GPO Kullanan Bir Bilgisayarda SSL Sertifikası Nasıl Dağıtılır?

Etki alanı bilgisayarlarında merkezi olarak SSL sertifikası dağıtmayı ve Grup İlkesi'ni kullanarak Güvenilen Kök Sertifika Yetkililerine eklemeyi görelim. Sertifika dağıtıldıktan sonra, tüm istemci cihazlar bu sertifika tarafından imzalanan hizmetlere güvenecektir. Bizim durumumuzda, AD'deki kullanıcının bilgisayarlarına kendinden imzalı SSL Exchange sertifikasını (etki alanındaki Active Directory Sertifika Hizmetleri rolü yüklü değil) dağıtacağız.

Exchange sunucunuz için kendinden imzalı bir SSL sertifikası kullanıyorsanız, Outlook'un ilk başlangıcında istemci bilgisayarlarda şu mesaj görünür: Bu sertifika güvenilir değil ve kullanımı güvenli değil.

Bu uyarıyı kaldırmak için Exchange sertifikasını kullanıcının bilgisayarındaki güvenilen sertifikalar listesine eklemelisiniz. Bu manuel olarak (veya sertifikayı kurumsal işletim sistemi görüntüsüne entegre ederek) yapılabilir, ancak sertifikayı GPO kullanarak otomatik olarak yüklemek daha kolay ve daha etkilidir. Böyle bir sertifika dağıtım şeması kullanıldığında, gerekli tüm sertifikalar tüm eski ve yeni etki alanı bilgisayarlarına otomatik olarak yüklenecektir.

Her şeyden önce, kendinden imzalı sertifikayı Exchange sunucunuzdan dışa aktarmanız gerekir. Bunu yapmak için sunucunuzda oturum açın, mmc.exe'yi çalıştırın ve Sertifikalar (yerel bir bilgisayar için) ek bileşenini ekleyin.

Sertifikalar (Yerel Bilgisayar) -> Güvenilir Kök Sertifika Yetkilileri -> Sertifikalar bölümüne gidin.

Sağ bölmede Exchange sertifikanızı bulun, üzerine sağ tıklayın ve Tümü Görevler -> Dışa Aktar'ı seçin.

Dışa Aktarma Sihirbazı'nda DER kodlu ikili X.509 (.CER) biçimini seçin ve sertifika dosyasının yolunu belirtin.

$webRequest = [Net.WebRequest]::Create("https://exchange_cas/owa")
try { $webRequest.GetResponse() } catch {}
$getcert = $webRequest.ServicePoint.Certificate
$bytes = $getcert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "c:\ps\your_exchange_cert.cer"

Böylece Exchange sertifikasını bir CER dosyasında dışa aktardınız. Sertifika dosyasını paylaşılan ağ klasörüne yerleştirmeniz ve tüm kullanıcıların buna okuma erişimi olması gerekir (gerekirse, erişim NTFS izinleriyle kısıtlanabilir veya klasör ABE kullanılarak gizlenebilir). Örneğin, sertifika dosyasının yolu şu şekilde olsun: \lon-fs01\GroupPolicy$\Certificates.

Yeni bir sertifika dağıtım politikası oluşturmaya geçelim. Bunu yapmak için Grup İlkesi Yönetimi konsolunu (gpmc.msc) başlatın. OU'yu seçerek yeni bir ilke oluşturun (bizim örneğimizde, sertifikanın sunuculara ve teknolojik sistemlere yüklenmesini istemediğimiz için bilgisayarları içeren OU'dur) ve bağlam menüsünde GPO oluştur'u seçin. bu etki alanını ve buraya bağlayın…

Politika adını (Install-Exchange-Certificate) belirtin ve politika düzenleme moduna geçin.

GPO Düzenleyici'de Bilgisayar Yapılandırması -> İlkeler -> Windows Ayarları -> Güvenlik Ayarları -> Genel Anahtar İlkeleri -> Güvenilir Kök Sertifika Yetkilileri bölümüne gidin.

