e outras diretrizes sugeridas neste artigo e desenvolvendo suas habilidades de solução de problemas, você poderá manter uma infraestrutura do AD CS confiável e segura que contribua para a resiliência geral do seu ecossistema de TI.