Bu islem için Domain Policy ‘den ya da bu ayardan etkilenmesini istediginiz kullanicilara linklenmis bir GPO dan

User Configuration
Policies
Administrative Templates
Windows Components
Microsoft Management Console
Restricted/Permitted snap-ins
Certificates seçenegi Disabled hale getirilir.

Bu islem yapildiktan sonra MMC konsolunu açtiginizda önceden certificates Snap-in ‘ini görüntüleyebilmenize ragmen

artik Certificates Snap-in ‘ini görüntüleyemeyeceksiniz

Ve hatta bu snap-in kaydedilmis bir MMC konsolu olsa bile 

Bu kaydedilmis konsolu açmaya çalistiginizda ise asagidaki gibi hata alacaksiniz.

1- Öncelikli olarak domainde bulunan Enterprise CA'yi açin.

? "Certificate Templates" folderina sag klik yapip "Manage"'i seçin.

? Açilan pencerede "IPSec(Offline request) templateine sag klik yapip "Duplicate Template"'i seçin.

? "New Template" dailog kisminin propertieslerinde bu template'e bir isim verin.(örnegin WGTSCert gibi)       

? "Request Handling tabinda, "Allow private key to be exported" seçip "CSP" ye tiklayin.

? "CSP Selection"  da “Microsoft Enhanced Cryptographic Provider v1.0” ve “Microsoft RSA SChannel  Cryptographic Provider” seçeneklerini seçiniz

? "Extensions" tabinda,"Extensions included in this template" altinda bulunan "Application Policies" seçin ve Edit diyin."IP security IKE intermediate" üzerine tilayip ardindan "Remove" diyin.

? "Add" 'e tiklayip listeden "Server Authentication" ekleyin.               

? "Security" tabinda  "Authenticated Users" gurubunun Read ve Enroll haklarina sahip olmasina dikkat edin.

? Mevcut pencereleri "Ok"'leyip kapatin.

? "Certification Authority" 'de , "Certificate Templates" folderina sag tilayarak New--> Certification Template to Issue seçip, çikan "Enable Certificate Templates" kutusunda yaratmis oldugumuz template'i bulup OK'ye tiklayin.

2- CA ‘in chain’i hem WG ‘da olan TS e hemde diger domaindeki computerlere yüklenecektir. Eger RDP yapacak serverlar CA ile ayni domainde ise bu islemin yapilmasina gerek yoktur zira bu chain yapisi Enterprisedan default GPO vasitasiyla Domain bazli sistemlere ulasir. .

? http(s)://<servername,fqdn>/certsrv adresine baglanin.

? Download a CA certificate, certificate chain, or CRL link'ine tiklayin.

? Install this CA certificate chain tiklayin.

? Çikan uyarilara Yes diyin.

? En sonunda The CA certificate chain has been successfully installed uyarisini alacaksiniz.

3- Workgroup TS ve computer üzerine simdi bu template den certifica kurulumu yapmamiz gerekecek  

? Certification Authority'i kurmus oldugunuz makineye baglanin, http(s)://<servername,fqdn>/certsrv

? Request a Certificate linkine tiklayin.

? Advanced Certificate Request linkine tiklayin.

? Create and submit a request to this CA linkine tiklayin.

? "Certificate Template" 'in altinda olusturmus oldugumuz template'i seçin.  ( örnegimde WGTSCert  )   

? "Identifying Information For Offline Template" kismina kurunum yaptiginiz makinenin netbiosName 'ini  girin.  (Benim örnegimde orkatswg)

? "Key Options" altinda bulunan "Create a new key set" i tiklayin ve "CSP" alanina Microsoft Enhanced Cryptographic Provider v1.0 seçin.

? "Key Size" yine istediginiz sekilde degistirebilirsiniz, ben örnegimde bu alani default degerinde birakiyorum.

? "Automatic key container name" ve "Mark keys as exportable" alanlarinin seçili olduguna dikkat edin.

? "Export keys to file","Enable strong private key protection" kismlari bos kalsin ve "Store certificate in the local computer certificate store" seçili olsun.                  

? "Additional Options -->Request Format-->CMC" seçin ve "Hash Algorithm list" den "SHA-1" diyin.

