« Installation du rôle ADCS » : différence entre les versions

De NCad Wiki
Aller à la navigation Aller à la recherche
 
(26 versions intermédiaires par le même utilisateur non affichées)
Ligne 38 : Ligne 38 :
# Une fois le paramétrage terminé, cliquer sur le bouton {{Bouton|Fermer}}.<br />[[Image:ADCS_CONFIG_STEP9.png]]
# Une fois le paramétrage terminé, cliquer sur le bouton {{Bouton|Fermer}}.<br />[[Image:ADCS_CONFIG_STEP9.png]]


== Configuration du serveur web Microsoft IIS ==
== Génération du certificat Web ==


=== Activer la protection étendue et désactiver le protocole http ===
{{ Box Information | objet=Ce certificat sera utilisé lors de la configuration du serveur web IIS pour la mise en place de la liaison sécurisée https. }}


{{Synthèse Score Sécurité|oradad=&mdash;|pingcastle=10|CVE=&mdash;|correctifs=[https://support.microsoft.com/fr-fr/topic/kb5005413-att%C3%A9nuation-des-attaques-de-relais-ntlm-sur-les-services-de-certificats-active-directory-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429 KB5005413]<br />[https://attack.mitre.org/techniques/M1557/ T1557]|compatibilite=Windows Server 2008 et ultérieure}}
=== Générer la demande de certificat ===


{{ Box Information | objet=Par défaut, l’interface web de l’autorité de certification est accessible à l’adresse http://srvadcs/certsrv. Ici, nous allons créer une adresse spécifique qui sera https://certsrv.domaine.tld. }}
# Accéder à la console '''Gérer les certificats d'ordinateur'''.
# Depuis l'arborescence, accéder à '''Certificats ''(ordinateur local)''''' / '''Personnel'''{{Exp|1}}, puis cliquer sur l'action '''Autres actions'''{{Exp|2}} / '''Toutes les tâches Opérations avancées''' / '''Créer une demande personnalisée...'''.<br />[[Image:MMCCERTORD_PERSONNEL_AUTRES_ACTIONS.png]]
# L’assistant '''Inscription de certificats''' démarre. Cliquer sur le bouton {{Bouton|Suivant}} à l’étape '''Avant de commencer'''.
# À l’étape '''Sélectionner la stratégie d’inscription de certificat''', sélectionner l’option '''Demande personnalisée''' puis cliquer sur le bouton {{Bouton|Suivant}}.
# À l’étape '''Demande personnalisée''', depuis le menu déroulant '''Modèle''' sélectionner '''(Aucun modèle) Clé CNG''' puis depuis la sélection '''Format de la demande''' sélectionner '''PKCS #10'''. Cliquer sur le bouton {{Bouton|Suivant}} pour poursuivre.<br />[[Image:ADCS_INSCRIPTION_CERTORD_DEMANDE_PERSONNALISEE.png]]
# À l’étape '''Informations sur le certificat''', dérouler la ligne '''Demande personnalisée''' à l’aide du bouton '''Détail {{#fas:angle-down}}''' puis cliquer sur le bouton {{Bouton|Propriétés}}.<br />[[Image:ADCS_INSCRIPTION_CERTORD_INFORMATIONS.png]]
# Depuis l’onglet '''Général''' :
## Dans le champ '''Nom convivial''', saisir '''Certificat Web AC'''.<br />[[Image:ADCS_INSCRIPTION_CERTORD_INFORMATIONS_GENERAL_CERTSRV.png]]
## Depuis l’onglet '''Objet''', dans la section '''Nom du sujet''' ajouter les éléments suivants :
### Dans le champs '''Nom commun''', penser à renseigner le nom FQDN de votre serveur d''''Autorité de Certification'''. Dans notre cas, ce rôle étant installé sur notre serveur '''Active Directory''', c'est son nom FQDN qui est ici renseigné.<br />[[Image:ADCS_INSCRIPTION_CERTORD_OBJET_SUBJECT_TABLE_CERTSRV.png]]<br /><br />[[Image:ADCS_INSCRIPTION_CERTORD_OBJET_SUBJECT_CERTSRV.png]]
## Toujours depuis l’onglet '''Objet''', dans la section '''Autre nom''' ajouter les éléments suivants :<br />[[Image:ADCS_INSCRIPTION_CERTORD_OBJET_NAME_TABLE_CERTSRV.png]]<br /><br />[[Image:ADCS_INSCRIPTION_CERTORD_OBJET_NAME_CERTSRV.png]]
## Depuis l’onglet '''Clé privé''', dérouler la section '''Option de clé''' puis sélectionner la valeur '''2048''' pour le paramètre '''Taille de la clé'''. Cocher l’option '''Permettre l’exportation de la clé privée'''.<br />[[Image:ADCS_INSCRIPTION_CERTORD_PRIVATEKEY_OPTIONS.png]]
## Depuis l’onglet '''Clé privé''', dérouler la section '''Sélectionner l’algorithme de hachage''' puis sélectionner la valeur '''sha256'''. Cliquer sur le bouton {{Bouton|OK}} pour valider les paramètres.<br />[[Image:ADCS_INSCRIPTION_CERTORD_PRIVATEKEY_CIPHER.png]]
# Depuis l’étape '''Informations sur le certificat''', cliquer sur le bouton {{Bouton|Suivant}} pour poursuivre.
# À l’étape '''Où voulez-vous enregistrer la demande hors connexion ?''', cliquer sur le bouton {{Bouton|Parcourir…}} puis nommer le fichier '''AD1SRV.ncad.fr''' et cliquer sur le bouton {{Bouton|Enregistrer}}.
# Toujours depuis l’étape '''Où voulez-vous enregistrer la demande hors connexion ?''', au paramètre '''Format de fichier''' sélectionner la valeur '''Base 64'''. Cliquer sur le bouton {{Bouton|Terminer}} pour générer le fichier de demande de certificat.<br />[[Image:ADCS_INSCRIPTION_CERTORD_SAVE.png]]


