Guía de instalación y configuración de Microsoft ADCS
Resumen de una jerarquía PKI de Microsoft ADCS con CA raíz, CA emisoras y publicación CRL/AIA. Valide las instrucciones de seguridad antes de aplicarlas.
Instalación y configuración de Active Directory Certificate Services (ADCS)
Esta guía describe una arquitectura empresarial con una CA raíz, CA emisoras subordinadas y servidores para publicar CRL/AIA. La instalación de ADCS es sensible a la seguridad y los pasos dependen de la topología y versión de Windows Server.
Advertencia de seguridad importante: la fuente original incluye instrucciones de permisos que conceden acceso amplio, así como recomendaciones de usar un equipo portátil como CA raíz y borrar plantillas predeterminadas. No las aplique sin una revisión experta. En producción, siga las guías actuales de Microsoft y las políticas de seguridad de su organización; aplique mínimo privilegio, proteja las claves privadas (por ejemplo, con HSM) y revise cada plantilla antes de habilitarla. No conceda permisos de escritura a `Everyone` ni exponga CA a redes no confiables.
Arquitectura y requisitos previos
- CA raíz: servidor Windows Server dedicado para la CA raíz. Mantenga las funciones del servidor separadas cuando sea posible para reducir la superficie de ataque.
- CA emisoras: servidores miembros del dominio que emiten certificados; pueden ubicarse en sitios primario y de recuperación ante desastres.
- Publicación CRL/AIA: servidores web con nombres DNS y conectividad planificada para alojar listas de revocación y certificados CA.
- Permisos: las tareas iniciales pueden requerir Enterprise Admins; utilice cuentas privilegiadas solo el tiempo necesario y con aprobación.
- Red: configure direcciones IP estáticas, DNS y nombres de servidor antes de instalar ADCS. Cambiar nombres de CA después de la instalación es complejo.
Fase 1: instalar el rol AD CS en la CA raíz
En Server Manager, use Manage → Add Roles and Features, seleccione Active Directory Certificate Services e instale el servicio Certification Authority. Revise cuidadosamente el resumen antes de la instalación.
Fase 2: configurar la CA raíz
En AD CS Configuration Wizard, seleccione el tipo de instalación apropiado. Para una jerarquía empresarial nueva, la fuente describe una Enterprise CA de tipo Root CA. Cree una clave privada nueva y elija un proveedor criptográfico, longitud de clave y hash de acuerdo con la política vigente. La fuente cita RSA de 2048 bits como mínimo y SHA256; confirme que la configuración cumple las normas actuales de su organización y los requisitos de longevidad criptográfica antes de producción.
Asigne un nombre de CA significativo que no deba cambiarse después. Defina la validez, las ubicaciones de base de datos y los parámetros de respaldo conforme a la política de PKI aprobada. Revise la configuración y complete el asistente.
Fase 3: preparar la publicación CRL/AIA
Prepare servidores y rutas para publicar CRL y certificados CA. La fuente describe una carpeta compartida y un sitio IIS, pero los permisos deben restringirse: use una cuenta de servicio dedicada y conceda solo los permisos necesarios. No use permisos de escritura amplios ni acceso anónimo sin una evaluación de riesgo.
Verifique que los clientes puedan resolver y alcanzar las URL de publicación. Mantenga separado el acceso de publicación (escritura) del acceso de clientes (lectura).
Fase 4: configurar CDP y AIA en la CA
En la consola Certification Authority (`certsrv.msc`), abra las propiedades de la CA y la pestaña Extensions.
CRL Distribution Point (CDP)
Configure una URL HTTP de publicación accesible para los clientes y marque las opciones necesarias para publicar CRL y añadir la URL CDP a los certificados emitidos. Compruebe los valores de sustitución de `<CaName>`, `<CRLNameSuffix>` y `<DeltaCRLAllowed>` para que la URL corresponda con el nombre de archivo publicado.
Authority Information Access (AIA)
Configure una URL HTTP para que los clientes obtengan el certificado CA y añádala a la extensión AIA de los certificados emitidos. Verifique el nombre DNS del servidor CA, el nombre de CA y el nombre de archivo. Evite publicar rutas locales `file://` en certificados de cliente.
Tras cambiar extensiones, siga el procedimiento aprobado para reiniciar el servicio CA y generar una CRL nueva.
Fase 5: publicar y probar CRL/AIA
Publique o copie los archivos CRL y certificados CA en el servidor web mediante un proceso controlado y auditado. Pruebe las URL HTTP desde un equipo cliente; valide que los certificados y CRL se descarguen y que los certificados emitidos incluyan las extensiones AIA y CDP esperadas. Establezca un proceso de publicación y supervisión para cada renovación de CRL.
Fases 6–9: instalar una CA subordinada
- Instale el rol Active Directory Certificate Services y el servicio Certification Authority en el servidor subordinado.
- En Configuration Wizard, seleccione Enterprise CA y luego Subordinate CA. Cree una nueva clave privada con parámetros aprobados.
- Genere una solicitud de certificado y guárdela en un archivo para enviarla a la CA raíz mediante un canal seguro.
- En la CA raíz, revise y apruebe la solicitud conforme a los procedimientos de autorización. Exporte el certificado subordinado y, si es necesario, el certificado raíz en formato Base-64 encoded X.509 (`.CER`).
- En el servidor subordinado, instale el certificado emitido, inicie el servicio CA e instale la raíz en el almacén Trusted Root Certification Authorities del equipo local.
- Verifique la cadena, la publicación CRL/AIA y la conectividad antes de emitir certificados.
Fase 10: configurar plantillas de certificado
Las plantillas determinan las propiedades y usos de los certificados emitidos. Revise cada plantilla predeterminada y su ACL; no elimine plantillas predeterminadas de forma indiscriminada. Duplique y personalice solo las plantillas necesarias, restrinja quién puede inscribirse y quién puede modificar los permisos, y pruebe la configuración antes de emitir certificados.
Validación y mantenimiento
- Compruebe desde equipos clientes que las URL CRL/AIA sean accesibles y que la cadena de certificados se valide correctamente.
- Supervise la expiración y publicación de CRL; mantenga un proceso documentado de renovación y respaldo.
- Revise periódicamente los permisos de CA, plantillas, carpetas y cuentas de servicio.
- Pruebe recuperación ante desastres y proteja las claves privadas de CA.
El artículo original continúa con instrucciones detalladas para publicar certificados en Active Directory, distribuir certificados mediante Group Policy y crear plantillas. Valide esos pasos con la documentación vigente de Microsoft y con un especialista PKI antes de aplicarlos.