Installation du rôle ADCS

— Rôles Active Directory —

Installation du rôle ADCS | Gestion des certificats | Authentification par cartes à puce

---

Installation du rôle ADDS | Sécuriser son environnement Active Directory | Windows LAPS | gMSA

---

Archives : Contrôleur de domaine Windows Server 2003 | Intégration Client Ubuntu sur AD Windows Server 2003 | Windows Server 2008

Ajout du rôle Services de certificats Active Directory

1. Depuis le Tableau de bord du gestionnaire de serveur, cliquer sur le menu Gérer puis Ajouter des rôles et fonctionnalités.
2. À l’étape Avant de commencer, cliquer sur le bouton Suivant.
   
3. À l’étape Sélectionner le type d’installation, choisir Installation basée sur un rôle ou une fonctionnalité puis cliquer sur le bouton Suivant.
   
4. À l’étape Sélectionner le serveur de destination, sélectionner la machine courante puis cliquer sur le bouton Suivant.
   
5. À l’étape Sélectionner des rôles de serveurs, cocher Services de certificats Active Directory.
   
   1. Depuis la boîte de dialogue Ajouter les fonctionnalités requises pour Services de certificats Active Directory cocher l’option Inclure les outils de gestion (si applicable) puis cliquer sur le bouton Ajouter des fonctionnalités.
      
6. De retour à l’étape Sélectionner des rôles de serveurs, cliquer sur le bouton Suivant.
   
7. À l’étape Sélectionner des fonctionnalités, conserver la sélection par défaut puis cliquer sur le bouton Suivant.
   
8. À l’étape Service de certificats Active Directory, cliquer sur le bouton Suivant.
   
   1. À l’étape Sélectionner des services de rôles, cocher Autorité de certification ainsi que Inscription de l’autorité de certification via le Web puis cliquer sur le bouton Suivant.
      
   2. Depuis la boîte de dialogue Ajouter les fonctionnalités requises pour Inscription de l’autorité certification via le Web cocher l’option Inclure les outils de gestion (si applicable) puis cliquer sur le bouton Ajouter des fonctionnalités.
      
9. De retour à l’étape Sélectionner des services de rôle, cliquer sur le bouton Suivant.
   
10. À l’étape Rôle Web Server (IIS), cliquer sur le bouton Suivant.
    
    1. À l’étape Sélectionner des services de rôle, conserver la sélection par défaut puis cliquer sur le bouton Suivant.
       
11. À l’étape Confirmer les sélections d’installation cliquer sur le bouton Installation.
    
12. L’installation des composants peut prendre plusieurs minutes.
    

Configurer les Services de certificats Active Directory

1. Ouvrir le Tableau de bord du Gestionnaire de serveur.
2. Cliquer sur la zone de notification puis sur le lien Configurer les services de certificats Active Directory.
   
3. À l’étape Information d’identification, cliquer sur le bouton Suivant.
   
4. À l’étape Services de rôle, cocher les options Autorité de certification et Inscription de l’autorité de certification via le web puis cliquer sur le bouton Suivant.
   
5. À l’étape Type d’installation, sélectionner l’option Autorité de certification de l’entreprise puis cliquer sur le bouton Suivant.
   
6. À l’étape Type d’autorité de certification, sélectionner l’option Autorité de certification racine puis cliquer sur le bouton Suivant.
   
7. À l’étape Clé privée, sélectionner l’option Créer une clé privée puis cliquer sur le bouton Suivant.
   
   1. À l’étape Chiffrement pour l’autorité de certification, dans le champ Longueur de la clé choisir 2048 et dans le menu Sélectionnez l’algorithme de hachage pour signer les certificats émis par cette AC choisir SHA256. Cliquer sur le bouton Suivant.
      
   2. À l’étape Nom de l’autorité de certification, reprendre les informations saisies dans la capture ci-dessous :
      
   3. À l’étape Période de validité, sélectionner 10 Années puis cliquer sur le bouton Suivant.
      
8. À l’étape Base de données de l’autorité de certification, conserver les paramètres par défaut puis cliquer sur le bouton Suivant.
   
9. À l’étape Confirmation, cliquer sur le bouton Configurer.
   
10. Une fois le paramétrage terminé, cliquer sur le bouton Fermer.
    

Génération du certificat Web

Ce certificat sera utilisé lors de la configuration du serveur web IIS pour la mise en place de la liaison sécurisée https.

Générer la demande de certificat

1. Accéder à la console Gérer les certificats d'ordinateur.
2. Depuis l'arborescence, accéder à Certificats (ordinateur local) / Personnel, puis cliquer sur l'action Autres actions / Toutes les tâches Opérations avancées / Créer une demande personnalisée....
   