=== Création du site web ===
=== Signer la demande de certificat ===


# Ouvrir la console '''Gestionnaire des services Internet ''(IIS)'''''.
# Se connecter au portail de l’'''Autorité de Certification''' depuis l’url '''http://localhost/certsrv'''. Depuis la page d'accueil, cliquer sur le lien '''Demander un certificat'''.<br />[[Image:ADCS_WELCOME.png]]
# Depuis l’arborescence '''CERTSRV''', cliquer sur '''Sites'''.
# Depuis la page '''Demander un certificat''', cliquer sur le lien '''demande de certificat avancée'''.<br />[[Image:ADCS_DEMANDE_CERTIFICAT.png]]
# Depuis le menu horizontal à droite de la fenêtre, cliquer sur '''Ajouter un site Web…'''.
# Depuis la page '''Demande de certificat avancée''', cliquer sur le lien '''Soumettez une demande de certificat en utilisant un fichier CMC ou PKCS #10 codé en base 64, ou soumettez une demande en utilisant un fichier PKCS #7 codé en base 64'''.<br />[[Image:ADCS_DEMANDE_CERTIFICAT_AVANCEE.png]]
# Depuis le formulaire '''Ajouter un site Web''' :
# Depuis la page '''Soumettre une demande de certificat ou de renouvellement''' :
#* Dans le champs '''Nom du site''', renseigner '''CERTSRV'''{{Exp|1}}.
## Dans le champ texte '''Demande enregistrée''', renseignez le contenu du fichier '''AD1SRV.ncad.fr.req''' généré à la section [[:Installation_du_rôle_ADCS#Générer_la_demande_de_certificat | Générer la demande de certificat]].
#* Depuis la section '''Répertoire de contenu''' – dans le champ '''Chemin d’accès physique''' – sélectionner '''C:\inetpub\certsrv.domaine.tld'''{{Exp|2}}.
## Dans le menu de sélection '''Modèle de certificat''' sélectionnez '''Serveur Web'''.<br />[[Image:ADCS_SOUMETTRE_CERTIFICAT.png]]
#* Depuis la section '''Liaison''' – dans le champ '''Type''' – sélectionner '''http'''{{Exp|3}}.
## Cliquer sur le bouton {{Bouton|Envoyer >}} pour soumettre la demande au serveur.
#* Dans le champ '''Nom de l’hôte''', saisir '''certsrv.domaine.tld'''{{Exp|4}}.<br />[[Image:ADCS_IIS_ADD_WEBSITE.png]]
# Depuis la page '''Certificat émis''', sélectionner l’option '''Codé en base 64''' puis cliquer sur le lien '''Télécharger le certificat'''.<br />[[Image:ADCS_EMISSION_CERTIFICAT.png]]
# Cliquer sur le bouton {{Bouton|OK}} pour valider.
# Renommer le fichier téléchargé en '''AD1SRV.ncad.fr.crt'''.


=== Paramétrage de l’application ===
=== Importer le certificat ===


==== Paramètres de base ====
# Double-cliquer sur le certificat généré à l’étape [[:Installation_du_rôle_ADCS#Signer_la_demande_de_certificat | Signer la demande de certificat]].
# Depuis la fenêtre '''Certificat''', cliquer sur le bouton {{Bouton|Installer un certificat…}}.<br />[[Image:CERTIFICAT_GENERAL_CERTSRV.png]]
# Depuis la fenêtre '''Assistant Importation du certificat''', depuis la section '''Emplacement de stockage''' sélectionner la valeur '''Ordinateur local'''{{Exp|1}} et appuyer sur le bouton {{Bouton|Suivant}}{{Exp|2}}.<br />[[Image:CERTIFICAT_IMPORT_EMPLACEMENT_STOCKAGE.png]]
# Depuis l’'''Assistant Importation du certificat''', sélectionner l’option '''Placer tous les certificats dans le magasin suivant'''{{Exp|1}} puis cliquer sur le bouton {{Bouton|Parcourir}}{{Exp|2}}:<br />[[Image:CERTIFICAT_IMPORT_MAGASIN.png]]
# Depuis la boîte de dialogue '''Sélectionner un magasin de certificats''', choisir le dossier '''Personnel'''{{Exp|1}} puis cliquer sur le bouton {{Bouton|OK}}{{Exp|2}}.<br />[[Image:CERTIFICAT_IMPORT_MAGASIN_CHOIX.png]]
# De retour sur l’'''Assistant Importation du certificat''', cliquer sur le bouton {{Bouton|Suivant}} .
# À l’étape '''Fin de l’Assistant Importation du certificat''', cliquer sur le bouton {{Bouton|Terminer}}.<br />[[Image:CERTIFICAT_IMPORT_TERMINER.png]]


