一般 PKI 规划考虑因素

 

上一次修改主题: 2006-08-16

特定电子邮件客户端和 PKI 作为基于 Exchange 2003 的邮件安全系统的一部分,不管其实现的情况如何,所有 PKI 管理员在规划部署时都应该考虑一些常规性的因素。您应该了解有关数字证书和 Active Directory 属性的问题。

Microsoft 电子邮件客户端可以与基于 Exchange 2003 的 S/MIME 系统一起使用,并且依赖 Active Directory 进行数字证书存储。其他电子邮件客户端可以配置为通过 LDAP 接口使用 Active Directory。若要有效地将 Active Directory 与这些不同的电子邮件客户端一起使用,需要了解 Active Directory 为了存储数字证书而提供的可用属性。PKI 管理员应该咨询电子邮件客户端管理员,然后制定详细策略以便在 Active Directory 中存储数字证书。

在 Active Directory 中有两种不同的属性可用于存储数字证书:“userCertificate”和“userSMIMECertificate”。您需要了解特定电子邮件客户端使用哪些属性、以及它为了获得有效数字证书而对这些属性进行查询的顺序。如果两种属性都包含有效证书,则不同的电子邮件客户端可以为同一用户返回不同的数字证书。

important重要提示:
执行对数字证书的搜索时,Outlook 和带有 S/MIME 控件的 Outlook Web Access 都会首先查看不同的 Active Directory 属性。如果用户的 Active Directory 属性有这两种属性的有效证书,用户将在使用带有 S/MIME 控件的 Outlook 和 Outlook Web Access 时得到不同的结果。有关详细信息,请参阅Exchange Server 2003 中的 S/MIME 疑难解答

您应该确定哪种属性用于数字证书存储,并只使用此属性。在大多数情况下,此属性为“userCertificate”属性。另外,当决定使用单个 Active Directory 属性来存储支持 S/MIME 的数字证书时,如果已有现成的 Active Directory 部署,请检查 Active Directory 的内容,并删除任何过时的或未经授权的数字证书。有关可用于搜索和删除这些现有数字证书的 Visual Basic® 脚本示例,请参阅数字证书清理脚本

Active Directory 中的“userCertificate”属性(也称为 X509-Cert)存储与用户相关的 DER 编码的 X.509 v3 证书。在此属性中,Windows Server 2003 CA 发布已为该用户颁发的任何证书。使用 Windows Server 2003 生成 S/MIME 证书时,可从此属性找到这些证书。查看“Active Directory 用户和计算机”中的用户对象时,可以通过“发行的证书”选项卡查看此属性的内容。

虽然 Windows Server 2003 CA 使用此属性,但是也可以使用此属性存储数字证书(由其他使用 PKI 的证书服务器颁发)。当 S/MIME 作为 PKI 的一部分实现时,“userCertificate”属性是首选属性。由于将通过更为广泛的 PKI 部署使用 S/MIME,因此该属性应该作为存储数字证书的首选属性。

带有 S/MIME 控件的 Outlook Web Access 将首先查看此属性,以便为组织的 PKI 提供首选项。

“userSMIMECertificate”属性以 PKCS #7 格式存储数字证书。与存储任何 X.509 v3 证书的“userCertificate”不同,此属性专门设计为仅存储 S/MIME 证书。指定此属性作为 RFC 2798 中 InetOrgPerson 类的一部分,它便于在 PKI 外部广泛使用 S/MIME。有关详细信息,请参阅“Definition of the inetOrgPerson LDAP Object Class”(http://www.ietf.org/rfc/rfc2798.txt)(英文)。“userSMIMECertificate”不仅存储证书,还存储整个证书链。这使用户可以在无法直接访问颁发证书的 PKI 的情况下,对此证书进行验证。

通常,不要在您的环境中使用此属性。

不能通过 Active Directory 用户和计算机访问此属性。通过 Outlook 中的“发布到全球通讯簿”按钮,可以将数字证书发布给此属性。如果不决定使用此属性,请禁用此按钮,以避免用户不经意地将不适当的、未经授权的证书发布到 Active Directory。有关“发布到全球通讯簿”功能以及如何禁用该功能的详细信息,请参阅在 PKI 中支持 Outlook

 
显示: