Active Directory Authentification par cartes à puce CPX - Historique des versions

Cacheln le 10 avril 2025 à 13:39

2025-04-10T13:39:36Z

← Version précédente		Version du 10 avril 2025 à 15:39
Ligne 500 :		Ligne 500 :
	** Désactiver le contrôle de CRL via l’éditeur de registre REGEDIT.		** Désactiver le contrôle de CRL via l’éditeur de registre REGEDIT.
	** Etendre la durée de l’extension de la période de validité via GPO.		** Etendre la durée de l’extension de la période de validité via GPO.

			[[Category:Cryptographie]]

Cacheln : /* Certificats de l’autorité racine émettant les cartes à puces */

2025-04-02T18:15:37Z

Certificats de l’autorité racine émettant les cartes à puces

← Version précédente		Version du 2 avril 2025 à 20:15
Ligne 38 :		Ligne 38 :
	#* '''ACR-FO.cer :''' certificat d’autorité de certification racine gamme fort.		#* '''ACR-FO.cer :''' certificat d’autorité de certification racine gamme fort.
	#* '''ACR-ST.cer :''' certificat d’autorité de certification racine gamme standard.		#* '''ACR-ST.cer :''' certificat d’autorité de certification racine gamme standard.

			=== Mise en garde ===

			{{ Box Attention \| objet=Si vos équipements disposent du logiciel cryptolib ''(utilisé pour la lecture de la carte vitale)'', alors l'authentification par carte à puce ne fonctionnera pas.
			Le pilote n'étant pas signé numériquement par Microsoft, ce dernier n'est pas autorisé à interagir avec le '''processus LSA''' indispensable pour jouer les jetons d'authentification.
			Il sera donc nécessaire de désactiver cette sécurité au niveau du système d'exploitation mais aussi du BIOS.
			Pour de plus amples informations, vous pouvez vous référer à ce guide : [[:Active_Directory_Securisation#Protection_LSA_renforcée\|Protection_LSA_renforcée]]. }}

	== Installation des certificats de l’IGC-Santé ==		== Installation des certificats de l’IGC-Santé ==

Cacheln : /* Prérequis */

2025-04-02T18:10:31Z

Prérequis

← Version précédente		Version du 2 avril 2025 à 20:10
Ligne 1 :		Ligne 1 :
	{{Rôles Active Directory}}		{{Rôles Active Directory}}

			== Contexte ==

			Cette documentation illustre la mise en place d'une authentification basée par '''carte à puce''' dans le '''domaine de la santé'''.

			Dans ce cas précis, les cartes à puces sont produites par l''''ANS ''(Agence du Numérique en Santé)''''' qui fait donc office d''''autorité de certification racine'''.

			D'autre part, suivant leur usage, les cartes à puces sont délivrées par divers organismes :
			* Les '''cartes CPE''' ''(Carte Professionnelle d'Etablissement)'', sont délivrées par les '''Etablissements de Santé''' disposant d'un numéro de '''FINESS'''.
			* Les '''cartes CPS''' ''(Carte Professionnelle de Santé)'', sont délivrées par l''''Ordre''' auquel appartient le praticien.

			{{ Box Remarque \| objet=Pour de plus amples informations, veuillez vous référez à la documentation des autorités compétentes disponible [[:https://www.esante-occitanie.fr/usages-espaces-utilisateurs-numerique-par-expertise-referentiel-et-identification-etre-accompagne/\|ici]]. }}

	== Prérequis ==		== Prérequis ==

Cacheln : /* Infrastructure d’authentification */

2025-04-02T17:58:18Z

Infrastructure d’authentification

← Version précédente		Version du 2 avril 2025 à 19:58
Ligne 9 :		Ligne 9 :
	* D’une [[:Installation_du_rôle_ADCS\|autorité de certification racine d’entreprise]] pleinement opérationnelle. Dans notre cas, il s’agit du serveur '''SRVDC1'''. L’autorité de certification s’appelle '''CNLABS-CA'''.		* D’une [[:Installation_du_rôle_ADCS\|autorité de certification racine d’entreprise]] pleinement opérationnelle. Dans notre cas, il s’agit du serveur '''SRVDC1'''. L’autorité de certification s’appelle '''CNLABS-CA'''.
	Au niveau des postes clients, il sera nécessaire de disposer :		Au niveau des postes clients, il sera nécessaire de disposer :
	* De la dernière version '''~~cryptolib~~''' à jour.		* De la dernière version du '''Pilote CPSv3''' à jour.
	* D’un '''lecteur de carte à puce''' compatible.		* D’un '''lecteur de carte à puce''' compatible.
	L’infrastructure présentée ci-dessus – pour illustrer la présente documentation – est purement fictive.		L’infrastructure présentée ci-dessus – pour illustrer la présente documentation – est purement fictive.

