Page History

...

setspn -s http/<NDES-Server-FQDN> <DOMAIN>\ndes
setspn -s http/<NDES-Server-NetBIOS> <DOMAIN>\ndes

Anchor
certTempl certTempl

Подготовка шаблонов сертификатов

По умолчанию NDES использует шаблон IPSECIntermediateOffline. Рекомендуется дублировать шаблон (Duplicate Template) и создать собственный (например, NDES-GeneralPurpose).

Так же рекомендуется дублировать шаблоны CEPEncryption и EnrollmentAgentOffline - в данном примере это будут дубликаты с именами CEPEncryptionNDES и EnrollmentAgentOfflineNDES

Отображаемое имя сертификата сделаем путем добавления к отображаемому имени родительского шаблона  текста "для NDES". Т.е. наши шаблоны будут отображены в интерфейсе как "Шифрование CEP для NDES" и "Агент регистрации Exchange (автономный запрос) для NDES"

У шаблона EnrollmentAgentOfflineNDES необходимо разрешить экспорт закрытого ключа/.

У шаблонов CEPEncryptionNDES и EnrollmentAgentOfflineNDES необходимо убрать требование одобрения диспетчером сертификатов ЦС.

...

Мастер установки не производит тонкую настройку пула приложений IIS. Эти шаги необходимо выполнить вручную:

Пул приложений IIS

...

Откройте Диспетчер служб IIS (IIS Manager), перейдите в Пулы приложений (Application Pools). Найдите пулы SCEP и MSCEP. Откройте их Дополнительные параметры (Advanced Settings). В строке Удостоверение (Identity) проверьте, что указана учетная запись ndes

...

Ошибка: Вернется код ошибки HTTP 403, 401, 500 или 503.

Note

URL http://<имя хоста службы NDES>/certsrv/mscep_admin/mscep.dll предназначен для генерации одноразового пароля вызова (Challenge Password или OTP). Этот пароль необходим для того, чтобы доказать серверу, что устройство имеет право запросить сертификат. К нему обращаются системные администраторы (через веб-браузер) или серверы управления мобильными устройствами (MDM, например, Microsoft Intune, VMware Workspace ONE). Для этого требуется аутентификация с учетной записбю имеющей права на запрс сертификатов в вашем центре сертификации (CA), Данный URL не должен публиковвыться в открытый интернет без дополнительной защиты. URL http://<имя хоста службы NDES>/certsrv/mscep/mscep.dll предназначен непосредствевнно для приема запросов на подпись сертификатов отконечных устройств и выдачи сертификаторв по пртоколу SCEP. Он не требует аутентификации, а безопасность обеспечивается на уровне протокола SCEP - устройство встраивает полученный ранее Challenge Password внутрь зашифрованного пакета (в атрибут challengePassword запроса PKCS#10). Данный URL может быть опубликоан и часто публикуется во внешнуую сеть (например через reverse proxy) для того, чтобы внешние устройства могли получать сертификаты.

Просмотр журналов

• Просмотр событий (Event Viewer) -> Журналы Windows (Windows Logs) -> Приложение (Application).
  Фильтр по источнику NetworkDeviceEnrollmentService.
• Журналы IIS: C:\inetpub\logs\LogFiles\W3SVC1\.
  Здесь фиксируются статусы HTTP-ответов и факты поступления запросов.
• Журналы ЦС (CA):
  На сервере ЦС в Просмотре событий ищите ошибки от источника CertificationAuthority.

...

Проблемы сертификатов NDES

Image AddedImage Added

Помимо сертификатов для конечных устройств, у службы NDES имеются собственные служебные сертификаты (Registration Authority Certificates), необходимые для работы сервиса. Эти сертификаты по умолчанию выпускаются сроком на 2 года. После истечения этого срока могут возникнуть проблемы с восстановлением работоспособности службы NDES даже после перевыпуска данных сертификатов. Чтобы избежать данных проблем сертификаты после окончания срока действия нужно перевыпускать выполнив последовательность дейтсвий описанную ниже.

Алгоритм перевыпуска сертификатов

Выпуск сертификата Шифрования CEP (Хранилище компьютера)

Этот сертификат машинный, перевыпуск простой.

1.     Нажмите Win + R и введите certlm.msc (Локальный компьютер).
2.     Перейдите в Личное -> Сертификаты.
3.     Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
4.     Выберите шаблон Шифрование CEP для NDES (CEPEncryptionNDES) и выпустите его.

Выпуск сертификата Агента заявок (Хранилище пользователя)

1. Нажмите Win + R и введите certmgr.msc (Текущий пользователь).
2. Перейдите в Личное -> Сертификаты.
3. Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
4. Найдите шаблон Агент регистрации Exchange Enrollment Agent (Offline requestавтономный запрос) для NDES.
5. КРИТИЧНОВАЖНО!: Не нажимайте сразу "Заявка"! Нажмите на ссылку "Для регистрации в этом сертификате требуются дополнительные сведения..." (или кнопку Свойства).
6. Перейдите на вкладку Закрытый ключ (Private Key), разверните раздел Параметры ключа (Key options) и обязательно поставьте галочку Сделать закрытый ключ экспортируемым (Make private key exportable).
7. Нажмите ОК и выпустите сертификат.
8. В той же пользовательской оснастке (certmgr.msc) кликните правой кнопкой мыши по только что выпущенному сертификату Агента -> Все задачи -> Экспорт.
9. В мастере экспорта обязательно выберите «Да, экспортировать закрытый ключ» (Yes, export the private key).
10. Оставьте формат .pfx по умолчанию.
11. Задайте пароль для защиты файла ключа и сохраните .pfx файл на рабочий стол.
12. Откройте оснастку компьютера (certlm.msc) -> Личное -> Сертификаты.
13. Правый клик -> Все задачи -> Импорт.
14. Укажите путь к сохраненному .pfx файлу, введите пароль и завершите импорт.

...

1. В машинной оснастке (certlm.msc) найдите старые (истекшие) сертификаты Шифрования CEP и Агента и удалите их.
2. Убедитесь, что в certlm.msc осталось ровно два новых сертификата (Шифрование и Агент).
3. Вернитесь в пользовательскую оснастку (certmgr.msc) и удалите сертификат Агента оттуда тоже (вы его уже перенесли, там он больше не нужен и может только запутать систему в будущем).

В итоге должно остаться только два сертификата с назначением "Агент запроса сертификата": один из шаблона "Шифрофание CEP для NDES" и один из шаблона "Агент регистрации Exchange (автономный запрос) для NDES":

Image Added

Назначение прав на закрытые ключи

...

Другие возможные проблемы