? Friendly Name alanina yine makinenin makinenin netbiosName 'ini  girin.  (Benim örnegimde orkatswg)

? Submit  ve ardindan çikan uyariya Yes diyin. Çikan sayfada "Install Certificate" diyip sertifikayi yükleyin.

4- Bu asamadan sonra Terminal Services Configuration Snapp-ini açiniz

? Connections kismindan kullanilacak connection'in özelliklerini açiniz

? General tabinda ;

? Security Layer kismini Negotiate seçenegine getiriniz. ( Burada isterseniz SSL de kullanabilirsiniz )

? Encryption level kismini High seçenegine getiriniz.

? Certificate kisminda edit kismina tiklayip bir önceki adimda olusturdugumuz sertifikayi seçiniz ve OK tiklayiniz

? Use standard Windows logon interface check box'i isaretleyiniz.

5- Sonra Workgroup Client tarafina geçelim.

? Burada öncelikle kayit defterinde  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Terminal Server Client key’i altinda AuthenticationLevelOverride adinda bir DWORD degeri olusturup degerini 1 olarak atayiniz

Eger bu degeri 1 yapmaz iseniz TS ‘e certifika yüklesenizde client ‘i authentication yapmaya zorlamazsiniz ve sertifika kullanmadanda rdp yapilabilir. Bu deger defaultta 0 olarak algilanir. Yani herhangi bir authentication yapmaya ihtiyaç duymaz. 2 yaparsaniz authentication yapmayi dener ama basaramazsa normal sekilde devam eder.

0 Type this value to configure an authentication level of "No authentication."

1 Type this value to configure an authentication level of "Require authentication."

2 Type this value to configure an authentication level of "Attempt authentication."

Bu degeri 2 yaparak TS ‘e baglantida sertifika kullanimini saglayabilir fakat baska sisteme baglanirken sertifika kullanimi yoksa normal bir baglanti yapmasini saglayabilirsiniz .

Simple Certificate Enrollment Protocol ve  Network Device Enrollment Service ; networkteki aygitlarin sertifika ile authenticate edilmesi için uygulanilabilecek çözümlerdir. Simple Certificate Enrollment Protocol 2003 CA de Network Device Enrollment Service  ise 2008 ve sonrasinda bu islemi uygulayan protocol’ün adidir.

Bu konular ile daha ayrintili bilgilere asagidaki linklerden ulasabilirsiniz.

Simple Certificate Enrollment Protocol

AD CS: Network Device Enrollment Service

Size bu post’ta SCEP ya da NDES sertifikalari expire oldugunda ne uygulayabilecegimiz konusunda bilgi vermek istiyorum.

1. Eger 2003 Server üzerinde SCEP kullaniyor iseniz yeniden SCEP Add’inn ini Simple Certificate Enrollment Protocol kurmaktan baska bir yolunuz bulunmuyor. Bu islem yeni sertifika alarak isleme devam edecektir.
2. Eger 2008 ve sonrasi isletim sistemlerinde Standalone bir Certification Authority ile iliskili bir  Network Device Enrollment Service yüklü ise bu durumda uygulanacak metod yukardaki etot ile bire bir aynidir.
3. Eger 2008 ve sonrasi isletim sistemlerinde Enterprise bir Certification Authority ile iliskili bir Network Device Enrollment Service yüklü ise bu durumda uygulanacak metod asagidaki gibidir.

• NDES  daha önce issue edilmis sertifikalari kullanan devicelari yeni sertifika request yapmak için kullanarak certificate renewal için destekler. Bu özellik KB959193 hotfix’in kurulu oldugu Windows Server 2008 R2, Windows Server 2008 Service Pack 2, ya da Windows Server 2008 de desteklenmektedir.
• Burada önemli nokta renewal isleminin basarili olabilmesi için certificate Subject bilgisinin ayni kalmasi gerekliligidir. Eger sertifikalar yayinlandiktan sonra certificate subject bilgisi modifiye edilirse bu durumda renewal islemi basarisiz olacaktir.
• Certificate subject name asagidaki registry key’inde modifiye edilmistir :
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertSvc\Configuration\<CA Name>
  Multi String value=SubjectTemplate
  

Enterprise CA NDES Certificate Renewal Islemi 

Sertifikalar expire oldugunda NDES server da application event loglarda asagidaki eventleri görüyor olacaksiniz :

