試験問題作成委員会の独り言

[PR]

[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。

EFS暗号化ファイルシステムの秘密鍵(証明書)のバックアップ

（質問）
EFS暗号化を利用したサーバのバックアップについて

Windows Server 2012 を搭載したサーバの導入を検討しています。用途はファイルサーバです。EFSの暗号化と Volume Shadow Copy を使用する予定なのです。ハードドライブは一台（実際はRAID1構成です）で、システム用とデータ用にパーティションを切って使う予定です。WIndows Server 標準機能でドライブ全体のバックアップを取り、必要に応じてそこからシステムを回復させる予定です。
ここで質問なのですが、
1：EFSで暗号化されたものに関しての注意点はありますか？
（実はリストアしても内容を見ることができない、など）
2：日々の増分バックアップは可能ですか？
（常に毎日フルバックアップすることになりますか？）

（回答）
●●●●です。

> 1：EFSで暗号化されたものに関しての注意点はありますか？
EFS暗号化したファイルの復号には、EFS暗号化の秘密鍵(証明書)が必要です。ですからこれをバックアップしていない場合、復号ができなくなります。秘密鍵のバックアップについては、ユーザが自分でエクスポートして保管するか、システム管理者が「ユーザプロファイルフォルダ」全体のバックアップを作成するようにします。ですから、サーバのCドライブのフルバックアップとシステム情報のバックアップが必要です。
> 2：日々の増分バックアップは可能ですか？
結論から言うと、増分バックアップは可能です。IBMがいい感じで資料をまとめていますので、ご覧になってみてはどうでしょうか？
Windows Server 2012バックアップの機能

暗号化ファイルシステムの最善の使用方法
文書番号: 223316 -
ステップバイステップガイド : 暗号化ファイルシステムの使用
【[HOWTO] Windows Server 2003 Enterprise Server で暗号化ファイルシステムを管理する方法】
文書番号: 324897 -

暗号化されたファイルの回復証明書を作成する（対象:Vista,7）
http://windows.microsoft.com/ja-JP/windows-vista/Create-a-recovery-certificate-for-encrypted-files
http://windows.microsoft.com/ja-JP/windows7/Create-a-recovery-certificate-for-encrypted-files

［システム状態（SYSTEM STATE)バックアップに含まれるもの］
・レジストリ
・COM+クラス登録データベース
・ブートファイル
・システムファイル（ntldr、NTDETECT.COMなど）
・Windows ファイル保護下にあるファイル
・証明書サービスデータベース　／証明書サービスが実行されているサーバーの場合
・IISメタベース　／IISがインストールされている場合
・クラスタサービス情報／コンピュータが、クラスタの一部の場合
・Active Directory データベース（ntds.dit）／DCの場合
・SYSVOLフォルダ　／DCの場合

http://social.technet.microsoft.com/Forums/ja-JP/winserver8/thread/bfeb6f0e-ea44-49d4-af9d-ea05898c8dd5

[0回]

仮想環境にADCSのインストール

仮想環境にADCSをインストールしていると証明書発行に失敗することがある。

（質問）

失効サーバーがオフラインのため、失効の関数は失効を確認できませんでした。

Active Directory 証明書サービスを利用していましたが、突然、認証できない状態となりました。

調査の結果、ログに

"失効サーバーがオフラインのため、失効の関数は失効を確認できませんでした。

要求の署名の確認エラーまたは証明書の署名エラー"

というものが存在していましたが、失効サーバーがオフラインになる原因には、どの様な場合が

考えられるのでしょうか？(証明書の有効期限は切れていません。)

宜しくお願い致します。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

（回答）

エラーから考えるにCRLがうまく読み込めていないようですね。

一つの原因として、DELTA CRL がうまく発行されないことが考えられます。

また、同じようなエラーに遭遇した体験談がありました。

証明書発行に失敗

以上、参考になれば幸いです。

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/07fb0448-dea6-4a47-adfc-10b238494f9b

[0回]

証明書関連の理解はまず信頼おける書籍の熟読を

証明書関連は難解なので、まず信頼おける書籍を熟読し、実機を十分に操作し検証確認してから質問するようにということだろう。

（質問）

証明書テンプレート、自動証明書要求などについて

１Windows２００３の証明書テンプレートコンソールをみているのですが、自動登録欄に許可や不許可とあるテンプレートがありますがこれは何を意味するのでしょうか？ここで許可となっているテンプレートがグループポリシーの自動証明書要求で使えるのかなとおもったのですが、許可となっているテンプレートがすべて表示されるわけではないですし。自動証明書要求で要求できる証明書の種類を増やすにはどうすればよいでしょうか？

