Exportar (0) Imprimir
Expandir Tudo

Administração baseada em função

Administração baseada em função

A administração baseada em função é utilizada para organizar administradores de autoridade de certificação em funções de autoridade de certificação separadas predefinidas, cada uma com seu próprio conjunto de tarefas. As funções são atribuídas usando-se as configurações de segurança de cada usuário. Você atribui uma função a um usuário ao atribuir a esse usuário as configurações de segurança específicas associadas à função. Um usuário que tenha um tipo de permissão, como <b>Gerenciar autoridade de certificação</b>, por exemplo, poderá executar tarefas específicas de autoridade de certificação que um usuário com a permissão <b>Emitir e gerenciar certificados</b> não poderá realizar. Para obter mais informações, consulte Explicação sobre funções.

Observação

Explicação sobre funções

A administração baseada em função envolve funções de autoridades de certificação, usuários e grupos. Para atribuir uma função a um usuário ou grupo, você deve atribuir a esse usuário ou grupo as permissões de segurança, as participações no grupo ou os direitos de usuário correspondentes à função. Esses quesitos são utilizados para distinguir quais usuários dispõem de quais funções. A tabela a seguir descreve as funções de autoridade de certificação da administração baseada em função e os grupos relevantes a essa administração.

 

Funções e grupos Permissão de segurança Descrição

Administrador de autoridade de certificação

Permissão Gerenciar autoridade de certificação

Configurar e manter a autoridade de certificação. Esta é uma função de autoridade de certificação e inclui a capacidade de atribuir todas as outras funções de autoridade de certificação e renovar o certificado de autoridade de certificação.

Gerenciador de Certificados

Permissão Emitir e Gerenciar Certificados

Aprovar solicitações de registro e revogação de certificados. Esta é uma função de autoridade de certificação. Esta função é certas vezes denominada de "Gerente de autoridade de certificação".

Operador de Backup

Permissões Fazer backup de arquivos e pastas e Restaurar arquivos e pastas

Executar backup e recuperação do sistema. Esta é uma função do sistema operacional.

Auditor

Permissão Gerenciar a auditoria e o log de segurança

Configurar, exibir e fazer a manutenção de logs de auditoria. Esta é uma função do sistema operacional.

Usuários registrados

Usuários autenticados

Usuários registrados são clientes autorizados a solicitar certificados da autoridade de certificação. Esta não é uma função de autoridade de certificação.

Todas as funções de autoridade de certificação são atribuídas e modificadas por administradores locais, administradores de empresa e administradores de domínio. Os administradores locais, de empresa e de domínio são, por padrão, administradores de autoridade de certificação em uma autoridade de certificação corporativa. Somente administradores locais são, por padrão, administradores de autoridade de certificação em uma autoridade de certificação autônoma. Se a autoridade de certificação autônoma estiver conectada a um domínio do Active Directory, os administradores de domínio também serão administradores de autoridade de certificação.

As funções de administrador de autoridade de certificação e gerenciador de certificados podem ser atribuídas a usuários do Active Directory ou a usuários locais no gerenciador de contas de segurança (SAM) do computador local, que é o banco de dados de segurança local. Como prática recomendada, atribua funções a contas de grupo e não a contas de usuário individual.

Somente administradores de autoridade de certificação, gerenciadores de certificados, auditores e operadores de backup são funções de autoridade de certificação. Os outros usuários descritos na tabela estão relacionados à administração baseada em função e devem ser entendidos antes que sejam atribuídas funções de autoridade de certificação.

Somente administradores de autoridade de certificação e gerenciadores de certificados são atribuídos através do snap-in Console de Gerenciamento Microsoft (MMC) da autoridade de certificação. Outros usuários, grupos e funções são especificados em seus respectivos consoles. Para alterar as funções de um usuário, altere suas permissões de segurança, suas participações no grupo ou direitos de usuário. Para obter informações sobre como atribuir funções, consulte Atribuindo funções.