Log Name:      Application
Source:        Microsoft-Windows-NetworkDeviceEnrollmentService
Date:          29.05.2012 11:14:12
Event ID:      31
Task Category: None
Level:         Error
Keywords:      Classic
User:          N/A
Computer:      a.a.com
Description:
The Network Device Enrollment Service cannot submit the certificate request (A required certificate is not within its validity period when verifying against the current system clock or the timestamp in the signed file.).  0x80004005

Log Name:      Application
Source:        Microsoft-Windows-NetworkDeviceEnrollmentService
Date:          29.05.2012 14:05:35
Event ID:      34
Task Category: None
Level:         Error
Keywords:      Classic
User:          N/A
Computer:      a.a.com
Description:
At least one of the certificates for the Network Device Enrollment Service has expired. Verify that both the encryption and signing certificates are valid and restart the service.

Service iki geçerli sertifikaya ihtiyaç duyar. Eger servis sertifikalari expire olmus ise ya da olmak üzere ise bu durumda service admin yeni sertifikalar enroll etmelidir. Yeni sertifikalar enroll etmek için ise :

1.Network Device Enrollment Service ‘e host eden sisteme local administrator olarak login olunuz
2.MMC konsolunu açiniz.
3.File –> -Add Remove Snap-ins kismini snap-in seçim penceresini açmak için tiklayiniz .
4.Certificates snap-in seçip ekleyiniz .
5.Certificate snap-in dialog kutusunda Computer Account, seçip Next seçenegini tiklayiniz sonra Local Computer Account seçip Next seçenegini tiklayiniz.
6.Sonraki sayfa da Finish seçenegini seçiniz.
7.OK tiklayiniz.
8.MMC, üzerinde root node ‘u genisletiniz .
9.Personal node ‘u seçiniz.
10.üzerinde Right-click –>All Tasks –> Request New Certificates.
11. Certificate Enrollment dialog kutusunda Next tiklayiniz.
12certificate template ‘I seçiniz . Default olan CEP Encryption dir .
13.Details tiklayiniz,ve sonrasinda Properties tiklayiniz.
14.Certificate Properties dialog kutusunda,Certification Authority tabini tiklayiniz.
15.Dogru CA den islem yaptiginiza emin olun .

1.OK tiklayiniz.
2.Certificate Enrollment dialog kutusunda  Enroll seçenegini tiklayiniz.
3.enrollment tamamlandiginda Personal –>Certificate node’u genisletiniz.
4.Enroll ettiginiz sertifikayi bulunuz
5.Bu sertifikayi seçiniz.
6.Bu sertifika üzerinde Right-click –> select All Tasks –> Manage Private Keys. 
7.Service account’u için read hakkini buraya ekleyiniz. Örnek olarak SCEPSvc.
8.Service’in hemen yapilandirma degisikliklerini almasi için IIS ‘I restart etmeniz gerekmektedir. IISReset komutu burada uygulanilabilir.

Sonrasinda application event loglarda asagidaki hatayi almaya baslayabilirsiniz .

Log Name:      Application
Source:        Microsoft-Windows-NetworkDeviceEnrollmentService
Date:          30.05.2012 11:14:18
Event ID:      29
Task Category: None
Level:         Error
Keywords:      Classic
User:          N/A
Computer:      a.a.com
Description:
The password in the certificate request cannot be verified. It may have been used already. Obtain a new password to submit with this request.

Bu durumu asmak için asagidaki registry degeri eklenip sistem restart edilir. Bu asamadan sonra sorunsuz bir sekilde islem yapilmaya baslanilmalidir.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP
EnforcePassword \ EnforcePassword
DWORD
1 degeri 0 yapilir

Bir share üzerinde bulunan bir dosya encrypt edilmek istenildiginde : "An error occurred applying attributes to the file:"(File Path)"The requested operation cannot be completed. The computer must be trusted for delegation and the current user account must be configured to allow delegation." uyarisi aliniyor ve encryption tamamlanilamiyor.

Bu  islemi delegation olmayan bir sistemde (ORKLAB1IIS)

Ve delegation olan bir sistemde (ORKLAB1DC) denedim.