Cacheln : /* Vérifier la chaîne de validité du certificat */

2024-07-14T19:58:09Z

Vérifier la chaîne de validité du certificat

← Version précédente		Version du 14 juillet 2024 à 21:58
Ligne 402 :		Ligne 402 :
	** Ouvrir la console de l’'''Observateur d’événement'''.		** Ouvrir la console de l’'''Observateur d’événement'''.
	** Depuis la branche '''Journaux des applications et des services''' / '''Microsoft''' / '''Windows''' / '''CAPI2''', faire un clic droit sur le journal '''Opérationnel''' puis '''Activer le journal'''.		** Depuis la branche '''Journaux des applications et des services''' / '''Microsoft''' / '''Windows''' / '''CAPI2''', faire un clic droit sur le journal '''Opérationnel''' puis '''Activer le journal'''.
	** Rejouer la commande :<br />{{Commande\|certutil -urlfetch -verify carte_cpe.cer}}~~<br />puis~~ observer les résultats dans le journal d’évènements Windows.<br />[[Image:EVENTLOG_CAPI12_IGC.png]]		** Rejouer la commande :<br />{{Commande\|certutil -urlfetch -verify carte_cpe.cer}}
			** Puis observer les résultats dans le journal d’évènements Windows.<br />[[Image:EVENTLOG_CAPI12_IGC.png]]

	==== En cas d’erreur ====		==== En cas d’erreur ====

Cacheln : /* Vérifier la chaîne de validité du certificat */

2024-07-14T19:57:28Z

Vérifier la chaîne de validité du certificat

← Version précédente		Version du 14 juillet 2024 à 21:57
Ligne 402 :		Ligne 402 :
	** Ouvrir la console de l’'''Observateur d’événement'''.		** Ouvrir la console de l’'''Observateur d’événement'''.
	** Depuis la branche '''Journaux des applications et des services''' / '''Microsoft''' / '''Windows''' / '''CAPI2''', faire un clic droit sur le journal '''Opérationnel''' puis '''Activer le journal'''.		** Depuis la branche '''Journaux des applications et des services''' / '''Microsoft''' / '''Windows''' / '''CAPI2''', faire un clic droit sur le journal '''Opérationnel''' puis '''Activer le journal'''.
	** Rejouer la commande {{Commande\|certutil -urlfetch -verify carte_cpe.cer}} puis observer les résultats dans le journal d’évènements Windows.<br />[[Image:EVENTLOG_CAPI12_IGC.png]]		** Rejouer la commande :<br />{{Commande\|certutil -urlfetch -verify carte_cpe.cer}}<br />puis observer les résultats dans le journal d’évènements Windows.<br />[[Image:EVENTLOG_CAPI12_IGC.png]]

	==== En cas d’erreur ====		==== En cas d’erreur ====

Cacheln : /* En cas d’erreur */

2024-07-14T19:56:55Z

En cas d’erreur

← Version précédente		Version du 14 juillet 2024 à 21:56
Ligne 411 :		Ligne 411 :
	certutil -urlcache * delete<br />		certutil -urlcache * delete<br />
	certutil -urlcache crl }}		certutil -urlcache crl }}
	* Relancer la commande {{Commande\|certutil -urlfetch -verify carte_cpe.cer}} pour vérifier la chaîne de validité du certificat.		* Relancer la commande :<br />{{Commande\|certutil -urlfetch -verify carte_cpe.cer}}
			::pour vérifier la chaîne de validité du certificat.

	== Comportements et stratégies de gestion de la carte à puce ==		== Comportements et stratégies de gestion de la carte à puce ==

Cacheln : /* Vérifier la chaîne de validité du certificat */

2024-07-14T19:55:44Z

Vérifier la chaîne de validité du certificat

← Version précédente		Version du 14 juillet 2024 à 21:55
Ligne 266 :		Ligne 266 :
	==== Vérifier la chaîne de validité du certificat ====		==== Vérifier la chaîne de validité du certificat ====

	* Copier le certificat récupéré à l’étape [[~~Authentification_par_cartes_à_puce_CPX~~#Récupérer_le_certificat_de_la_carte_CPX\|Récupérer le certificat de la carte CPX]] sur le contrôleur de domaine puis vérifier sa chaîne de validité à l’aide de la ~~commande~~ {{Commande\|certutil -urlfetch -verify carte_cpe.cer}}.		* Copier le certificat récupéré à l’étape [[Active_Directory_Authentification_par_cartes_à_puce_CPX#Récupérer_le_certificat_de_la_carte_CPX\|Récupérer le certificat de la carte CPX]] sur le contrôleur de domaine puis vérifier sa chaîne de validité à l’aide de la commande :<br />{{Commande\|certutil -urlfetch -verify carte_cpe.cer}}
	* Le terminal de commande retourne les étapes du processus de validation du certificat. Le paramètre '''dwErrorStatus''' doit être à '''0''' systématiquement. Le cas échéant, il y a un problème de validation du certificat.		* Le terminal de commande retourne les étapes du processus de validation du certificat. Le paramètre '''dwErrorStatus''' doit être à '''0''' systématiquement. Le cas échéant, il y a un problème de validation du certificat.