# Ouvrir la console '''Gestionnaire des services Internet ''(IIS)'''''.
== Configuration du serveur web Microsoft IIS ==
# Depuis l’arborescence '''CERTSRV''', développer l’item '''Sites'''.
# Effectuer un clic droit sur '''CERTSRV''' puis '''Ajouter une application…''' .
#* Dans le champ '''Alias''', saisir '''CertSrv'''.
#* Dans le champ '''Chemin d’accès physique''', sélectionner '''C:\Windows\System32\certsrv\fr-FR'''.<br />[[Image:ADCS_IIS_ADD_APP.png]]
# Cliquer sur le bouton {{Bouton|OK}} pour valider.


==== Paramètres avancés ====
=== Activer la protection étendue et désactiver le protocole http ===


# Ouvrir la console '''Gestionnaire des services Internet ''(IIS)'''''.
{{ Box Attention | objet=Ce paramètre permet de se prémunir d'une attaque de type '''"PetitPotam" ''(attaque de relais NTLM classique)'''''. Pour de plus amples informations, vous pouvez consulter le correctif [https://support.microsoft.com/fr-fr/topic/kb5005413-att%C3%A9nuation-des-attaques-de-relais-ntlm-sur-les-services-de-certificats-active-directory-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429 KB5005413] publié par Microsoft le 23 juillet 2021. }}
# Depuis l’arborescence '''CERTSRV''', développer l’item '''Sites'''.
# Effectuer un clic droit sur '''CERTSRV''' puis '''Gérer le site Web''' et '''Paramètres avancés…'''.
#* Au paramètre '''Information d’identification du chemin physique pour le type d’ouverture de session''', sélectionner '''Network'''{{Exp|1}}.
#* Au paramètre '''Préchargement Activée''', sélectionner '''True'''{{Exp|2}}.<br />[[Image:ADCS_IIS_SITE_ADVANCED_SETTINGS.png]]
# Cliquer sur le bouton {{Bouton|OK}} pour valider.


==== Paramètres de l’authentification ====
# Accéder à la console '''Gestionnaire des services Internet ''(IIS)''''' :
 
## Depuis la console '''Gestionnaire de serveur''', cliquer sur l'item '''IIS'''{{Exp|1}} présent sur le menu vertical de gauche.
# Ouvrir la console '''Gestionnaire des services Internet ''(IIS)'''''.
## Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur '''Gestionnaire des services Internet (IIS)'''{{Exp|2}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS.png]]
# Depuis l’arborescence '''CERTSRV''', développer l’item '''Sites''' puis cliquer sur '''CERTSRV'''.
# Le '''Gestionnaire des services Internet ''(IIS)''''' s'ouvre. Depuis l'arborescence, accéder à '''Sites''' / '''Default Web Site''' / '''CertSrv'''{{Exp|1}}. Puis, depuis la '''Page d'accueil de /CertSrv''', double-cliquer sur l'item '''Authentification'''{{Exp|2}}.<br />[[Image:GESTIONNAIREIIS_CERTSRV_AUTHENTIFICATION_BOUTON.png]]
# Depuis la '''Page d’accueil de CERTSRV''', double-cliquer sur l’item '''Authentification'''.
# Depuis la page '''Authentification''', cliquer sur la ligne '''Authentification Windows'''{{Exp|1}}, puis sur le lien '''Paramètres avancés...'''{{Exp|2}}.<br />[[Image:GESTIONNAIREIIS_CERTSRV_AUTHENTIFICATION_AUTH_WINDOWS.png]]
# Au paramètre '''Authentification Windows''', sélectionner la valeur '''Activé'''.<br />[[Image:ADCS_IIS_SITE_AUTHENTICATION.png]]
## La boîte de dialogue '''Paramètres avancés''' s'affiche. Depuis le menu de sélection '''Protection étendue''', sélectionner la valeur '''Nécessaire''', puis cliquer sur le bouton {{Bouton|OK}} pour valider.<br />[[Image:GESTIONNAIREIIS_CERTSRV_AUTHENTIFICATION_AUTH_WINDOWS_PROTECTION_ETENDUE_ACTIVATION.png]]
 