Delagation olmayan sistemde EFS denedigimde (ORKLAB1IIS) bu durumu gözlemledim.

Fakat delegation olan sistemde (ORKLAB1DC)  bu islemi yaptigimda

Dolayisiyla EFS yapilacak Network Share’lerin oldugu sistemlerde “Trust this computer for delegation to any service (Kerberos only) seçeneginin seçilmesi gerekmekte.

Delagation olmayan sistemde EFS denedigimde (ORKLAB1IIS) , delagation’i enable ettigimde  gene ayni hatayi aldim.

Dolayisiyla bu islem için önce AD tarafinda replication’I tetikledim

repadmin /syncall /eAPd
 
repadmin /syncall with the /A(ll partitions) P(ush) e(nterprise, cross sites) d(istinguished names)

sonrasinda da tekrar test kullanicim ile login oldum 

Bu islem sonrasi artik bu sharedeki kaynagi encrypt edebildim.

Peki Delagation ne yapar ?  Bu durum ile ilgili en basit olarak buldugum kaynak asagidaki kaynak ama yarin daha fazla arastirma ile size geri dönüs yapacagim.

https://technet.microsoft.com/en-us/library/cc782684(v=ws.10).aspx

Description

This security setting determines which users can set the Trusted for Delegation setting on a user or computer object.
The user or object that is granted this privilege must have write access to the account control flags on the user or computer object. A server process running on a computer (or under a user context) that is trusted for delegation can access resources on another computer using delegated credentials of a client, as long as the client account does not have the Account cannot be delegated account control flag set.
This user right is defined in the Default Domain Controller Group Policy object (GPO) and in the local security policy of workstations and servers.

Caution
•    Misuse of this user right, or of the Trusted for Delegation setting, could make the network vulnerable to sophisticated attacks using Trojan horse programs that impersonate incoming clients and use their credentials to gain access to network resources.

Ayrica edindigim asagidaki bilgide oldugu gibi trusted for delegation devre disida olsa legacy OS ‘lerden encrypt islemi yapilabiliyor. Bu durumu test etme sansim olmadi ama test etmemizi gerektirecek bir durumda bulunmuyor. Zira artik bu isletim sistemleri çok fazlaca kullanilmamakla birlikte artik yeni jenerasyon isletim sistemleri kullanilmakta.

Trusted for delegation is failing for EFS when a Vista client tries to encrypt on a WS2003 SRV in a LH domain. When the LH DC is at the Longhorn domain functional level, users who are logged onto a Vista/LH client cannot access previously-encrypted files on the downlevel server and cannot encrypt new files on the server.

Note:
1. In this same domain environment, users who are logged onto a Windows XP client can encrypt and decrypt files on the same server.
2. The algorithm change made is causing this issue for Vista/LH clients.

Delegation ile ilgili daha fazla bilgiyi asagidaki linkten edinebilirsiniz :

https://technet.microsoft.com/en-us/library/cc739740(v=ws.10).aspx

Delegation is the act of allowing a service to impersonate a user account or computer account in order to access resources throughout the network. When a service is trusted for delegation, that service can impersonate a user to use other network services.
Ayrica asagidaki bilgi MS Press ürünü olan Windows Server 2008 PKI and Certificate Security kitabinda yazilmaktadir.

Remote Encryption
The EFS encryption process changes when you attempt to encrypt a file on a remote server.
The process used by Windows 2000 and Windows XP clients is different from the new
process implemented for Windows Vista clients.

Remote EFS Encryption for Windows 2000 and Windows XP Clients
When you perform remote file encryption from a Windows 2000 or Windows XP client using
Server Message Block (SMB) or Common Internet File System (CIFS), the file is encrypted
at a remote file server in a share created on the file server. Encryption is performed by allowing
the remote file server to impersonate the user.

Important The computer account of the remote file server must have the Trusted For
Delegation option enabled for its computer object in AD DS. This allows the computer
to impersonate any user through Kerberos delegation. For this reason, many organizations
consider enabling the Trusted for Delegation option a huge security risk.

When the computer account impersonates a user, it loads a user profile for the user account
on the local file system and follows the same process to determine whether an EFS certificate
exists for the user account. A different EFS encryption certificate is implemented at each file
server where EFS encryption is enabled. In fact, the remote EFS encryption certificates are
different that the EFS certificate used for local EFS encryption.

