Page History

...

setspn -s http/<NDES-Server-FQDN> <DOMAIN>\ndes
setspn -s http/<NDES-Server-NetBIOS> <DOMAIN>\ndes

Подготовка шаблонов сертификатов

Anchor
certTempl certTempl

Подготовка шаблонов сертификатов

По умолчанию NDES использует шаблон IPSECIntermediateOffline. Рекомендуется дублировать шаблон (Duplicate Template) и создать собственный (например, NDES-GeneralPurpose).

Так же рекомендуется дублировать шаблоны CEPEncryption и EnrollmentAgentOffline - в данном примере это будут дубликаты с именами CEPEncryptionNDES и EnrollmentAgentOfflineNDES

Отображаемое имя сертификата сделаем путем добавления к отображаемому имени родительского шаблона  текста "для NDES". Т.е. наши шаблоны будут отображены в интерфейсе как "Шифрование CEP для NDES" и "Агент регистрации Exchange (автономный запрос) для NDES"

У шаблона EnrollmentAgentOfflineNDES необходимо разрешить экспорт закрытого ключа/.

У шаблонов CEPEncryptionNDES и EnrollmentAgentOfflineNDES необходимо убрать требование одобрения диспетчером сертификатов ЦС.

...

Мастер установки не производит тонкую настройку пула приложений IIS. Эти шаги необходимо выполнить вручную:

Пул приложений IIS

...

Откройте Диспетчер служб IIS (IIS Manager), перейдите в Пулы приложений (Application Pools). Найдите пулы SCEP и MSCEP. Откройте их Дополнительные параметры (Advanced Settings). В строке Удостоверение (Identity) проверьте, что указана учетная запись ndes

...

Ошибка: Вернется код ошибки HTTP 403, 401, 500 или 503.

Note

URL http://<имя хоста службы NDES>/certsrv/mscep_admin/mscep.dll предназначен для генерации одноразового пароля вызова (Challenge Password или OTP). Этот пароль необходим для того, чтобы доказать серверу, что устройство имеет право запросить сертификат. К нему обращаются системные администраторы (через веб-браузер) или серверы управления мобильными устройствами (MDM, например, Microsoft Intune, VMware Workspace ONE). Для этого требуется аутентификация с учетной записбю имеющей права на запрс сертификатов в вашем центре сертификации (CA), Данный URL не должен публиковвыться в открытый интернет без дополнительной защиты. URL http://<имя хоста службы NDES>/certsrv/mscep/mscep.dll предназначен непосредствевнно для приема запросов на подпись сертификатов отконечных устройств и выдачи сертификаторв по пртоколу SCEP. Он не требует аутентификации, а безопасность обеспечивается на уровне протокола SCEP - устройство встраивает полученный ранее Challenge Password внутрь зашифрованного пакета (в атрибут challengePassword запроса PKCS#10). Данный URL может быть опубликоан и часто публикуется во внешнуую сеть (например через reverse proxy) для того, чтобы внешние устройства могли получать сертификаты.

Просмотр журналов

• Просмотр событий (Event Viewer) -> Журналы Windows (Windows Logs) -> Приложение (Application).
  Фильтр по источнику NetworkDeviceEnrollmentService.
• Журналы IIS: C:\inetpub\logs\LogFiles\W3SVC1\.
  Здесь фиксируются статусы HTTP-ответов и факты поступления запросов.
• Журналы ЦС (CA):
  На сервере ЦС в Просмотре событий ищите ошибки от источника CertificationAuthority.

...

Проблемы сертификатов NDES

Image AddedImage Added

Помимо сертификатов для конечных устройств, у службы NDES имеются собственные служебные сертификаты (Registration Authority Certificates), необходимые для работы сервиса. Эти сертификаты по умолчанию выпускаются сроком на 2 года. После истечения этого срока могут возникнуть проблемы с восстановлением работоспособности службы NDES даже после перевыпуска данных сертификатов. Чтобы избежать данных проблем сертификаты после окончания срока действия нужно перевыпускать выполнив последовательность дейтсвий описанную ниже.

...

1.     Нажмите Win + R и введите certlm.msc (Локальный компьютер).
2.     Перейдите в Личное -> Сертификаты.
3.     Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
4.     Выберите шаблон Шифрование CEP для NDES (CEPEncryptionNDES) и выпустите его.

...

1. Нажмите Win + R и введите certmgr.msc (Текущий пользователь).
2. Перейдите в Личное -> Сертификаты.
3. Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
4. Найдите шаблон Агент регистрации Exchange Enrollment Agent (Offline requestавтономный запрос) для NDES.
5. КРИТИЧНОВАЖНО!: Не нажимайте сразу "Заявка"! Нажмите на ссылку "Для регистрации в этом сертификате требуются дополнительные сведения..." (или кнопку Свойства).
6. Перейдите на вкладку Закрытый ключ (Private Key), разверните раздел Параметры ключа (Key options) и обязательно поставьте галочку Сделать закрытый ключ экспортируемым (Make private key exportable).
7. Нажмите ОК и выпустите сертификат.
8. В той же пользовательской оснастке (certmgr.msc) кликните правой кнопкой мыши по только что выпущенному сертификату Агента -> Все задачи -> Экспорт.
9. В мастере экспорта обязательно выберите «Да, экспортировать закрытый ключ» (Yes, export the private key).
10. Оставьте формат .pfx по умолчанию.
11. Задайте пароль для защиты файла ключа и сохраните .pfx файл на рабочий стол.
12. Откройте оснастку компьютера (certlm.msc) -> Личное -> Сертификаты.
13. Правый клик -> Все задачи -> Импорт.
14. Укажите путь к сохраненному .pfx файлу, введите пароль и завершите импорт.

...

1. В машинной оснастке (certlm.msc) найдите старые (истекшие) сертификаты Шифрования CEP и Агента и удалите их.
2. Убедитесь, что в certlm.msc осталось ровно два новых сертификата (Шифрование и Агент).
3. Вернитесь в пользовательскую оснастку (certmgr.msc) и удалите сертификат Агента оттуда тоже (вы его уже перенесли, там он больше не нужен и может только запутать систему в будущем).

В итоге должно остаться только два сертификата с назначением "Агент запроса сертификата": один из шаблона "Шифрофание CEP для NDES" и один из шаблона "Агент регистрации Exchange (автономный запрос) для NDES":

Image Added

Назначение прав на закрытые ключи

...