[PKI] PC uit AD halen, certificaat revoken?

[reclamedoos]

Ik ben bezig om een Windows 2008 R2 PKI op te zetten binnen ons domein. Hier heb ik een aantal documenten voor die best goed uitleggen hoe ik dit moet aanvliegen, en waar rekening mee te houden met het design. Maar een vraag die ik niet zo snel beantwoord krijg uit de documentatie is de volgende:

We willen alle client computers voorzien van een Computer certificaat om ze te laten authenticeren alvoren ze toegang krijgen tot de Wifi omgeving. Als een PC uit AD gehaald wordt, wat doet Windows en/of AD/PKI dan met het certificaat? Moet ik deze handmatig revoken? Of gooit de Windows client het certificaat netjes weg?

[hans_lenze]

Eens gegeven blijft gegeven.

Het computer certificaat blijft tot lengte van dagen in de certificate store van de computer staan.

Revoken != verwijderen!

[Question Mark]

Als je wilt dat clients of server het uitgegeven certificaat niet meer als trusted beschouwen kun je dit opnemen in een certificate revocation list (CRL). Deze CRL publiceer je naar alle "pki-clients" toe. De clients weten dan dat het certificaat ge-revoked is.

[reclamedoos]

hans_lenze schreef op woensdag 29 februari 2012 @ 16:56:
Eens gegeven blijft gegeven.

Het computer certificaat blijft tot lengte van dagen in de certificate store van de computer staan.

Revoken != verwijderen!

Daar was ik ook al bang voor, maar ik kan het nergens gedocumenteerd vinden. Ik zou het op zich best logisch vinden dat als een PC netjes uit een domein gehaald wordt, dat (of de DC die het computeraccount weggooid, of de PC zelf) deze ook het certificaat wat deze via AD (autoenrollment) heeft gekregen ongeldig maakt.

Dat revoken en verwijderen niet hetzelfde is weet ik, Het gaat me er om dat als de client netjes uit het domein gehaald wordt, of deze dan daarna via het certificaat nog toegang zou kunnen krijgen tot het wifi netwerk.

Maar als ik het dus goed begrijp moet ik voor elke client die ooit een certificaat heeft gekregen en die EOL is het certificaat handmatig gaan revoken?

[reclamedoos]

Question Mark schreef op woensdag 29 februari 2012 @ 19:11:
Als je wilt dat clients of server het uitgegeven certificaat niet meer als trusted beschouwen kun je dit opnemen in een certificate revocation list (CRL). Deze CRL publiceer je naar alle "pki-clients" toe. De clients weten dan dat het certificaat ge-revoked is.

Snap ik, nu ook nog niet zo'n probleem, we starten met 50 clients. Maar als er een moment komt dat al onze 1700 clients een certificaat krijgen dan is het niet meer zo'n pretje om certificaten handmatig te moeten intrekken als de client gestolen/verdwenen/EOL is.