Depois que o arquivamento de chave for configurado, a entidade que estiver obtendo um certificado de uma autoridade de certificação fornecerá sua chave particular à autoridade de certificação. A autoridade de certificação armazena essa chave particular em seu próprio banco de dados até a recuperação da chave. Somente um gerenciador de certificados pode obter o blob de chave particular criptografada do banco de dados de autoridade de certificação, que é então transmitido a agentes de recuperação de chave (KRAs). Para obter mais informações, consulte arquivamento e recuperação de chave.

Funções e atividades

Cada função de autoridade de certificação tem de uma lista específica de tarefas de administração de autoridade de certificação associada a ela. A tabela a seguir lista todas as tarefas de administração de autoridade de certificação juntamente com as funções nas quais são executadas.

 

Atividade Administrador de autoridade de certificação Gerenciador de Certificados Auditor Operador de Backup Administrador local Observações

Instalar autoridade de certificação

 

 

 

 

X

 

Configurar módulo de diretiva e de saída

X

 

 

 

 

 

Interromper e iniciar o serviço <b>Serviços de certificado</b>

X

 

 

 

 

 

Configurar extensões

X

 

 

 

 

 

Configurar funções

X

 

 

 

 

 

Renovar chaves de autoridade de certificação

 

 

 

 

X

 

Definir agentes de recuperação de chave

X

 

 

 

 

 

Configurar restrições de gerenciadores de certificados

X

 

 

 

 

 

Excluir uma linha em um banco de dados

X

 

 

 

 

 

Excluir várias linhas em um banco de dados (exclusão em massa)

X

X

 

 

 

O usuário precisa ser tanto administrador de autoridade de certificação quanto gerenciador de certificados. Não funciona quando a separação de funções está ativada.

Ativar a separação de funções

 

 

 

 

X

 

Emitir e aprovar certificados

 

X

 

 

 

 

Negar certificados

 

X

 

 

 

 

Revogar certificados

 

X

 

 

 

 

Reativar certificados colocados em espera

 

X

 

 

 

 

Renovar certificados

 

X

 

 

 

 

Ativar, publicar ou configurar agendamento de CRL

X

 

 

 

 

 

Recuperar chave arquivada

 

X

 

 

 

Somente um gerenciador de certificados pode recuperar a estrutura de dados da chave criptografada do banco de dados. A chave particular de um agente de recuperação de chave é necessária para descriptografar a estrutura de dados da chave e gerar um arquivo PKCS#12.

Configurar parâmetros de auditoria

 

 

X

 

 

Por padrão, o administrador local tem o direito de usuário de auditoria do sistema.

Fazer auditoria de logs

 

 

X

 

 

Por padrão, o administrador local tem o direito de usuário de auditoria do sistema.

Fazer backup do sistema

 

 

 

X

 

Por padrão, o administrador local tem o direito de usuário de backup do sistema.

Restaurar sistema

 

 

 

X

 

Por padrão, o administrador local tem o direito de usuário de backup do sistema.

Ler banco de dados da autoridade de certificação

X

X

X

X

 

Por padrão, o administrador local tem os direitos de usuário de auditoria e backup do sistema.

Ler informações de configuração da autoridade de certificação

X

X

X

X

 

Por padrão, o administrador local tem os direitos de usuário de auditoria e backup do sistema.

Observações

  • Os usuários registrados têm permissão de ler propriedades de autoridade de certificação e listas de solicitação de certificados (CRLs), além de poder solicitar certificados. Em uma autoridade de certificação corporativa, um usuário deve dispor de permissões de leitura e registro no modelo de certificado para solicitar um certificado. Para obter mais informações, consulte Permitir que entidades solicitem um certificado baseado no modelo.
  • Os administradores de autoridade de certificação, gerenciadores de certificados, auditores e operadores de backup têm permissões de leitura implícitas.
  • Um auditor tem o direito de usuário de auditoria do sistema.
  • Um operador de backup tem o direito de usuário de backup do sistema. Além disso, o operador de backup tem a capacidade de iniciar e interromper o serviço <b>Serviços de certificado</b>.

