Application de restrictions de politique interdisant les certificats génériques (wildcard) dans les pipelines d’inscription Microsoft AD CS

Question

Je recherche la procédure technique permettant de restreindre l’émission de certificats contenant des entrées génériques basées sur des astérisques dans les champs Common Name (CN) ou Subject Alternative Name (SAN) sur une autorité de certification Microsoft standard. Plus précisément, quelles modifications doivent être apportées aux propriétés du modèle de certificat ?

Answer 1

Bonjour Clement Dufreshne,

Votre problème a-t-il déjà été résolu ? Si c'est le cas, merci d'accepter la réponse car cela aide aussi d'autres personnes partageant le même problème. Merci :)

Domic V.

Answer 2

Bonjour Clémence Dufreshne,

Pour restreindre efficacement l'émission de jokers nativement au niveau du modèle, vous devez ouvrir les propriétés du modèle de certificat, aller dans l'onglet Nom de la Sujet, et modifier la configuration pour construire le sujet à partir des informations d'Active Directory. Ce changement administratif oblige l'autorité de certification à interroger directement les attributs réels de l'utilisateur ou de l'objet informatique demandeur depuis votre service d'annuaire.

Si votre environnement a une exigence stricte métier où l'identité doit être fournie manuellement dans la requête elle-même, les outils natifs Microsoft ne suffiront pas. Pour atteindre ce niveau de filtrage granulaire des chaînes, vous devez concevoir et implémenter un module de politique personnalisé exploitant l'interface ICertPolicy COM.

J'espère que cette réponse vous a apporté des informations utiles. Si c'est le cas, veuillez cliquer sur «** accepter la réponse **». Si vous avez des questions, n'hésitez pas à laisser un commentaire.

Domic V.