Zertifikate für Lync Phone Edition

Zertifikat der Stammzertifizierungsstelle für Lync Phone Edition

Die Kommunikation zwischen Lync Server und Lync Phone Edition wird standardmäßig mit dem TLS-Protokoll (Transport Layer Security) und SRTP (Secure Real-Time Transport Protocol) verschlüsselt. Aus diesem Grund muss das Gerät, auf dem Lync Phone Edition ausgeführt wird, die von Lync Server vorgelegten Zertifikate als vertrauenswürdig einstufen. Wenn Computer mit Lync Server öffentliche Zertifikate verwenden, werden diese vom Gerät höchstwahrscheinlich automatisch als vertrauenswürdig erkannt, da das Gerät dieselbe Liste vertrauenswürdiger Zertifizierungsstellen verwendet wie Windows CE. Da jedoch in den meisten Lync Server-Bereitstellungen für die internen Lync Server-Serverrollen interne Zertifikate verwendet werden, muss das Zertifikat der Stammzertifizierungsstelle von der internen Zertifizierungsstelle auf dem Gerät installiert werden. Es ist nicht möglich, das Zertifikat der Stammzertifizierungsstelle manuell auf dem Gerät zu installieren, es muss über das Netzwerk bereitgestellt werden. Lync Phone Edition kann das Zertifikat über zwei Methoden herunterladen.

Bei der ersten Methode sucht das Gerät nach Objekten in Active Directory-Domänendienste (AD DS), die die Kategorie "certificationAuthority" aufweisen. Wenn bei der Suche Objekte zurückgegeben werden, verwendet das Gerät das Attribut "caCertificate". Dieses Attribut enthält das Zertifikat, das anschließend vom Gerät installiert wird.

Für Lync Phone Edition muss das Zertifikat der Stammzertifizierungsstelle im Attribut "caCertificate" veröffentlicht werden. Verwenden Sie den folgenden Befehl, um das Zertifikat der Stammzertifizierungsstelle dem Attribut "caCertificate" hinzuzufügen:

certutil -f -dspublish <Root CA certificate in .cer file> RootCA

Falls bei der Suche nach Active Directory-Objekten der Kategorie "CertificationAuthority" keine Objekte zurückgegeben werden oder die Attribute "caCertificate" der Objekte leer sind, wird nach Active Directory-Objekten der Kategorie "pKIEnrollmentService" im Namenskontext für die Konfiguration gesucht. Diese Objekte sind vorhanden, wenn die automatische Registrierung von Zertifikaten in Active Directory aktiviert ist. Wenn die Suche Objekte zurückgibt, wird das zurückgegebene Attribut "dNSHostName" für den Verweis auf die Zertifizierungsstelle verwendet. Anschließend wird die Weboberfläche der Windows-Zertifikatsdienste zum Abrufen des Zertifikats der Stammzertifizierungsstelle mithilfe des HTTP GET-Befehls verwendet:

http://<dNSHostname>/certsrv/certnew.p7b?ReqID=CACert&Renewal=-1&Enc=b64

Wenn keine dieser Methoden erfolgreich ist, meldet das Gerät in einer Fehlermeldung, dass die Überprüfung des Serverzertifikats nicht möglich ist, und der Benutzer kann das Zertifikat nicht verwenden.

Ermitteln der Zertifikatkette für die Stammzertifizierungsstelle der Organisation

Lync Phone Edition kann das Zertifikat entweder über das PKI-Objekt für die automatische Registrierung in den Active Directory-Domänendiensten (AD DS) oder über einen bekannten Distinguished Name (DN) ermitteln. Nachstehend finden Sie weitere Informationen:

• Zum Aktivieren der automatischen PKI-Registrierung unter Verwendung der Organisationszertifizierungsstelle sendet das Gerät eine LDAP-Anforderung (Lightweight Directory Access Protocol) zum Ermitteln der Adresse von pKIEnrollmentService/Zertifizierungsstellenserver und lädt anschließend unter Verwendung der Benutzeranmeldeinformationen das Zertifikat über HTTP auf die Windows-Zertifizierungsstelle/certsrv-Site herunter.

• Zur Verwendung des Befehls "certutil -f -dspublish 'Speicherort CER-Datei' root CA" zum Hochladen von Zertikaten in den Konfigurationsnamenskontext verwenden Sie den folgenden DN:

  Cn=Certificate Authorities, cn=Public Key Services, CN=Services, cn=Configuration, dc=<AD-Domäne>

Hinweis:
Die LDAP-Abfrage lautet "BaseDN: CN=Configuration, dc= <Domäne> Filter: (objectCategory=pKIEnrollmentService)", und das gesuchte Attribut ist "dNSHostname". Beachten Sie, dass das Gerät zum Herunterladen des Zertifikats "HTTP get- command http://<DSN-Hostname>/certsrv/certnew.p7b?ReqID=CACert&Renewal=-1&Enc=b64" verwendet.