Un AC est un AC et rien qu'un AC.

Quand j'étais chez Microsoft à aider des clients à concevoir de nouveaux déploiements PKI, je leur faisais répéter ça à voix haute. À chacun. Au rythme de Popeye. Oui, c'était ridicule. Non, ça ne m'a pas arrêté.

Une Autorité de Certification est un système qui existe pour faire exactement une chose. Moins elle a de rôles, d'agents et d'intégrations supplémentaires, plus sa surface d'attaque est petite, et plus c'est difficile de compromettre les clés qui ancrent toute votre infrastructure d'identité. Souvent au-delà d'Active Directory, selon les endroits où votre racine est approuvée.

Un seul travail

L'AC héberge uniquement le rôle Autorité de Certification. Pas de serveur de fichiers. Pas de DNS. Pas de contrôleur de domaine. Pas d'IIS pour le point de distribution de la CRL. Un seul travail.

Limitez les agents sur l'AC. Surveillance, EDR, ça va. Les agents de sauvegarde, vous pouvez généralement vous en passer. Une sauvegarde scriptée de la base de données de l'AC qui dépose les fichiers dans un partage, où votre système de sauvegarde les ramasse, c'est plus sûr qu'installer l'agent du fournisseur sur l'AC elle-même. Le PDF téléchargeable ci-dessus présente ce qui va sur une AC — et ce qui n'est que de la surface d'attaque.

La ligne qu'on ne franchit pas

Ne sauvegardez pas la clé privée de cette façon. Si la clé privée de votre AC est adossée à un HSM, le HSM a sa propre procédure de sauvegarde. Utilisez-la. Si la clé privée est sur le disque système, évitez les snapshots de VM et les sauvegardes d'état du système. Chacune est une autre copie de la clé, quelque part en dehors de l'AC, que quelqu'un pourrait utiliser pour signer des certificats que tout votre Active Directory acceptera.

Trois problèmes que je vois le plus souvent

En examinant des déploiements existants, trois patterns reviennent :

  • Le nom d'hôte du serveur fait partie du nom de l'AC (CA01-PKI-PROD ou similaire)
  • Le nom du sujet X.509 est mal formé ou manque des valeurs qu'il devrait avoir
  • IIS fonctionne sur l'AC pour héberger le point de distribution de la CRL depuis le dossier certsrv local de l'ADCS

Le deuxième est presque toujours de la panique. Les gens voient « Distinguished Name » dans l'interface d'installation, supposent qu'ils vont casser quelque chose en touchant aux valeurs par défaut, et les laissent tranquilles. Ils n'auraient rien cassé. J'ai corrigé des gens de Microsoft là-dessus plus d'une fois.

Le CDP, c'est toute une conversation. On y reviendra.

Pour l'instant, dites-le avec moi. Un AC est un AC et rien qu'un AC.

Du terrain

J'ai déjà hérité d'une AC qui était aussi un DC, qui hébergeait aussi le partage de sauvegarde pour la base de données de l'AC, et qui faisait tourner un agent de sauvegarde qui sauvegardait ses propres clés sur elle-même. Le client a demandé quoi corriger en premier. J'ai demandé s'il y avait une AC qu'on pouvait utiliser qui n'était pas celle-là.