# De retour sur la page '''Authentification''', depuis l'arborescence, accéder à '''Sites''' / '''Default Web site'''.
==== Paramètres ASP ====
# Depuis la '''Page d'accueil de Default Web Site''', cliquer sur le lien '''Redémarrer''' pour finaliser la prise en charge de la '''protection''' étendue par le serveur.<br />[[Image:GESTIONNAIREIIS_CERTSRV_RESTART.png]]
 
# Ouvrir la console '''Gestionnaire des services Internet ''(IIS)'''''.
# Depuis l’arborescence '''CERTSRV''', développer l’item '''Sites''' puis cliquer sur '''CERTSRV'''.
# Depuis la '''Page d’accueil de CERTSRV''', double-cliquer sur l’item '''ASP'''.
# Au paramètre '''Activer les chemins d’accès relatifs au répertoire parent''', sélectionner la valeur '''True'''.<br />[[Image:ADCS_IIS_SITE_ASP.png]]
 
=== Paramétrage du répertoire virtuel ===
 
# Ouvrir la console '''Gestionnaire des services Internet ''(IIS)'''''.
# Depuis l’arborescence '''CERTSRV''', développer l’item '''Sites'''.
# Effectuer un clic droit sur '''CERTSRV''' puis '''Ajouter un répertoire virtuel…'''.
#* Dans le champ '''Alias''', saisir '''CertEnroll'''{{Exp|1}}.
#* Dans le champ '''Chemin d’accès physique''', sélectionner '''C:\Windows\System32\certsrv\CertEnroll'''{{Exp|2}}.<br />[[Image:ADCS_IIS_ADD_VIRTUAL_DIRECTORY.png]]
# Cliquer sur le bouton {{Bouton|OK}} pour valider.


=== Installation du certificat ===
=== Installation du certificat ===


==== Génération de la demande de certificat ====
# Accéder à la console '''Gestionnaire des services Internet ''(IIS)''''' :
## Depuis la console '''Gestionnaire de serveur''', cliquer sur l'item '''IIS''' présent sur le menu vertical de gauche.
## Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur '''Gestionnaire des services Internet (IIS)'''.<br />[[Image:GESTIONNAIREDESERVEUR_IIS.png]]
# Le '''Gestionnaire des services Internet ''(IIS)''''' s'ouvre. Depuis l'arborescence, accéder à '''Sites''' / '''Default Web Site'''{{Exp|1}}. Puis, depuis la '''Page d'accueil de /CertSrv''', cliquer sur le lien '''Liaisons…'''{{Exp|2}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_ACCUEIL_LIAISONS.png]]
# Depuis la fenêtre '''Liaisons de site''', cliquer sur le bouton {{Bouton|Ajouter…}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_LIAISONS_CERTSRV.png]]
# Depuis la fenêtre '''Ajouter la liaison de site''' :
## Dans le champ '''Type''', sélectionner '''https'''{{Exp|1}}.
## Dans le champ '''Nom de l’hôte''', laisser la valeur '''Toutes non attribuées'''{{Exp|2}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_LIAISONS_AJOUTER_CERTSRV.png]]
# À côté du champ '''Certificat SSL''', cliquer sur le bouton {{Bouton|Sélectionner…}}.
# Depuis la fenêtre '''Sélectionner le certificat''', parmi la liste des certificats présenté, sélectionner le certificat importé à l’étape [[:Installation_du_rôle_ADCS#Importer_le_certificat | Importation du certificat]] puis cliquer sur le bouton {{Bouton|OK}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_SELECTIONNER_CERTIFICAT_CERTSRV.png]]
# De retour sur le fenêtre '''Ajouter la liaison de site''', cliquer sur le bouton {{Bouton|OK}} pour valider les paramètres.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_LIAISONS_AJOUTER_CERTSRV_FIN.png]]
# Depuis la fenêtre '''Liaisons de sites''', cliquer sur le bouton {{Bouton|Fermer}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_LIAISONS_FIN.png]]
# Depuis le '''Gestionnaire des services Internet ''(IIS)''''', cliquer sur le site '''Default Web Site'''. Puis, depuis la '''Page d'accueil de /CertSrv''', double-cliquer sur l'item '''Paramètres SSL'''{{Exp|2}}.<br />[[Image:GESTIONNAIREIIS_CERTSRV_PARAMETRES_SSL_BOUTON.png]]
# Depuis la page '''Paramètres SSL''', activer l'option '''Exiger SSL'''{{Exp|1}} puis cliquer sur le lien '''Appliquer'''{{Exp|2}}.<br />[[Image:GESTIONNAIREIIS_CERTSRV_PARAMETRES_SSL_EXIGER_SSL.png]]
# Depuis le '''Gestionnaire des services Internet ''(IIS)''''', cliquer sur le site '''Default Web Site'''.
# Depuis le menu horizontal à droite de la fenêtre, cliquer sur le lien '''Redémarrer'''.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_RESTART.png]]


{{ Box Information | objet=Reportez-vous à l'article [[:Role_Active_Directory_Certificate_Service#Depuis_la_console_Gérer_les_certificats_de_l'ordinateur | Générer une demande de certificat ]]. }}
=== Suppression de la liaison http ===
 