Cacheln : /* Activation de l’indication du nom d’utilisateur */

2024-07-14T19:54:57Z

Activation de l’indication du nom d’utilisateur

← Version précédente		Version du 14 juillet 2024 à 21:54
Ligne 131 :		Ligne 131 :
	## Sélectionner l’option '''Activé''' puis cliquer sur le bouton {{Bouton\|OK}}.		## Sélectionner l’option '''Activé''' puis cliquer sur le bouton {{Bouton\|OK}}.
	# Sur l’ensemble des contrôleurs de domaines ainsi que l’Autorité de Certification Entreprise, effectuer les opérations suivantes pour forcer l’application des paramètres :		# Sur l’ensemble des contrôleurs de domaines ainsi que l’Autorité de Certification Entreprise, effectuer les opérations suivantes pour forcer l’application des paramètres :
	## Ouvrir un '''terminal de commande CMD''' puis exécuter la ~~commande~~ {{Commande\|gpupdate /force}}.		## Ouvrir un '''terminal de commande CMD''' puis exécuter la commande :<br />{{Commande\|gpupdate /force}}

	== Association d’un certificat à un compte AD ==		== Association d’un certificat à un compte AD ==

Cacheln : /* Ajout des certificats dans le magasin NTAuthCertificates */

2024-07-14T19:54:18Z

Ajout des certificats dans le magasin NTAuthCertificates

← Version précédente		Version du 14 juillet 2024 à 21:54
Ligne 101 :		Ligne 101 :
	# Répéter les étapes _3_ à _5_ pour les certificats '''ACR-FO.cer''', '''ACR-ST.cer''', '''ACI-EL-PP.cer''', '''ACI-FO-PP.cer''', '''ACI-ST-ORG.cer''' et '''ACI-ST-PP.cer'''.<br />[[Image:MMCPKIENT_MANAGE_CONTENEURS_AD_NTAUTHCERTIFICATE_ADD_ALL.png]]		# Répéter les étapes _3_ à _5_ pour les certificats '''ACR-FO.cer''', '''ACR-ST.cer''', '''ACI-EL-PP.cer''', '''ACI-FO-PP.cer''', '''ACI-ST-ORG.cer''' et '''ACI-ST-PP.cer'''.<br />[[Image:MMCPKIENT_MANAGE_CONTENEURS_AD_NTAUTHCERTIFICATE_ADD_ALL.png]]
	# Sur l’ensemble des contrôleurs de domaines ainsi que l’Autorité de Certification Entreprise, effectuer les opérations suivantes pour vérifier la bonne propagation des certificats :		# Sur l’ensemble des contrôleurs de domaines ainsi que l’Autorité de Certification Entreprise, effectuer les opérations suivantes pour vérifier la bonne propagation des certificats :
	## Ouvrir un terminal de '''commande CMD''' puis exécuter la commande ;<br /> {{Commande\|gpupdate /force}}		## Ouvrir un terminal de '''commande CMD''' puis exécuter la commande :<br />{{Commande\|gpupdate /force}}
	## Une fois l’exécution de la commande terminée, ouvrir l’'''éditeur de registre REGEDIT'''.		## Une fois l’exécution de la commande terminée, ouvrir l’'''éditeur de registre REGEDIT'''.
	## Rechercher la '''clé''' :<br />{{Clé de registre\|HKLM\SOFTWARE\Microsoft\EnterpriseCertificates\NTAuth\Certificates}}<br />Puis vérifier la présence des clés relatives aux certificats de l’'''IGC-Santé''' :<br />[[Image:MMCREGEDIT_HKLM_SOFTWARE_MICROSOFT_ENTERPRISECERTIFICATE_NTAUTH_CERTIFICATES_IGC.png]]		## Rechercher la '''clé''' :<br />{{Clé de registre\|HKLM\SOFTWARE\Microsoft\EnterpriseCertificates\NTAuth\Certificates}}<br />Puis vérifier la présence des clés relatives aux certificats de l’'''IGC-Santé''' :<br />[[Image:MMCREGEDIT_HKLM_SOFTWARE_MICROSOFT_ENTERPRISECERTIFICATE_NTAUTH_CERTIFICATES_IGC.png]]

Active Directory Authentification par cartes à puce CPX - Historique des versions

Cacheln le 10 avril 2025 à 13:39

Cacheln : /* Certificats de l’autorité racine émettant les cartes à puces */

Cacheln : /* Prérequis */

Cacheln : /* Infrastructure d’authentification */

Cacheln : /* Vérifier la chaîne de validité du certificat */

Cacheln : /* Vérifier la chaîne de validité du certificat */

Cacheln : /* En cas d’erreur */

Cacheln : /* Vérifier la chaîne de validité du certificat */

Cacheln : /* Activation de l’indication du nom d’utilisateur */

Cacheln : /* Ajout des certificats dans le magasin NTAuthCertificates */

Cacheln : /* Certificats de l’autorité racine émettant les cartes à puces */

Cacheln : /* Prérequis */

Cacheln : /* Infrastructure d’authentification */

Cacheln : /* Vérifier la chaîne de validité du certificat */

Cacheln : /* Vérifier la chaîne de validité du certificat */

Cacheln : /* En cas d’erreur */

Cacheln : /* Vérifier la chaîne de validité du certificat */

Cacheln : /* Activation de l’indication du nom d’utilisateur */

Cacheln : /* Ajout des certificats dans le magasin NTAuthCertificates */