3. L’assistant Inscription de certificats démarre. Cliquer sur le bouton Suivant à l’étape Avant de commencer.
4. À l’étape Sélectionner la stratégie d’inscription de certificat, sélectionner l’option Demande personnalisée puis cliquer sur le bouton Suivant.
5. À l’étape Demande personnalisée, depuis le menu déroulant Modèle sélectionner (Aucun modèle) Clé CNG puis depuis la sélection Format de la demande sélectionner PKCS #10. Cliquer sur le bouton Suivant pour poursuivre.
   
6. À l’étape Informations sur le certificat, dérouler la ligne Demande personnalisée à l’aide du bouton Détail puis cliquer sur le bouton Propriétés.
   
7. Depuis l’onglet Général :
   1. Dans le champ Nom convivial, saisir Certificat Web AC.
      
   2. Depuis l’onglet Objet, dans la section Nom du sujet ajouter les éléments suivants :
      1. Dans le champs Nom commun, penser à renseigner le nom FQDN de votre serveur d'Autorité de Certification. Dans notre cas, ce rôle étant installé sur notre serveur Active Directory, c'est son nom FQDN qui est ici renseigné.
         
         
         
   3. Toujours depuis l’onglet Objet, dans la section Autre nom ajouter les éléments suivants :
      
      
      
   4. Depuis l’onglet Clé privé, dérouler la section Option de clé puis sélectionner la valeur 2048 pour le paramètre Taille de la clé. Cocher l’option Permettre l’exportation de la clé privée.
      
   5. Depuis l’onglet Clé privé, dérouler la section Sélectionner l’algorithme de hachage puis sélectionner la valeur sha256. Cliquer sur le bouton OK pour valider les paramètres.
      
8. Depuis l’étape Informations sur le certificat, cliquer sur le bouton _Suivant_ pour poursuivre.
9. À l’étape Où voulez-vous enregistrer la demande hors connexion ?, cliquer sur le bouton Parcourir… puis nommer le fichier AD1SRV.ncad.fr et cliquer sur le bouton Enregistrer.
10. Toujours depuis l’étape Où voulez-vous enregistrer la demande hors connexion ?, au paramètre Format de fichier sélectionner la valeur Base 64. Cliquer sur le bouton Terminer pour générer le fichier de demande de certificat.
    

Signer la demande de certificat

1. Se connecter au portail de l’Autorité de Certification depuis l’url http://localhost/certsrv. Depuis la page d'accueil, cliquer sur le lien Demander un certificat.
   
2. Depuis la page Demander un certificat, cliquer sur le lien demande de certificat avancée.
   
3. Depuis la page Demande de certificat avancée, cliquer sur le lien Soumettez une demande de certificat en utilisant un fichier CMC ou PKCS #10 codé en base 64, ou soumettez une demande en utilisant un fichier PKCS #7 codé en base 64.
   
4. Depuis la page Soumettre une demande de certificat ou de renouvellement :
   1. Dans le champ texte Demande enregistrée, renseignez le contenu du fichier AD1SRV.ncad.fr.req généré à la section Génération d’une demande de signature.
   2. Dans le menu de sélection Modèle de certificat sélectionnez Serveur Web.
      
   3. Cliquer sur le bouton Envoyer > pour soumettre la demande au serveur.
5. Depuis la page Certificat émis, sélectionner l’option Codé en base 64 puis cliquer sur le lien Télécharger le certificat.
   
6. Renommer le fichier télécharger en AD1SRV.ncad.fr.crt.

Importer le certificat

1. Double-cliquer sur le certificat généré à l’étape Signer la demande de certificat.
2. Depuis la fenêtre Certificat, cliquer sur le bouton Installer un certificat….
   
3. Depuis la fenêtre Assistant Importation du certificat, depuis la section Emplacement de stockage sélectionner la valeur Ordinateur local¹ et appuyer sur le bouton Suivant².
   
4. Depuis l’Assistant Importation du certificat, sélectionner l’option Placer tous les certificats dans le magasin suivant¹ puis cliquer sur le bouton Parcourir²:
   
5. Depuis la boîte de dialogue Sélectionner un magasin de certificats, choisir le dossier Personnel¹ puis cliquer sur le bouton OK².
   
6. De retour sur l’Assistant Importation du certificat, cliquer sur le bouton Suivant .
7. À l’étape Fin de l’Assistant Importation du certificat, cliquer sur le bouton Terminer.
   