Important The same process is used by a Windows Vista client when it connects to a share
hosted on a server computer running Windows 2000 Server or Windows Server 2003.
An alternative to allowing EFS encryption on file servers is to implement Web-based
Distributed Authoring and Versioning (WebDAV), or Web folders, at the remote file server.

Rather than connecting to the file server on TCP port 445 (or TCP port 139 for the older SMB
protocol), the server allows connections through the Hypertext Transfer Protocol (HTTP)
port, TCP port 80 (or TCP port 443 if Secure Sockets Layer [SSL] is implemented).
The benefit of using WebDAV is that a Windows XP client performs file encryption on the
local computer rather than the remote file server. This provides better data protection as
the file is transmitted from the client’s computer to the remote file server.
When a Windows XP client connects to a WebDAV access point on a remote server, files are
encrypted locally on the client and then sent to the WebDAV server as an encrypted file using
an HTTP PUT command.

Likewise, when a Windows XP client connects to the WebDAV access point to open a
previously encrypted file, the encrypted file is transmitted to the Windows XP client via an
HTTP GET command and then decrypted locally on the client.

Bazi özel durumlarda kendi ortamimizda olmayan bir Certification Authority’e request yaparak sertifika alma ihtiyacimiz olabilir. Böyle durumlar için daha önceki isletim sistemlerinde bazi dosyalar hazirlayarak request dosyasi olusturmak gerekmekte idi. Windows Vista isletim sistemleri ile birlikte bu tür bir hazirliga girismeden bir sertifika request’I uygulanilabilmektedir.

Peki Custiom bir certificate request’i istediginiz gibi ne sekilde olusturabilirsiniz. Bu detaylari asagida bulabileceksiniz :

Önce Start à Run à MMC ile Microsoft Management Console’u açiniz
Sonrasinda Microsoft Management Console da File à Add/Remove Snap-in… seçenegini tiklayiniz

Açilan pencerede Certificates seçenegini seçip Add butonuna tiklayiniz

Computer Account Seçenegini seçip devam ediniz . Burada bizim alacagimiz certificate bir computer certificate’I oldugu için bu seçenegi seçtim.

Local Computer seçenegini seçip devam ediniz

Artik OK butonuna basarak ekledigimiz snap-in I görebiliriz.

Burada Certificates (Local Computer) ? Personal  ? Certificates alani üzerinde sag klik yaparak  ;
All Tasks ? Advanced Operations ? Create Custom Request seçenegini seçiniz

Gelen sayfayi direk geçin

Gelen ekranda Proceed without enrollment policy seçenegi ile devam ediniz

Bir sonraki ekranda (No Template) Legacy key seçenegini seçiniz ve alt taraftaki Request Format seçenegini CMC olarak seçiniz

Custom request’i olustururken o              PKCS #10 formatini degil CMC formatini seçtik . Asagidaki linkte görebileceginiz üzere CMC genelde Microsoft certification authority olmayan certification authority’lere request yapilirken kullanilan formattir. 

https://technet.microsoft.com/en-us/library/cc730929.aspx

PKCS #10 is a widely used format for certificate requests. CMC can be used to prepare requests that will be submitted to a non-Microsoft certification authority. </LI>

Eger certificate’I üretecek olan vendor PKCS #10 formatini istiyor ise bu durumda bu alanda PKCS #10 formatini seçmelisiniz.

Sonrasinda gelen ekranda Properties butonunu tiklayiniz

General tabini isterseniz bos birakabilirsiniz. Buranin certificate ‘I etkileyen bir durumu yok sadece sizin hatirlamaniz ve Local Certificate Store da sertifikayi nasil göreceginiz ile ilgilidir. Ben örnek olmasi açisindan asagidaki gibi bilgiler girdim.

Sonrasinda Subject tabina gelelim burada asagidaki gibi bos alanlar göreceksiniz

Bu alanlari gerekli sekilde dolduralim.Ben örnek olmasi açisindan asagidaki bilgileri girerek ve her seferinde add butonuna tiklayarak ekledim.

Islem bittiginde görüntü asagidaki gibi olacaktir.