Atribuindo funções

O administrador de um autoridade de certificação atribui usuários às funções distintas da administração baseada em função concedendo a cada usuário as configurações de segurança necessárias a uma função. O administrador de autoridade de certificação pode atribuir um usuário a mais de uma função, mas a autoridade de certificação é mais segura quando cada usuário pertence a somente uma função. Quando cada função de autoridade de certificação pertence a somente um usuário, há menos tarefas de autoridade de certificação que possam ser comprometidas caso uma conta de usuário seja comprometida.

Para obter mais informações sobre como atribuir funções, consulte Gerenciar a administração baseada em função.

Questões do administrador

A configuração de instalação padrão de uma autoridade de certificação autônoma é ter membros do grupo de segurança de administradores locais como administradores de autoridade de certificação. A configuração de instalação padrão de uma autoridade de certificação corporativa é ter administradores locais, de empresa e de domínio como administradores de autoridade de certificação. Para limitar os poderes dessas contas, elas devem ser removidas das funções de administrador de autoridade de certificação e de gerenciador de certificados depois que todas as funções de autoridade de certificação tiverem sido atribuídas.

Como prática recomendada, as contas de grupo que tiverem recebido atribuição de administrador de autoridade de certificação ou gerenciador de certificados devem pertencer ao grupo de segurança de administradores locais. Além disso, as funções de autoridade de certificação só devem ser atribuídas a contas de grupos e não a contas de usuários individuais.

Observação

  • É necessário ser membro do grupo de administradores locais na autoridade de certificação para renovar o certificado de autoridade de certificação. Todos os membros desse grupo são considerados poderosos na autoridade de certificação, com autoridade administrativa sobre todas as outras funções da autoridade de certificação.

O Windows 2000 e a administração baseada em função do Windows Server 2003

A administração de autoridade de certificação do Windows 2000 Server foi alterada na autoridade de certificação da administração baseada em função do Windows Server 2003, Standard Edition. Os administradores do Windows 2000 podem executar qualquer atividade em uma autoridade de certificação do Windows 2000, mas depois que forem atribuídas autoridades de certificação através da administração baseada em função do Windows Server 2003, os administradores ficarão sujeitos às novas regras. Um administrador que podia executar todas as tarefas em uma autoridade de certificação do Windows 2000 só poderá realizar as tarefas associadas à sua própria função na autoridade de certificação do Windows Server 2003. Depois de atualizar uma autoridade de certificação do Windows 2000 Server para autoridade de certificação do Windows Server 2003, os administradores precisam receber as atribuições definidas na administração baseada em função da autoridade de certificação do Windows Server 2003.

Funcionalidade de nível do serviço Serviços de certificado

A administração baseada em função se aplica somente ao serviço <b>Serviços de certificado</b>. Nenhum outro serviço será afetado pela atribuição de funções de autoridade de certificação.

Separação de funções

A separação de funções de autoridade de certificação pode ser ativada através da separação de funções. Depois de aplicada, a separação de funções permite que um usuário receba somente uma atribuição de função. Se um usuário receber atribuição de mais de uma função e tentar executar uma operação na autoridade de certificação, a operação será negada. Por essa razão, antes que a separação de funções seja ativada, o usuário deve receber somente uma função de autoridade de certificação.

Esse recurso é útil no caso de grandes empresas em que a separação de funções garante que o comprometimento de uma conta de usuário não comprometa toda a autoridade de certificação administrada pelo usuário. Para obter mais informações, consulte Usando a separação de funções.

Isso foi útil para você?
(1500 caracteres restantes)
Agradecemos os seus comentários

Contribuições da comunidade

ADICIONAR
Mostrar:
© 2014 Microsoft