２証明書の秘密鍵ってどこに保管されるのでしょうか？ドメイン環境だとADのデータベース内？？ワークグループだとファイル？？

３自動証明書要求のグループポリシーに証明書を追加すると、証明書テンプレートのセキュリティで自動登録の権限があって、証明機関のセキュリティで証明書の要求の権限があれば、ドメイン内のユーザやコンピュータにグループポリシーを通して自動的に証明書を配布できるということでよいでしょうか？

４データ回復エージェントにAdministratorが登録されているのですが、Administratorは既定で他のユーザの暗号化解除をできる鍵をもっているということでしょうか？

５証明書失効リストってあると思うのですが、これってWebサーバの証明書以外にもあるのでしょうか？またWebサーバ証明書失効リストってクライアントのブラウザからはどのように利用するのでしょうか？

６証明機関のセキュリティの証明書の発行と管理のやCAの管理の権限って何ができるのでしょうか？

よければ教えてください。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答１）

○○○○です。

証明書サービスについて、いろいろご質問されていますね。初歩的な内容から細かいところまで、ひとつひとつに答え続けるには、ちょっと時間がありません。体系的に勉強したい、というなら、きちんとした書籍を読まれてみてはどうですか？たとえばしたのようなものがあります。

http://ec.nikkeibp.co.jp/item/books/A05400.html

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

（回答２）

＞２もクライアント証明書についてはたぶん証明書の中に秘密鍵があるんですよね？？一般の証明書についてはわかりませんが。

通常使用される証明書はPKCS#7形式ですので、証明書の中に存在するのは公開キーです。

秘密キーはプロファイルの中に存在しています。

＞３自動証明書要求のグループポリシーに証明書を追加すると、証明書テンプレートのセキュリティで自動登録の権限があって、証明機関のセキュリティで証明書の要求の権限があれば、ドメイン内のユーザやコンピュータにグループポリシーを通して自動的に証明書を配布できるということでよいでしょうか？

はその通りです。

＞４データ回復エージェントにAdministratorが登録されているのですが、Administratorは既定で他のユーザの暗号化解除をできる鍵をもっているということでしょうか？

EFSを使用する際にDRAを使う設定（規定）にしてあれば、その通りです。

＞５証明書失効リストってあると思うのですが、これってWebサーバの証明書以外にもあるのでしょうか？またWebサーバ証明書失効リストってクライアントのブラウザからはどのように利用するのでしょうか？

全ての証明書に存在します。CRL配布ポイント(CDP)より各クライアントはダウンロードして確認します。

＞６証明機関のセキュリティの証明書の発行と管理のやCAの管理の権限って何ができるのでしょうか？

証明機関を管理できますとしか答えようがありません。

いろいろとご質問されていますが、一旦ご自分で調べてみてはいかがでしょうか？その方が理解度が増すと思われます。特に○○○○さんがご紹介されている本は良書ですよ。私も持っています。証明書関連はやはり難しいのでこのような書籍をご一読された方がよろしいかと思われます。

以上、参考になれば幸いです。

（参考:個人の方のブログ）
EFSの動作に関して－MCTの憂鬱
（マイクロソフト公式解説書）
Microsoft Windows Server 2008 PKI & 認証セキュリティ大全 (マイクロソフトITプロフェッショナルシリーズ)

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/7e26cb15-a168-40ac-96ae-7185f1478b08

[0回]

つづきはこちら

証明機関(CA)の移行

（質問）
ドメインコントローラ上のCAの移行手順について

初めまして、ＳＧＵ３６９１と申します。
CAの移行手順を検討しているのですが、情報が見つからないので、ご存知の方がいれば教えていただけますでしょうか。
現在の環境は、以下の通りです。
ドメインコントローラは、Windows Server 2003 R2 Enterprise Editionで、Ａ（FSMO）、Ｂの２台、存在しています。（１フォレスト、１ドメイン、FSMOは１台に集中）
ドメインコントローラＢには、IAS（RADIUS）、エンタープライズCAが、設置されており、無線ＬＡＮクライアントに、証明書を発行しています。
このドメインに、Windows Server 2008 R2 Enterprise Editionを２台（Ｃ、Ｄ）参加させ、ドメインコントローラーにする予定です。（合計4台のドメインコントローラ）
しばらく、この4台構成で運用（3ヶ月程度）し、FSMOをドメインコントローラＣおよびＤに分散移行後、ドメインコントローラＡ、Ｂを、降格し撤去する予定です。
質問は、移行元ドメインコントローラに存在しているＣＡを、移行元ドメインコントローラを降格せずに、移行先ドメインコントローラに移行する方法を知りたく、
参考になる情報があれば、教えてください。
宜しくお願いします。