Extensions kismina gelelim  ve Key Usage alanine Digital Signature ve Key Encipherment olacak sekilde  ;

Extended Key Usage kismini ise gerekli authentication metodu için EKU girelim. Ben örnegimde Server Authentication olacak sekilde girdim.

Private Key tabina gelelim  ve burada istenilen provider ‘i seçelim. Ben örnegimde asagidaki gibi RSA provider’i seçtim.

Key Size I 2048 bit’e ve Private key I export edilebilecek duruma getirelim.

Bu requestin olacagi dosya ismini yazip devam edelim

Islem bittiginde Certificates (Local Computer) à Certificate Enrollment Requests  à Certificates alani üzerine geldiginizde bu request ile ilgili olusan cert req requesti görebilirsiniz

Yaptigimiz islem neticesinde olusan dosyayi bulup notepad ile açalim. Asagidaki gibi bir içerik göreceksiniz.

Bu olusan request dosyasini artik certificate üreticisine gönderip gerekli certificate’in üretilmesini saglayabilirsiniz.

CA üzerinde Ceertificate Templates alanine görmüyor / template olusturamiyorsunuz durumlari için asagidaki kaynagi referans alabilirsiniz . Neden olarak sunlari belirtebiliriz :

1- CA Offline Standalone Root CA ‘dir

2- CA  https://msdn.microsoft.com/en-us/library/cc725838 linkinde belirtilmis OS gerekliklerini saglayamiyordur. Bir CA de template olusturabilmek için o CA ‘in temelde asagidaki isletim sistemlerinden birinde kurulu olmasi gerekmektedir.

Version 2 certificate templates

Version 2 certificate templates were introduced in Windows Server 2003 and can be configured by an administrator to control the way certificates are requested, issued, and used. Version 2 templates provide support for certificate autoenrollment.

Template availability

· Windows Server 2008 R2, all editions

· Windows Server 2008, Enterprise and Datacenter editions

· Windows Server 2003 R2, Enterprise and Datacenter editions

· Windows Server 2003, Enterprise and Datacenter editions

Bu bilgiler isiginda önce CA ‘in hangi tür bir CA oldugu asagidaki registry degerleri ile bulunur .

Location: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\CertSvc\Configuration\<CA Name>\

CAType = 0 (Enterprise Root CA)

CAType = 1 (Enterprise Subordinate CA)

CAType = 3 (Stand Alone Root CA)

CAType = 4 (Stand Alone Subordinate CA)

Eger CA standalone bir CA ise Template seçenegi olmayacaktir. Ayni sekilde 2008’e kadar OS versiyonlarinda sadece Enterprise and Datacenter versiyonlarda template görülebilir. 2008R2 de böyle bir kisitlama sözkonusu degildir

Kaynak :

https://msdn.microsoft.com/en-us/library/cc725838

1- Öncelikli olarak domainde bulunan Enterprise CA'yi açin.

? "Certificate Templates" folderina sag klik yapip "Manage"'i seçin.

? Açilan pencerede "IPSec(Offline request) templateine sagklik yapip "Duplicate Template"'i seçin.

? "New Template" dailog kisminin propertieslerinde  bu template'e bir isim verin.(örnegin WGTSCert gibi)       

? "Request Handling tabinda, "Allow private key to be exported" seçip "CSP" ye tiklayin.

? "CSP Selection"  da “Microsoft Enhanced Cryptographic Provider v1.0” ve “Microsoft RSA SChannel  Cryptographic Provider” seçeneklerini seçiniz

? "Extensions" tabinda,"Extensions included in this template" altinda bulunan "Application Policies" seçin ve Edit diyin."IP security IKE intermediate" üzerine tilayip ardindan "Remove" diyin.

? "Add" 'e tiklayip listeden "Server Authentication" ekleyin.               

? "Security" tabinda  "Authenticated Users" gurubunun Read ve Enroll haklarina sahip olmasina dikkat edin.

? Mevcut pencereleri "Ok"'leyip kapatin.

? "Certification Authority" 'de , "Certificate Templates" folderina sag tilayarak New--> Certification Template to Issue seçip, çikan "Enable Certificate Templates" kutusunda yaratmis oldugumuz template'i bulup OK'ye tiklayin.