GPO düzenleyici penceresinin sağ tarafını sağ tıklayın ve İçe Aktar'ı seçin.

Paylaşılan klasöre yerleştirdiğiniz, içe aktarılan sertifika dosyasının yolunu belirtin.

Sihirbazın ilgili adımında (Tüm sertifikaları aşağıdaki depoya yerleştir), bunun Güvenilir Kök Sertifikalandırma içine yerleştirilmesi gerektiğini belirtin. > Yetkililer.

Oluşturulan sertifika dağıtım ilkesi. Güvenlik Filtreleme veya WMI GPO filtreleme kullanarak bu ilkeyi istemcilerde daha doğru bir şekilde hedefleyebilirsiniz.

Çalıştırarak grup politikası ayarlarını test edelim

gpupdate /force

müşteri üzerinde. Sertifikanızın güvenilir sertifikalar listesinde göründüğünü doğrulayın. Sertifikayı Yönet ek bileşeninde (Güvenilir Kök Sertifika Yetkilileri -> Sertifikalar) veya Internet Explorer ayarlarında (İnternet Seçenekleri -> İçerik -> Sertifikalar -> Güvenilir Kök) yapılabilir. Sertifika Yetkilileri).

Artık Outlook yapılandırması sırasında güvenilmeyen sertifika uyarısı görünmeyecek.

HTTPS sitenizi açtığınızda tarayıcıda (bizim örneğimizde, bu Exchange OWA'dır), güvenilmeyen bir SSL sertifikasıyla ilgili bir uyarının artık görünmeyeceğini kontrol edebilirsiniz. Artık, Outlook'u Exchange sunucunuza bağlanacak şekilde yapılandırdığınızda (Outlook 2016'da Exchange sunucusunun manuel olarak yapılandırılması yalnızca kayıt defteri aracılığıyla mümkündür), güvenilmeyen sertifika uyarısı görünmez.

Sertifika dağıtım ilkesini yalnızca belirli bir AD güvenlik grubundaki bilgisayarlara (veya kullanıcılara) uygulamak istiyorsanız, Grup İlkesi Yönetimi konsolunda Install-Exchange-Cert ilkenizi seçin. Güvenlik Filtreleme bölümündeki Kapsam sekmesinde, Kimliği Doğrulanmış Kullanıcılar grubunu silin ve güvenlik grubu adınızı ekleyin (örneğin, AllowAutoDeployExchCert). Bu ilkeyi etki alanı köküne bağlarsanız, sertifikanız güvenlik grubuna eklenen bilgisayarlara otomatik olarak yüklenir.

Aynı GPO, SSL sertifikalarını aynı anda birden çok bilgisayara yüklemenize olanak tanır. Politikanız tarafından dağıtılan sertifikalar hakkında daha fazla bilgi için GPMC konsolundaki politika Ayarları'na bakın. Gördüğünüz gibi, Veren, Veren, Expiration Date ve Intended Purposes sertifika özellikleri görüntüleniyor .

Bilgisayarların doğrudan İnternet erişimi yoksa, bu şekilde etki alanındaki tüm cihazlarda güvenilen kök sertifikaları güncelleyebilirsiniz. Ancak, yalıtılmış etki alanlarındaki kök ve iptal edilmiş sertifikaları güncellemenin daha basit ve daha doğru bir yolu vardır.

Böylece, tüm etki alanı bilgisayarlarında (belirli bir kuruluş biriminde veya etki alanı güvenlik grubunda) belirli bir otomatik sertifika dağıtım politikanız olur. Sertifika, teknik destek ekibinden herhangi bir manuel işlem gerektirmeden tüm yeni bilgisayarlara otomatik olarak yüklenecektir. Güvenlik nedenleriyle, şüpheli ve iptal edilmiş sertifikalar için Windows Sertifika Kök deposunu düzenli aralıklarla taramanız önerilir.