Active Directory met wildcard SSL

[Chrisiesmit93]

Hallo,
ik ga waarschijnlijk een wildcard SSL certificaat aanvragen voor onder andere mijn webserver, maar nu vroeg ik mij af of zo'n wildcard SSL certificaat ook geldig is voor Microsoft Active Directory. (Secure LDAP)

Weet iemand van jullie misschien hoe dit precies zit?

[CAPSLOCK2000]

Ik weet niks van AD maar in principe is een SSL-certificaat geschikt voor alle applicaties. Het maakt niet uit of je het nu in een webserver, een mailserver of een AD gebruikt.

[Killah_Priest]

Ik snap je vraag en je doel niet helemaal.
Gebruik je applicaties welke dit nodig hebben? En "praat" jouw AD omgeving ook naar buiten?

[ Voor 52% gewijzigd door Killah_Priest op 21-12-2014 14:28 ]

[Chrisiesmit93]

Ik zou graag een wildcard SSL certificaat op mijn Active Directory (certification services?) willen zetten, dit zodat ik via "Nervepoint acces manager" de gebruikers hun wachtwoord kan laten wijzigen.

Om nervepoint een wachtwoord te kunnen laten aanpassen, dient deze te communiceren via een beveiligde (LDAP?) verbinding. Ik heb momenteel een test opstelling met een self-signed certificaat welke probleemloos werkt, maar het lijkt mij mooier om een wildcard SSL certificaat te gebruiken, die kan ik dan ook op al mijn andere servers gebruiken.

Het gaat om een "thuis opstelling" in een studentenhuis, ik weet nog hoe alles precies werkt op het gebied van Active Directory en certificaten, vandaar ook dat ik hier vraag naar informatie

EDIT: Mijn AD praat niet naar buiten, alleen naar bepaalde (interne) cliënts en servers.

[ Voor 5% gewijzigd door Chrisiesmit93 op 22-12-2014 14:10 ]

[ElCondor]

My thoughts exactly. Ik zou een wildcard SSL certificaat alleen gebruiken voor communicatie naar buiten.
Binnen je AD domein gebruik maken van je eigen CA.

Los daarvan is het wel mogelijk om eender welk geldig certificaat te gebruiken voor zoiets als AD. Een eigen CA is alleen gelinked aan je AD en daarom wat makkelijker en transparanter te beheren.

Om jouw vraag over Nervepoint te beantwoorden: Als je een eigen CA inricht (dat hoeft helemaal niet moeilijk te zijn) krijgen jouw servers direct een eigen certificaat vanuit AD. Je kunt dan het root certificaat in jouw Nervepoint applicatie importeren en aanmerken als geldig certificaat. Alle afgeleide certificaten van jouw eigen root cert zullen dan door Nervepoint ook geaccepteerd worden.

[Chrisiesmit93]

Bedankt voor de snelle reactie!

Zoals jij het beschreven hebt, heb ik het nu ook (probleemloos) werken, alleen lijkt het mij mooier om een geldig certificaat te gaan gebruiken. Ik denk niet dat ik via AD certificaten ga beheren.

Ik heb begrepen dat ik via AD een certificate signing request (csr) kan generen zodat ik via bijv. Comodo een wildcard kan aanvragen om deze vervolgens via Active Directory sertificate service weer te kunnen importeren en gebruiken?

[ElCondor]

Dat zou ik bij jouw certificaat provider dan even navragen. De meeste certs die op internet uitgegeven worden hebben specifiek de eigenschappen dat ze alleen gebruikt kunnen worden voor host identificatie en niet voor AD of codesigning of digitale handtekeningen. Ik weet niet of AD zo een specifiek certificaat nodig heeft of dat je inderdaad kunt volstaan met een host ID certificaat.
Mocht dat laatste het geval zijn, dan zou je dit certificaat gewoon moeten kunnen importeren in AD, inderdaad.

-edit-
Overigens, nu ik er zo over nadenk: wat jij zoekt is eigenlijk een root-certificate, waar je dan host certificaten van af wilt leiden. Dat gaat dan weer niet werken. Een root-certificate kan in ADCA alléén self-generated worden en is daarmee dus niet geldig op het internet, een host certificate zul je op AL je servers moeten importeren om ze een geldig certificaat toe te kennen. Als je namelijk een root-certifcate zou hebben wat je op het internet kunt gebruiken om host certificates van af te leiden, dan ben je in principe een WWWCA, net als Comodo zelf. Dat kan alleen na een heel lang audit proces, want rootCA wordt je niet zomaar

[ Voor 39% gewijzigd door ElCondor op 23-12-2014 16:19 ]

[Morphogenesis]

Bespaar je de kosten en de moeite en gebruik een interne CA (van MS). Zit je in de toekomst ook niet te klooien met het vernieuwen van certificaten.

En als kers(t ) op de taart is LDAPS automagisch enabled wanneer je de interne CA van MS gebruikt:
http://social.technet.mic...sl-ldaps-certificate.aspx

Mocht je niet overtuigd zijn: http://support2.microsoft.com/kb/321051

[Chrisiesmit93]

Bedankt voor alle info!
Ik ga denk ik toch maar certificaten via Active Directory uitrollen in plaats van een Wildcard SSL, bij nader inzien gaat dit waarschijnlijk ook beter / makkelijker werken