2- CA ‘in chain’i hem WG ‘da olan TS e hemde diger domaindeki computerlere yüklenecektir. Eger RDP yapacak serverlar CA ile ayni domainde ise bu islemin yapilmasina gerek yoktur.

? http(s)://<servername,fqdn>/certsrv adresine baglanin.

? Download a CA certificate, certificate chain, or CRL link'ine tiklayin.

? Install this CA certificate chain tiklayin.

? Çikan uyarilara Yes diyin.

? En sonunda The CA certificate chain has been successfully installed uyarisini alacaksiniz.

3- Workgroup TS ve computer üzerine simdi bu template den certifica kurulumu yapmamiz gerekecek  

? Certification Authority'i kurmus oldugunuz makineye baglanin, http(s)://<servername,fqdn>/certsrv

? Request a Certificate linkine tiklayin.

? Advanced Certificate Request linkine tiklayin.

? Create and submit a request to this CA linkine tiklayin.

? "Certificate Template" 'in altinda olusturmus oldugumuz template'i seçin.  ( örnegimde WGTSCert  )   

? "Identifying Information For Offline Template" kismina kurunum yaptiginiz makinenin netbiosName 'ini  girin.  (Benim örnegimde orkatswg)

? "Key Options" altinda bulunan "Create a new key set" i tiklayin ve "CSP" alanina Microsoft Enhanced Cryptographic Provider v1.0 seçin.

? "Key Size" yine istediginiz sekilde degistirebilirsiniz, ben örnegimde bu alani default degerinde birakiyorum.

? "Automatic key container name" ve "Mark keys as exportable" alanlarinin seçili olduguna dikkat edin.

? "Export keys to file","Enable strong private key protection" kismlari bos kalsin ve "Store certificate in the local computer certificate store" seçili olsun.                  

? "Additional Options -->Request Format-->CMC" seçin ve "Hash Algorithm list" den "SHA-1" diyin.

? Friendly Name alanina yine makinenin makinenin netbiosName 'ini  girin.  (Benim örnegimde orkatswg)

? Submit  ve ardindan çikan uyariya Yes diyin. Çikan sayfada "Install Certificate" diyip sertifikayi yükleyin.

4- Bu asamadan sonra  asagidaki adimlara geçiniz. Terminal Services Configuration Snapp-ini açiniz

? Connections kismindan kullanilacak connection'in özelliklerini açiniz

? General tabinda ;

? Security Layer kismini Negotiate seçenegine getiriniz. ( Burada isterseniz SSL de kullanabilirsiniz )

? Encryption level kismini High seçenegine getiriniz.

? Certificate kisminda edit kismina tiklayip bir önceki adimda olusturdugumuz sertifikayi seçiniz ve OK tiklayiniz

? Use standard Windows logon interface check box'i isaretleyiniz.

5- Sonra Workgroup Client tarafina geçelim.

? Burada öncelikle kayit defterinde  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Terminal Server Client key’i altinda AuthenticationLevelOverride adinda bir DWORD degeri olusturup degerini 1 olarak atayiniz

Eger bu degeri 1 yapmaz iseniz TS ‘e certifika yüklesenizde client ‘i authentication yapmaya zorlamazsiniz ve sertifika kullanmadanda rdp yapilabilir. Bu deger defaultta 0 olarak algilanir. Yani herhangi bir authentication yapmaya ihtiyaç duymaz. 2 yaparsaniz authentication yapmayi dener ama basaramazsa normal sekilde devam eder.

0 Type this value to configure an authentication level of "No authentication."

1 Type this value to configure an authentication level of "Require authentication."

2 Type this value to configure an authentication level of "Attempt authentication."

Hazirladigimiz certifika Web Enrollment kisminda "Store certificate in the local computer certificate store" checkbox görünmedigi için user ‘in local store’una kopyalaniyordu.

bu sertifikayi private key ile export edip sonrasinda local computer store a import etmeliyiz ve artik bu sertifikayi TS configurationda görebiliyor olmaniz gerekmekte.

Artik bu asamada RDP connection sertifika kullanarak secure bir hale gelmis olacaktir

Bu durum GPO üzerinden yapilandirilabiliyor. Fakat bu islem yapildiktan sonra sadece Computer Certificates store degil ayrice Users Certificates store da görüntülenmiyor.