==== Signature de la demande de certificat ====
 
{{ Box Information | objet=Reportez-vous à l'article [[:Role_Active_Directory_Certificate_Service#Signer_un_certificat_Web | Signer un certificat ]]. }}
 
==== Importation du certificat ====
 
{{ Box Information | objet=Reportez-vous à l'article [[:Role_Active_Directory_Certificate_Service#Importation_du_certificat | Importer un certificat]]. }}
 
==== Installation du certificat dans Microsoft IIS ====
 
{{ Box Information | objet=Reportez-vous à l'article [[:Role_Active_Directory_Certificate_Service#Installation_du_certificat_dans_IIS | Installation d'un certificat sous IIS]]. }}


=== Suppression de la liaison http ===
# Accéder à la console '''Gestionnaire des services Internet ''(IIS)''''' :
## Depuis la console '''Gestionnaire de serveur''', cliquer sur l'item '''IIS'''{{Exp|1}} présent sur le menu vertical de gauche.
## Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur '''Gestionnaire des services Internet (IIS)'''{{Exp|2}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS.png]]
# Le '''Gestionnaire des services Internet ''(IIS)''''' s'ouvre. Depuis l'arborescence, accéder à '''Sites''' / '''Default Web Site'''{{Exp|1}}. Puis, depuis la '''Page d'accueil de /CertSrv''', cliquer sur le lien '''Liaisons…'''{{Exp|2}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_ACCUEIL_LIAISONS.png]]
# Depuis la fenêtre '''Liaisons de site''' :
## Sélectionner la liaison '''http'''{{Exp|1}} puis cliquer sur le bouton {{Bouton|Supprimer…}}{{Exp|2}}.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_LIAISONS_CERTSRV_HTTP_DELETE.png]]
## Cliquer ensuite sur le bouton {{Bouton|Fermer}}.
# Depuis le '''Gestionnaire des services Internet ''(IIS)''''', cliquer sur le site '''Default Web Site'''.
# Depuis le menu horizontal à droite de la fenêtre, cliquer sur le lien '''Redémarrer'''.<br />[[Image:GESTIONNAIREDESERVEUR_IIS_Default_Web_Site_RESTART.png]]


[[Category:Microsoft Active Directory]]
[[Category:Microsoft Active Directory]]
[[Category:Rôle ADCS]]
[[Category:Rôle ADCS]]

Dernière version du 16 juillet 2024 à 20:38

— Rôles Active Directory —

Installation du rôle ADCS | Gestion des certificats | Authentification par cartes à puce

Installation du rôle ADDS | Sécuriser son environnement Active Directory | Windows LAPS | gMSA

Archives : Contrôleur de domaine Windows Server 2003 | Intégration Client Ubuntu sur AD Windows Server 2003 | Windows Server 2008

Ajout du rôle Services de certificats Active Directory

  1. Depuis le Tableau de bord du gestionnaire de serveur, cliquer sur le menu Gérer puis Ajouter des rôles et fonctionnalités.
  2. À l’étape Avant de commencer, cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP1.png
  3. À l’étape Sélectionner le type d’installation, choisir Installation basée sur un rôle ou une fonctionnalité puis cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP2.png
  4. À l’étape Sélectionner le serveur de destination, sélectionner la machine courante puis cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP3.png
  5. À l’étape Sélectionner des rôles de serveurs, cocher Services de certificats Active Directory.
    ADCS INSTALLROLE STEP4.png
    1. Depuis la boîte de dialogue Ajouter les fonctionnalités requises pour Services de certificats Active Directory cocher l’option Inclure les outils de gestion (si applicable) puis cliquer sur le bouton Ajouter des fonctionnalités.
      ADCS INSTALLROLE STEP41.png
  6. De retour à l’étape Sélectionner des rôles de serveurs, cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP42.png
  7. À l’étape Sélectionner des fonctionnalités, conserver la sélection par défaut puis cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP5.png
  8. À l’étape Service de certificats Active Directory, cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP6.png
    1. À l’étape Sélectionner des services de rôles, cocher Autorité de certification ainsi que Inscription de l’autorité de certification via le Web puis cliquer sur le bouton Suivant.
      ADCS INSTALLROLE STEP61.png
    2. Depuis la boîte de dialogue Ajouter les fonctionnalités requises pour Inscription de l’autorité certification via le Web cocher l’option Inclure les outils de gestion (si applicable) puis cliquer sur le bouton Ajouter des fonctionnalités.
      ADCS INSTALLROLE STEP62.png
  9. De retour à l’étape Sélectionner des services de rôle, cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP63.png
  10. À l’étape Rôle Web Server (IIS), cliquer sur le bouton Suivant.
    ADCS INSTALLROLE STEP7.png
    1. À l’étape Sélectionner des services de rôle, conserver la sélection par défaut puis cliquer sur le bouton Suivant.
      ADCS INSTALLROLE STEP71.png
  11. À l’étape Confirmer les sélections d’installation cliquer sur le bouton Installation.
    ADCS INSTALLROLE STEP8.png
  12. L’installation des composants peut prendre plusieurs minutes.
    ADCS INSTALLROLE STEP9.png