Configuration du serveur web Microsoft IIS

Activer la protection étendue et désactiver le protocole http

Niveau ORADAD :	—
Score PingCastle :	10 Pt(s)
Mise en oeuvre :	{{{mo}}}
Criticité :	{{{criticite}}}
Compatibilité :	Windows Server 2008 et ultérieure
CVE :	—
Correctif(s) :	KB5005413 T1557

1. Accéder à la console Gestionnaire des services Internet (IIS) :
   1. Depuis la console Gestionnaire de serveur, cliquer sur l'item IIS présent sur le menu vertical de gauche.
   2. Effectuer un clic droit sur le serveur présent dans la liste puis cliquer sur Gestionnaire des services Internet (IIS).
      
2. Le Gestionnaire des services Internet (IIS) s'ouvre. Depuis l'arborescence, accéder à Sites / Default Web Site / CertSrv. Puis, depuis la Page d'accueil de /CertSrv, double-cliquer sur l'item Authentification.
   
3. Depuis la page Authentification, cliquer sur le ligne Authentification Windows, puis sur le lien Paramètres avancés... .
   
   1. La boîte de dialogue Paramètres avancés s'affiche. Depuis le menu de sélection Protection étendue, sélectionner la valeur Nécessaire, puis cliquer sur le bouton OK pour valider.
      
4. De retour sur la page Authentification, depuis l'arborescence, accéder à Sites / Default Web site.
5. Depuis la Page d'accueil de Default Web Site, cliquer sur le lien Redémarrer pour finaliser la prise en charge de la protection étendue par le serveur.
   

Par défaut, l’interface web de l’autorité de certification est accessible à l’adresse http://srvadcs/certsrv. Ici, nous allons créer une adresse spécifique qui sera https://certsrv.domaine.tld.

Création du site web

1. Ouvrir la console Gestionnaire des services Internet (IIS).
2. Depuis l’arborescence CERTSRV, cliquer sur Sites.
3. Depuis le menu horizontal à droite de la fenêtre, cliquer sur Ajouter un site Web….
4. Depuis le formulaire Ajouter un site Web :
   • Dans le champs Nom du site, renseigner CERTSRV¹.
   • Depuis la section Répertoire de contenu – dans le champ Chemin d’accès physique – sélectionner C:\inetpub\certsrv.domaine.tld².
   • Depuis la section Liaison – dans le champ Type – sélectionner http³.
   • Dans le champ Nom de l’hôte, saisir certsrv.domaine.tld⁴.
     
5. Cliquer sur le bouton OK pour valider.

Paramétrage de l’application

Paramètres de base

1. Ouvrir la console Gestionnaire des services Internet (IIS).
2. Depuis l’arborescence CERTSRV, développer l’item Sites.
3. Effectuer un clic droit sur CERTSRV puis Ajouter une application… .
   • Dans le champ Alias, saisir CertSrv.
   • Dans le champ Chemin d’accès physique, sélectionner C:\Windows\System32\certsrv\fr-FR.
     
4. Cliquer sur le bouton OK pour valider.

Paramètres avancés

1. Ouvrir la console Gestionnaire des services Internet (IIS).
2. Depuis l’arborescence CERTSRV, développer l’item Sites.
3. Effectuer un clic droit sur CERTSRV puis Gérer le site Web et Paramètres avancés….
   • Au paramètre Information d’identification du chemin physique pour le type d’ouverture de session, sélectionner Network¹.
   • Au paramètre Préchargement Activée, sélectionner True².
     
4. Cliquer sur le bouton OK pour valider.

Paramètres de l’authentification

1. Ouvrir la console Gestionnaire des services Internet (IIS).
2. Depuis l’arborescence CERTSRV, développer l’item Sites puis cliquer sur CERTSRV.
3. Depuis la Page d’accueil de CERTSRV, double-cliquer sur l’item Authentification.
4. Au paramètre Authentification Windows, sélectionner la valeur Activé.
   

Paramètres ASP

1. Ouvrir la console Gestionnaire des services Internet (IIS).
2. Depuis l’arborescence CERTSRV, développer l’item Sites puis cliquer sur CERTSRV.
3. Depuis la Page d’accueil de CERTSRV, double-cliquer sur l’item ASP.
4. Au paramètre Activer les chemins d’accès relatifs au répertoire parent, sélectionner la valeur True.
   

Paramétrage du répertoire virtuel

1. Ouvrir la console Gestionnaire des services Internet (IIS).
2. Depuis l’arborescence CERTSRV, développer l’item Sites.
3. Effectuer un clic droit sur CERTSRV puis Ajouter un répertoire virtuel….
   • Dans le champ Alias, saisir CertEnroll¹.
   • Dans le champ Chemin d’accès physique, sélectionner C:\Windows\System32\certsrv\CertEnroll².
     
4. Cliquer sur le bouton OK pour valider.