Bu islem için Domain Policy ‘den ya da bu ayardan etkilenmesini istediginiz kullanicilara linklenmis bir GPO dan

User Configuration

Policies

Administrative Templates

Windows Components

Microsoft Management Console

Restricted/Permitted snap-ins

Certificates seçenegi Disabled hale getirilir.

Bu islem yapildiktan sonra MMC konsolunu açtiginizda önceden certificates Snap-in ‘ini görüntüleyebilmenize ragmen

artik Certificates Snap-in ‘ini görüntüleyemeyeceksiniz

Ve hatta bu snap-in kaydedilmis bir MMC konsolu olsa bile 

Bu kaydedilmis konsolu açmaya çalistiginizda ise asagidaki gibi hata alacaksiniz.

Bir CA server’in web enrollment sayfasina ulasilamama durumlari oldukça sik karsilasilan bir durum zira IIS üzerinde kullanilan bazi uygulamalar CA web enrollment’in virtual dizinlerine zarar verebilmekte. Bu gibi durumlarda

1- Web Enrollment kurulu oldugu halde web enrollment sayfasi ile ilgili virtual dizinler bulunmamaktadir ve web enrollment sayfasi çalismamaktadir

2- Web Enrollment kurulu ve web enrollment sayfasi ile ilgili virtual dizinler IIS üzerinde oldugu halde web enrollment sayfasi çalismamaktadir

3 - World Wide Web Publishing Service ‘I sistem üzerinde servisler konsolunda görünmedigi için web enrollment sayfasi çalismamaktadir

Bu durumlar için çözümler ise :

1- Virtual Directory’leri yeniden olusturmak için asagidaki komutlar uygulanmalidir.

certutil -vroot create

iisreset

2 – Bu durumda virtual dizinlerin silinip yeniden olusturulmasi gerekmektedir.

certutil –vroot delete

certutil -vroot create

iisreset

3-

Sistemin Full backup’i alinir

Administrator’in HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENT VERSION\SVCHOST registry key’inde full hakki olmasi saglanir

IIS sistemden kaldirilip yeniden kurulur

Default Web Site’in düzgün çalistigi dogrulanir.

Virtual Directory’ler asagidaki komut vasitasi ile yeniden olusturulur.

certutil -vroot create

iisreset

Söyle bir senaryo söz konusu olabilir. Ortaminiza herhangi bir nedenden dolayi yeni bir PKI hiyerarsisi kurmus olabilir ve eskisini kullanmiyor olabilirsiniz .Fakat bu eski PKI yapisindan alinan sertifikalar sistemler üzerinde bulunmaktadir. Bu sertifikalar bir süre sonra expire olacaktir. Expire olduklarinda yeni CA’den sertifika almalarini saglamak için nasil bir  process izlemek gerekiyor.

Eger yeni CA e bir an önce geçmek istiyorsaniz ayrica varolan DC sertifikalarini certutil –dcinfo deleteall kullanarak silebilirsiniz.( örnegin : Eger Reenroll All Certificate Holders seçenegine izin vermeyen DomainController template'ini kullaniyorsaniz ) DC lerin belirli bir zaman periyodunda herhangi bir sertifikalari olmayacagini not ediniz.

· certutil –dcinfo ile halihazirda olan dc sertifikalari görüntülenir.

· certutil –dcinfo deleteall ile halihazirda olan dc sertifikalari silinmesi .Bu islemler yapildiktan sonra DC sertifikasi silinecektir.

· Sonrasinda Yeni CA üzerinde Domain Controller Authentication template 'i üzerinde Reenroll All Certificate Holders seçenegini tiklayarak versiyonu artiracagiz.

Domain Controller template bu template içerisinde superseded oldugu için ve Domain Controller template version 1 template oldugu ve üzerinde Reenroll All Certificate Holders seçenegini seçemeyecegimiz için bu islemi yapiyoruz.

Sonrasinda belli bier süre sonra ( Benim test sistemimde belirli bir zaman sonra oldu ) DC nin Certificates (Local Computer) store altinda /Personal altinda Certificates altinda yeni CA den issue edilen Domain Controller sertifikasini göreceksiniz. Ya da bu islemi gpupdate /force ile hizli bir sekilde olmasi için uygulayabilirsiniz.