Требования к сертификатам для серверов федерации

В любом дизайне службы федерации Active Directory (AD FS) (AD FS) различные сертификаты должны использоваться для защиты обмена данными и упрощения проверки подлинности пользователей между клиентами Интернета и серверами федерации. Каждый сервер федерации должен иметь сертификат связи службы и сертификат подписи маркеров, прежде чем он сможет участвовать в обмене данными AD FS. В следующей таблице описаны типы сертификатов, связанные с сервером федерации.

Тип сертификата	Description
Сертификат подписи токена	Сертификат подписи токена — это сертификат X509. Серверы федерации используют соответствующие пары открытых и закрытых ключей для добавления цифровой подписи на все издаваемые ими маркеры безопасности. Сюда относится подписывание опубликованных метаданных федерации и запросов на разрешение артефактов. В оснастке управления AD FS можно настроить несколько сертификатов подписывания маркеров, чтобы разрешить откат сертификата, если срок действия одного сертификата близок к истечению срока действия. По умолчанию все сертификаты в списке публикуются, но только основной сертификат подписи маркеров используется AD FS для фактических подписывания маркеров. Все выбранные сертификаты должны иметь соответствующий закрытый ключ. Дополнительные сведения см. в статьях Token-Signing Certificates и Add a Token-Signing Certificate.
Сертификат взаимодействия служб	Серверы федерации используют сертификат аутентификации сервера, также известный как сертификат взаимодействия служб для безопасности сообщений Windows Communication Foundation (WCF). По умолчанию это тот же сертификат, что и сервер федерации, используемый в качестве ssl-сертификата в службы IIS (IIS). Примечание. Оснастка управления AD FS ссылается на сертификаты проверки подлинности сервера для серверов федерации в качестве сертификатов связи службы. Дополнительные сведения см. в разделе "Сертификаты связи служб" и "Настройка сертификата связи службы". Поскольку сертификату взаимодействия служб должны доверять клиентские компьютеры, рекомендуется использовать сертификат, подписанный доверенным центром сертификации. Все выбранные сертификаты должны иметь соответствующий закрытый ключ.
Сертификат SSL	Серверы федерации используют сертификат SSL для обеспечения безопасности трафика веб-служб при обмене данными SSL с веб-клиентами и прокси-серверами федерации. Поскольку сертификату SSL должны доверять клиентские компьютеры, рекомендуется использовать сертификат, подписанный доверенным центром сертификации. Все выбранные сертификаты должны иметь соответствующий закрытый ключ.
Сертификат расшифровки токенов	Этот сертификат используется для расшифровки маркеров, полученных этим сервером федерации. Можно использовать несколько сертификатов расшифровки. Это позволяет серверу федерации ресурсов расшифровывать маркеры, выданные старым сертификатом после установки нового сертификата в качестве основного сертификата расшифровки. Все сертификаты можно использовать для расшифровки, однако только основной сертификат расшифровки токенов фактически публикуется в метаданных федерации. Все выбранные сертификаты должны иметь соответствующий закрытый ключ. Дополнительные сведения см. в разделе "Добавление сертификата расшифровки маркеров".

Можно запросить и установить сертификат SSL или сертификат взаимодействия служб. Запрос сертификата взаимодействия служб осуществляется через консоль управления Microsoft Management Console (MMC) для IIS. Дополнительные сведения об использовании SSL-сертификатов см. в статье IIS 7.0. Настройка уровня безопасных сокетов в IIS 7.0 и IIS 7.0. Настройка сертификатов сервера в IIS 7.0 .

Примечание.

В AD FS можно изменить уровень безопасного хэш-алгоритма (SHA), который используется для цифровых подписей на SHA-1 или SHA-256 (более безопасный). AD FSdoes не поддерживают использование сертификатов с другими хэш-методами, такими как MD5 (алгоритм хэша по умолчанию, используемый с средством командной строки Makecert.exe). В целях безопасности рекомендуется использовать алгоритм SHA-256 (настроенный по умолчанию) для всех подписей. SHA-1 рекомендуется использовать только в сценариях, подразумевающих взаимодействие с продуктом, не поддерживающим обмен данными по алгоритму SHA-256, например продуктом производителя, отличного от Microsoft, или AD FS 1. x.

Определение стратегии центра сертификации

AD FS не требует выдачи сертификатов ЦС. Однако SSL-сертификат (сертификат, используемый по умолчанию в качестве сертификата связи службы), должен быть доверенным клиентами AD FS. Не рекомендуется использовать самозаверяющие сертификаты для этих типов сертификатов.

Внимание

Использование самозаверяющего ssl-сертификата в рабочей среде может позволить злоумышленнику в партнерской организации учетной записи контролировать серверы федерации в партнерской организации ресурсов. Риск безопасности существует, потому что самозаверяющие сертификаты являются корневыми. Их необходимо добавить в доверенное корневое хранилище другого сервера федерации (например, сервер федерации ресурсов), что может оставить этот сервер уязвимым для атаки.

После получения сертификата из центра сертификации необходимо убедиться, что все сертификаты импортированы в хранилище личных сертификатов на локальном компьютере. Можно импортировать сертификаты в это хранилище, воспользовавшись оснасткой MMC для сертификатов.

Помимо использования оснастки сертификатов можно также импортировать сертификат SSL с помощью оснастки диспетчера IIS Manager при назначении сертификата SSL веб-сайту по умолчанию. Дополнительные сведения см. в разделе "Импорт сертификата проверки подлинности сервера" на веб-сайт по умолчанию.

Примечание.

Перед установкой программного обеспечения AD FS на компьютере, который станет сервером федерации, убедитесь, что оба сертификата находятся в хранилище личных сертификатов локального компьютера и что SSL-сертификат назначается веб-сайту по умолчанию. Дополнительные сведения о порядке задач, необходимых для настройки сервера федерации, см. в разделе Контрольный список. Настройка сервера федерации.

В зависимости от требований безопасности и бюджетных ограничений необходимо тщательно продумать, какие из сертификатов будут присваиваться публичным или корпоративным центром сертификации. На рисунке ниже показаны рекомендованные издатели (центры сертификации) определенных типов сертификатов. В этих рекомендациях отражен оптимальный подход с точки зрения безопасности и затрат.

Списки отзыва сертификатов

Если у какого-либо используемого сертификата есть списки отзыва сертификатов (CRL), сервер с настроенным сертификатом должен иметь возможность связаться с сервером, распространяющим CRL.

См. также

Руководство по разработке служб федерации Active Directory в Windows Server 2012