Configurer les Services de certificats Active Directory

  1. Ouvrir le Tableau de bord du Gestionnaire de serveur.
  2. Cliquer sur la zone de notification puis sur le lien Configurer les services de certificats Active Directory.
    ADCS CONFIG STEP1.png
  3. À l’étape Information d’identification, cliquer sur le bouton Suivant.
    ADCS CONFIG STEP2.png
  4. À l’étape Services de rôle, cocher les options Autorité de certification et Inscription de l’autorité de certification via le web puis cliquer sur le bouton Suivant.
    ADCS CONFIG STEP3.png
  5. À l’étape Type d’installation, sélectionner l’option Autorité de certification de l’entreprise puis cliquer sur le bouton Suivant.
    ADCS CONFIG STEP4.png
  6. À l’étape Type d’autorité de certification, sélectionner l’option Autorité de certification racine puis cliquer sur le bouton Suivant.
    ADCS CONFIG STEP5.png
  7. À l’étape Clé privée, sélectionner l’option Créer une clé privée puis cliquer sur le bouton Suivant.
    ADCS CONFIG STEP6.png
    1. À l’étape Chiffrement pour l’autorité de certification, dans le champ Longueur de la clé choisir 2048 et dans le menu Sélectionnez l’algorithme de hachage pour signer les certificats émis par cette AC choisir SHA256. Cliquer sur le bouton Suivant.
      ADCS CONFIG STEP61.png
    2. À l’étape Nom de l’autorité de certification, reprendre les informations saisies dans la capture ci-dessous :
      ADCS CONFIG STEP62.png
    3. À l’étape Période de validité, sélectionner 10 Années puis cliquer sur le bouton Suivant.
      ADCS CONFIG STEP63.png
  8. À l’étape Base de données de l’autorité de certification, conserver les paramètres par défaut puis cliquer sur le bouton Suivant.
    ADCS CONFIG STEP7.png
  9. À l’étape Confirmation, cliquer sur le bouton Configurer.
    ADCS CONFIG STEP8.png
  10. Une fois le paramétrage terminé, cliquer sur le bouton Fermer.
    ADCS CONFIG STEP9.png

Génération du certificat Web

Ce certificat sera utilisé lors de la configuration du serveur web IIS pour la mise en place de la liaison sécurisée https.

Générer la demande de certificat

  1. Accéder à la console Gérer les certificats d'ordinateur.
  2. Depuis l'arborescence, accéder à Certificats (ordinateur local) / Personnel1, puis cliquer sur l'action Autres actions2 / Toutes les tâches Opérations avancées / Créer une demande personnalisée....
    MMCCERTORD PERSONNEL AUTRES ACTIONS.png
  3. L’assistant Inscription de certificats démarre. Cliquer sur le bouton Suivant à l’étape Avant de commencer.
  4. À l’étape Sélectionner la stratégie d’inscription de certificat, sélectionner l’option Demande personnalisée puis cliquer sur le bouton Suivant.
  5. À l’étape Demande personnalisée, depuis le menu déroulant Modèle sélectionner (Aucun modèle) Clé CNG puis depuis la sélection Format de la demande sélectionner PKCS #10. Cliquer sur le bouton Suivant pour poursuivre.
    ADCS INSCRIPTION CERTORD DEMANDE PERSONNALISEE.png
  6. À l’étape Informations sur le certificat, dérouler la ligne Demande personnalisée à l’aide du bouton Détail puis cliquer sur le bouton Propriétés.
    ADCS INSCRIPTION CERTORD INFORMATIONS.png
  7. Depuis l’onglet Général :
    1. Dans le champ Nom convivial, saisir Certificat Web AC.
      ADCS INSCRIPTION CERTORD INFORMATIONS GENERAL CERTSRV.png
    2. Depuis l’onglet Objet, dans la section Nom du sujet ajouter les éléments suivants :
      1. Dans le champs Nom commun, penser à renseigner le nom FQDN de votre serveur d'Autorité de Certification. Dans notre cas, ce rôle étant installé sur notre serveur Active Directory, c'est son nom FQDN qui est ici renseigné.
        ADCS INSCRIPTION CERTORD OBJET SUBJECT TABLE CERTSRV.png

        ADCS INSCRIPTION CERTORD OBJET SUBJECT CERTSRV.png
    3. Toujours depuis l’onglet Objet, dans la section Autre nom ajouter les éléments suivants :
      ADCS INSCRIPTION CERTORD OBJET NAME TABLE CERTSRV.png