（回答）
>移行元ドメインコントローラに存在しているＣＡを、移行元ドメインコントローラを降格せずに、移行先ドメインコントローラに移行する方法
その方法は無いので、したのMSページの手順となるようです。
Active Directory 証明書サービス移行ガイド

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2008ja/thread/38bb2f4f-07e9-4e59-80b1-e74a964b0fcb

[0回]

つづきはこちら

証明機関WEB登録サポートの不可解なエラー

WEB検索するとしたのページが見つかったがいずれも違うような気がする。

http://support.microsoft.com/kb/300867/ja

http://technet.microsoft.com/ja-jp/windowsserver/cc980791.aspx

（質問）

証明書　WEB登録サービスから証明書のダウンロードに失敗する。

Windows2000で運用中の証明書サーバーのWindows2003へアップグレードを行いました。構成は、CAサーバーとWEB配布サーバーでサーバーは2つ利用しています。

アップグレード前は、配布サーバーとCAから両方ダウンロードできたのですが、アップグレード後は出来なくなってしまいました。

CAのWEBページからはダウンロードできるのですが、配布サーバー（WEB登録サポート）からは、証明書をCAにもらいに行く処理のところで下記のエラーが発生します。（WEBページは、表示されます。）

要求モード:

newreq - 新しい要求

ディスポジション:

(未使用)

ディスポジションメッセージ:

(なし)

結果:

アクセスが拒否されました。 0x80070005 (WIN32: 5)

COM エラー情報:

CCertRequest::Submit アクセスが拒否されました。 0x80070005 (WIN32: 5)

最後の状態:

この操作を正しく終了しました。 0x0 (WIN32: 0)

原因:

証明機関サービスは開始されていません。

配布サーバーから、CAのWEBページをアクセスして証明書はダウンロードできます。そのため、証明機関サービスも実行されています。

何か、ごぞんじのかた教えてください。

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2003ja/thread/03593e93-59b6-48df-910e-1788450628ae

[0回]

証明機関の削除および再構築

証明機関の削除および再構築は、結構難解である。

（質問）

失効したエンタープライズPKIの削除

○○○○様

お世話になります。

状況説明がなっておらず申し訳ございません。

ルート認証局として稼動させていたドメインコントローラがクラッシュしまして、違うマシンにてドメインコントローラを再構築し、ルート証明書も新たに構築しました。環境は下記になります。

DC(A):windows2003server

役割：スキーママスタ、ルート証明局

DC(B):Windows2008server

役割：移行用

DC(C):Windows2003server R2

役割：中間証明局

クラッシュですが人為的な事故でして、DCのホスト名変更（Aを降格するため、Bの名称をAに変更）を試みて失敗してしまいDC（B）がActiveDirecotoryにアクセスできなくなってしまいました。

降格する前にDC(A)からはルート証明書をアンインストールしていました。

※DC(C)の中間証明局は削除せずに残していました。

DC(A)は降格した後であり、復旧することはできなかったため、DC(B)を再セットアップしました。

そのため、ルート証明書は新たに作り直しております。

証明機関を起動するとルート証明書が格納されたフォルダが表示され、自分が作成した「New Root CA」がありますが、、これとは他に「エンタープライズPKIというフォルダができており、そこに以前の失効した「old root CA」があります。それを削除することができません。期限切れとでてきてしまいます。

中間証明局をアンインストールせずにネットワークに残したまま、ルートCAの再構築を始めてしまったのでそれでおかしくなってしまったのかもしれないと考えています。

ルート証明局、中間証明局をアンインストールしてもう一度再構築することで削除することは可能でしょうか。

－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答）

○○○○です。

参考情報として、証明機関を削除する方法について、MSの資料を紹介しておきます。ただし、(安易に実行されることはないでしょうが)MSの有償サポートなど「きちんとわかるエンジニア」の指示で作業されることを、強くお奨めします。

証明機関をアンインストールする

実際はうえの作業を行なった後、したの情報を完全に削除しないと、クリーンな状態にできないでしょう。

・CA データベース

・CA の公開キーと秘密キー

・個人ストア内の CA の証明書

・共有フォルダー内の CA の証明書 (AD CS のセットアップ時に共有フォルダーを指定した場合)

・信頼されたルート証明機関ストア内の CA チェーンのルート証明書