Installer et configurer Active Directory Certificate Services (ADCS)

Ce guide présente une architecture d’entreprise avec une CA racine, des CA émettrices subordonnées et des serveurs de publication CRL/AIA. L’installation d’ADCS est sensible du point de vue de la sécurité ; les étapes varient selon la topologie et la version de Windows Server.

Avertissement de sécurité important : la source d’origine contient des instructions accordant des autorisations étendues, recommande l’utilisation d’un ordinateur portable comme CA racine et la suppression des modèles par défaut. Ne les appliquez pas sans examen spécialisé. En production, suivez les recommandations Microsoft actuelles et les politiques de sécurité de votre organisation : appliquez le moindre privilège, protégez les clés privées (par exemple avec un HSM) et examinez chaque modèle avant de l’activer. N’accordez pas d’autorisations d’écriture à `Everyone` et n’exposez pas les CA à des réseaux non fiables.

Architecture et prérequis

• CA racine : serveur Windows Server dédié à la CA racine. Dans la mesure du possible, séparez les rôles serveur pour réduire la surface d’attaque.
• CA émettrices : serveurs membres du domaine chargés d’émettre les certificats ; ils peuvent être répartis entre le site principal et le site de reprise après sinistre.
• Publication CRL/AIA : serveurs Web dont les noms DNS et la connectivité sont configurés pour héberger les listes de révocation et les certificats CA.
• Autorisations : certaines opérations d’installation peuvent nécessiter le groupe Enterprise Admins ; utilisez les comptes privilégiés uniquement le temps requis et avec autorisation.
• Réseau : configurez les adresses IP statiques, le DNS et les noms de serveur avant l’installation d’ADCS. Modifier les noms de CA ensuite est complexe.

Phase 1 : installer le rôle AD CS sur la CA racine

Dans Server Manager, utilisez Manage → Add Roles and Features, sélectionnez Active Directory Certificate Services, puis installez le service Certification Authority. Examinez attentivement le récapitulatif avant l’installation.

Phase 2 : configurer la CA racine

Dans AD CS Configuration Wizard, choisissez le type d’installation adapté. Pour une nouvelle hiérarchie d’entreprise, la source décrit une Enterprise CA de type Root CA. Créez une nouvelle clé privée et choisissez le fournisseur cryptographique, la longueur de clé et le hachage selon la politique applicable. La source indique RSA 2048 bits comme minimum et SHA256 ; vérifiez que ces paramètres répondent aux normes actuelles de votre organisation et aux exigences de durée de vie cryptographique avant la production.

Choisissez un nom de CA explicite, qui ne devrait pas être modifié après l’installation. Définissez la période de validité et les emplacements de base de données selon la politique PKI approuvée. Vérifiez les paramètres et terminez l’assistant.

Phase 3 : préparer la publication CRL/AIA

Préparez les serveurs et les chemins utilisés pour publier les CRL et les certificats CA. La source décrit un dossier partagé et un site IIS, mais les autorisations doivent être restreintes : utilisez un compte de service dédié et accordez uniquement les droits nécessaires. Évitez les autorisations d’écriture étendues et l’accès anonyme sans évaluation des risques.

Vérifiez que les clients peuvent résoudre et atteindre les URL de publication. Séparez les droits de publication (écriture) des droits clients (lecture).

Phase 4 : configurer CDP et AIA sur la CA

Dans la console Certification Authority (`certsrv.msc`), ouvrez les propriétés de la CA et l’onglet Extensions.

CRL Distribution Point (CDP)

Configurez une URL HTTP de publication accessible aux clients et activez les options requises pour publier les CRL et ajouter l’URL CDP aux certificats émis. Vérifiez les variables `<CaName>`, `<CRLNameSuffix>` et `<DeltaCRLAllowed>` afin que l’URL corresponde au nom de fichier publié.

Authority Information Access (AIA)

Configurez une URL HTTP permettant aux clients de récupérer le certificat CA et ajoutez-la à l’extension AIA des certificats émis. Vérifiez le nom DNS du serveur CA, le nom de la CA et le nom de fichier. Évitez d’inclure des chemins locaux `file://` dans les certificats clients.

Après toute modification des extensions, suivez la procédure approuvée pour redémarrer le service CA et générer une nouvelle CRL.

Phase 5 : publier et tester CRL/AIA

Publiez ou copiez les fichiers CRL et certificats CA sur le serveur Web selon un processus contrôlé et auditable. Depuis un poste client, testez les URL HTTP et vérifiez le téléchargement des certificats et CRL ainsi que la présence des extensions AIA et CDP attendues dans les certificats émis. Établissez un processus de publication et de surveillance à chaque renouvellement CRL.

Phases 6–9 : installer une CA subordonnée

1. Installez le rôle Active Directory Certificate Services et le service Certification Authority sur le serveur subordonné.
2. Dans Configuration Wizard, sélectionnez Enterprise CA, puis Subordinate CA. Créez une clé privée selon les paramètres approuvés.
3. Générez une demande de certificat et enregistrez-la dans un fichier à transmettre à la CA racine via un canal sécurisé.
4. Sur la CA racine, examinez et approuvez la demande selon la procédure d’autorisation. Exportez le certificat subordonné et, si nécessaire, le certificat racine au format Base-64 encoded X.509 (`.CER`).
5. Sur le serveur subordonné, installez le certificat émis, démarrez le service CA et installez le certificat racine dans le magasin local Trusted Root Certification Authorities.
6. Vérifiez la chaîne, la publication CRL/AIA et la connectivité avant l’émission de certificats.

Phase 10 : configurer les modèles de certificats

Les modèles définissent les propriétés et les usages des certificats émis. Examinez chaque modèle par défaut et ses ACL ; ne supprimez pas tous les modèles par défaut sans distinction. Dupliquez et personnalisez uniquement les modèles nécessaires, limitez les personnes autorisées à s’inscrire ou à modifier les autorisations, puis testez la configuration avant l’émission.

Validation et maintenance

• Depuis des appareils clients, vérifiez l’accessibilité des URL CRL/AIA et la validation correcte de la chaîne de certificats.
• Surveillez l’expiration et la publication des CRL ; documentez les procédures de renouvellement et de sauvegarde.
• Révisez régulièrement les autorisations des CA, modèles, répertoires et comptes de service.
• Testez la reprise après sinistre et protégez les clés privées des CA.

L’article d’origine contient également des instructions détaillées pour publier des certificats dans Active Directory, distribuer des certificats par Group Policy et créer des modèles. Vérifiez ces étapes avec la documentation Microsoft actuelle et un spécialiste PKI avant leur mise en œuvre.