      ADCS INSCRIPTION CERTORD OBJET NAME CERTSRV.png
    4. Depuis l’onglet Clé privé, dérouler la section Option de clé puis sélectionner la valeur 2048 pour le paramètre Taille de la clé. Cocher l’option Permettre l’exportation de la clé privée.
      ADCS INSCRIPTION CERTORD PRIVATEKEY OPTIONS.png
    5. Depuis l’onglet Clé privé, dérouler la section Sélectionner l’algorithme de hachage puis sélectionner la valeur sha256. Cliquer sur le bouton OK pour valider les paramètres.
      ADCS INSCRIPTION CERTORD PRIVATEKEY CIPHER.png
  8. Depuis l’étape Informations sur le certificat, cliquer sur le bouton Suivant pour poursuivre.
  9. À l’étape Où voulez-vous enregistrer la demande hors connexion ?, cliquer sur le bouton Parcourir… puis nommer le fichier AD1SRV.ncad.fr et cliquer sur le bouton Enregistrer.
  10. Toujours depuis l’étape Où voulez-vous enregistrer la demande hors connexion ?, au paramètre Format de fichier sélectionner la valeur Base 64. Cliquer sur le bouton Terminer pour générer le fichier de demande de certificat.
    ADCS INSCRIPTION CERTORD SAVE.png

Signer la demande de certificat

  1. Se connecter au portail de l’Autorité de Certification depuis l’url http://localhost/certsrv. Depuis la page d'accueil, cliquer sur le lien Demander un certificat.
    ADCS WELCOME.png
  2. Depuis la page Demander un certificat, cliquer sur le lien demande de certificat avancée.
    ADCS DEMANDE CERTIFICAT.png
  3. Depuis la page Demande de certificat avancée, cliquer sur le lien Soumettez une demande de certificat en utilisant un fichier CMC ou PKCS #10 codé en base 64, ou soumettez une demande en utilisant un fichier PKCS #7 codé en base 64.
    ADCS DEMANDE CERTIFICAT AVANCEE.png
  4. Depuis la page Soumettre une demande de certificat ou de renouvellement :
    1. Dans le champ texte Demande enregistrée, renseignez le contenu du fichier AD1SRV.ncad.fr.req généré à la section Générer la demande de certificat.
    2. Dans le menu de sélection Modèle de certificat sélectionnez Serveur Web.
      ADCS SOUMETTRE CERTIFICAT.png
    3. Cliquer sur le bouton Envoyer > pour soumettre la demande au serveur.
  5. Depuis la page Certificat émis, sélectionner l’option Codé en base 64 puis cliquer sur le lien Télécharger le certificat.
    ADCS EMISSION CERTIFICAT.png
  6. Renommer le fichier téléchargé en AD1SRV.ncad.fr.crt.

Importer le certificat

  1. Double-cliquer sur le certificat généré à l’étape Signer la demande de certificat.
  2. Depuis la fenêtre Certificat, cliquer sur le bouton Installer un certificat….
    CERTIFICAT GENERAL CERTSRV.png
  3. Depuis la fenêtre Assistant Importation du certificat, depuis la section Emplacement de stockage sélectionner la valeur Ordinateur local1 et appuyer sur le bouton Suivant2.
    CERTIFICAT IMPORT EMPLACEMENT STOCKAGE.png
  4. Depuis l’Assistant Importation du certificat, sélectionner l’option Placer tous les certificats dans le magasin suivant1 puis cliquer sur le bouton Parcourir2:
    CERTIFICAT IMPORT MAGASIN.png
  5. Depuis la boîte de dialogue Sélectionner un magasin de certificats, choisir le dossier Personnel1 puis cliquer sur le bouton OK2.
    CERTIFICAT IMPORT MAGASIN CHOIX.png
  6. De retour sur l’Assistant Importation du certificat, cliquer sur le bouton Suivant .
  7. À l’étape Fin de l’Assistant Importation du certificat, cliquer sur le bouton Terminer.
    CERTIFICAT IMPORT TERMINER.png

Configuration du serveur web Microsoft IIS

Activer la protection étendue et désactiver le protocole http

Ce paramètre permet de se prémunir d'une attaque de type "PetitPotam" (attaque de relais NTLM classique). Pour de plus amples informations, vous pouvez consulter le correctif KB5005413 publié par Microsoft le 23 juillet 2021.

  1. Accéder à la console Gestionnaire des services Internet (IIS) :
    1. Depuis la console Gestionnaire de serveur, cliquer sur l'item IIS1 présent sur le menu vertical de gauche.
    2. Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur Gestionnaire des services Internet (IIS)2.
      GESTIONNAIREDESERVEUR IIS.png
  2. Le Gestionnaire des services Internet (IIS) s'ouvre. Depuis l'arborescence, accéder à Sites / Default Web Site / CertSrv1. Puis, depuis la Page d'accueil de /CertSrv, double-cliquer sur l'item Authentification2.
    GESTIONNAIREIIS CERTSRV AUTHENTIFICATION BOUTON.png
  3. Depuis la page Authentification, cliquer sur la ligne Authentification Windows1, puis sur le lien Paramètres avancés...2.
    GESTIONNAIREIIS CERTSRV AUTHENTIFICATION AUTH WINDOWS.png
    1. La boîte de dialogue Paramètres avancés s'affiche. Depuis le menu de sélection Protection étendue, sélectionner la valeur Nécessaire, puis cliquer sur le bouton OK pour valider.
      GESTIONNAIREIIS CERTSRV AUTHENTIFICATION AUTH WINDOWS PROTECTION ETENDUE ACTIVATION.png
  4. De retour sur la page Authentification, depuis l'arborescence, accéder à Sites / Default Web site.
  5. Depuis la Page d'accueil de Default Web Site, cliquer sur le lien Redémarrer pour finaliser la prise en charge de la protection étendue par le serveur.
    GESTIONNAIREIIS CERTSRV RESTART.png

Installation du certificat

  1. Accéder à la console Gestionnaire des services Internet (IIS) :
    1. Depuis la console Gestionnaire de serveur, cliquer sur l'item IIS présent sur le menu vertical de gauche.
    2. Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur Gestionnaire des services Internet (IIS).
      GESTIONNAIREDESERVEUR IIS.png
  2. Le Gestionnaire des services Internet (IIS) s'ouvre. Depuis l'arborescence, accéder à Sites / Default Web Site1. Puis, depuis la Page d'accueil de /CertSrv, cliquer sur le lien Liaisons…2.
    GESTIONNAIREDESERVEUR IIS Default Web Site ACCUEIL LIAISONS.png
  3. Depuis la fenêtre Liaisons de site, cliquer sur le bouton Ajouter….
    GESTIONNAIREDESERVEUR IIS Default Web Site LIAISONS CERTSRV.png
  4. Depuis la fenêtre Ajouter la liaison de site :
    1. Dans le champ Type, sélectionner https1.
    2. Dans le champ Nom de l’hôte, laisser la valeur Toutes non attribuées2.
      GESTIONNAIREDESERVEUR IIS Default Web Site LIAISONS AJOUTER CERTSRV.png
  5. À côté du champ Certificat SSL, cliquer sur le bouton Sélectionner….
  6. Depuis la fenêtre Sélectionner le certificat, parmi la liste des certificats présenté, sélectionner le certificat importé à l’étape Importation du certificat puis cliquer sur le bouton OK.
    GESTIONNAIREDESERVEUR IIS Default Web Site SELECTIONNER CERTIFICAT CERTSRV.png
  7. De retour sur le fenêtre Ajouter la liaison de site, cliquer sur le bouton OK pour valider les paramètres.
    GESTIONNAIREDESERVEUR IIS Default Web Site LIAISONS AJOUTER CERTSRV FIN.png
  8. Depuis la fenêtre Liaisons de sites, cliquer sur le bouton Fermer.
    GESTIONNAIREDESERVEUR IIS Default Web Site LIAISONS FIN.png
  9. Depuis le Gestionnaire des services Internet (IIS), cliquer sur le site Default Web Site. Puis, depuis la Page d'accueil de /CertSrv, double-cliquer sur l'item Paramètres SSL2.
    GESTIONNAIREIIS CERTSRV PARAMETRES SSL BOUTON.png
  10. Depuis la page Paramètres SSL, activer l'option Exiger SSL1 puis cliquer sur le lien Appliquer2.
    GESTIONNAIREIIS CERTSRV PARAMETRES SSL EXIGER SSL.png
  11. Depuis le Gestionnaire des services Internet (IIS), cliquer sur le site Default Web Site.
  12. Depuis le menu horizontal à droite de la fenêtre, cliquer sur le lien Redémarrer.
    GESTIONNAIREDESERVEUR IIS Default Web Site RESTART.png

Suppression de la liaison http

  1. Accéder à la console Gestionnaire des services Internet (IIS) :
    1. Depuis la console Gestionnaire de serveur, cliquer sur l'item IIS1 présent sur le menu vertical de gauche.
    2. Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur Gestionnaire des services Internet (IIS)2.
      GESTIONNAIREDESERVEUR IIS.png
  2. Le Gestionnaire des services Internet (IIS) s'ouvre. Depuis l'arborescence, accéder à Sites / Default Web Site1. Puis, depuis la Page d'accueil de /CertSrv, cliquer sur le lien Liaisons…2.
    GESTIONNAIREDESERVEUR IIS Default Web Site ACCUEIL LIAISONS.png
  3. Depuis la fenêtre Liaisons de site :
    1. Sélectionner la liaison http1 puis cliquer sur le bouton Supprimer…2.
      GESTIONNAIREDESERVEUR IIS Default Web Site LIAISONS CERTSRV HTTP DELETE.png
    2. Cliquer ensuite sur le bouton Fermer.
  4. Depuis le Gestionnaire des services Internet (IIS), cliquer sur le site Default Web Site.
  5. Depuis le menu horizontal à droite de la fenêtre, cliquer sur le lien Redémarrer.
    GESTIONNAIREDESERVEUR IIS Default Web Site RESTART.png
Récupérée de « https://wiki.ncad.fr/index.php?title=Installation_du_rôle_ADCS&oldid=4116 »