Allgemeines zu Server 2008 digitalen Zertifikaten

[Dreadmoor]

Hilfe zu digitalen Zertifikaten (Server 2008)

So Leute ich hätte da mal ein paar Fragen zu digitalen Zertifikaten hab mich schon daran kaputt gesucht und so probiert aber bin jetzt an dem Endpunkt angelangt. Denke mir also ich Frage mal nach vielleicht weiß ja einer von euch was.

Also ich würde euch mal das Szenario bei uns im Unternehmen vorlegen und fragen ob ihr wisst in wie weit und wie das umsetzbar ist.

Wir haben bei uns Momentan alles mit Richtlinien und unübersichtlich geordnet also wollen wir jetzt zwei Bereiche in Form von Partitionen auf unserem Drittserver einrichten. Eine Partition soll nur für die EDV Abteilung sein und eine nur für die Verwaltungsabteilung unseres Unternehmens.

Diese sollen mit Hilfe von Zertifikaten geschützt werden. Soweit ich das richtig verstanden habe ist das möglich, bin mir aber nicht Sicher und wie man die Zertifikate mittels GPO verteilt oder sie vertrauenswürdig macht das klappt bei mir auch nicht so ganz.

Also falls ihr wisst ob und/oder wie das geht, würde ich mich sehr über eure Hilfe freuen.

Vielen Dank

MfG
Dreadmoor

 

[blubberbrause]

Sehe ich das richtig das es dir nur um Zugriffsberechtigungen auf Dateiebene geht wenn du von Partitionen sprichst? Welchen höhere Sicherheit erhoffst du dir im Gegensatz zu der reinen Zugriffsberechtigung über Freigabe / NTFS Berechtigung?

Zu deiner Frage ob sie verteilt werden können, Zertifikate können automatisch ausgerollt werden, sowohl auf Computer als auch auf Benutzerebene.

Aber bei diesem Anwendungsfall würde ich persönlich keine PKI aufsetzen da schlicht der Aufwand und die Pflege in keinem Verhältnis steht. Sondern gruppenbasierte Berechtigungen das leben viel leichter machen.

 

[Dreadmoor]

Das siehst du schon richtig.
Es ist nur so ich würde das mit den Zertifikaten auch nicht unbedingt umsetzen aber es wird von der Leitung so angefordert und deswegen muss ich mich über dieses Thema jetzt schlau machen.
Ich persönlich würde das auch anders regeln.

 

[blubberbrause]

Dann würde ich mir an deiner stelle mal dieses Buch hier anschaffen

http://www.amazon.de/Microsoft-Wind...=sr_1_2?ie=UTF8&s=books&qid=1260435761&sr=8-2

Wie groß ist denn euer Netzwerk? Weil wenn du von einem drittserver sprichst, gehe ich davon aus das es nicht so groß ist. Kennst du die Gründe warum die Leitung Zertifikate haben will?

 

[Dreadmoor]

Vielen Dank dann werde ich mich da einlesen.
Wir haben ein recht bescheidenes Netzwerk weil wir nicht sonderlich groß sind. In Verwendung haben wir Momentan auch nur 2 Server zum Trennen der wichtigen Abteilungen, einen MOSS 2007 und einen SCCM.

Zu deiner zweiten Frage, wie soll ich das sagen ohne meinen Vorgesetzten schlecht darzustellen. Sagen wir mal er ist konservativ eingestellt und ein Microsoft Fetischist. Er hat irgendwo mal gehört, dass Zertifikatsdienste so toll sind und wälzt die Arbeit jetzt auf uns oder mehr mich ab.

Nachdem ich das ganze Thema zu Zertifikaten überflogen hatte, wollte ich ihn schonmal davon überzeugen es anders zu machen. Aber er ist uneinsichtig, sofern er etwas gut findet.

 

[blubberbrause]

Hm. Sicher sind Zertifikatsdienste eine tolle Sache, aber erst je nachdem was man damit macht, EFS Verschlüsselung auf den Platten, Smartcardanmeldung, SSL Für interne Webserver (naja da habt ihr ja nur einen). Aber der Aufwand muss halt auch im Verhältnis stehen, ansonsten machst du damit mehr kaputt (im Fehlerfalle) als es nützt.

Finde es aber interessant das ihr da schon den System Center Configuration Manager einsetzt, da hätte es doch fast der Essentials getan oder? (Naja nur am Rande)

Wieviele User hast du denn? Und wieviele Clients? (kommt auch auf das OS an, bin mir nicht mehr sicher ich glaub das Zertifikat Rollout für Computer Certs ging erst ab XP oder nach XP...)

 

[Dreadmoor]

Ja da werd ich wohl auch nochmal Nachfragen müssen was er noch alles mit den Zertifikaten vor hat. Je mehr er erfährt, desto mehr wird erwartet.

Mit dem SCCM verhält es sich wie mit den Zertifikatsdiensten. Er wollte es, wir machen es.

Insgesamt haben wir 150 user und 300 clients und Betriebssystem läuft ab XP bis 7.
Die Server laufen auf 2008.

 

[blubberbrause]

Dann solltest du ihm vielleicht nicht ganz soviel sagen...

Rein Fachlich gibt es ja genug argumente die dagegen sprechen (grade auch bei eurer Größe), schwierig wird es sein das zu verkaufen wenn er es persönlich haben will. Andererseits, bekommst du eine Schulung genehmigt wenn du es Einführen sollst? Wäre zumindest ein kleiner Zusatz für deinen Lebenslauf und du kannst praktische Erfahrung damit (und dem Projektmanagement dazu) nachweisen.

 

[Dreadmoor]

Eine Schulung wird für uns wohl nicht drin sein aber Fragen kann ich ja mal. Wir bekommen sonst die Zertifikate genehmigt nur die Schulungen nicht.
Übrigens vielen Dank nochmal für die konstruktiven Antworten unser Vorgesetzter hat uns den MS SCE und das Buch genehmigt. Vielleicht ist ja doch noch ne Schulung drin.

MfG
Dreadmoor

 

[blubberbrause]

den System Center Essentials? Brauchst du den noch wenn du den SCCM hast? Schulung würd ich bei der Thematik auf jeden Fall empfehlen wenn du keine Erfahrung mit PKI hast.

 

[Dreadmoor]

Ja wir haben schon eine Alternative dazu gesucht weil der ja auch recht kompliziert ist. Und das mit den Schulungen wird nicht genehmigt. Bekommen wir nicht bezahlt, leider werden wir in den oberen Abteilungen nicht als verhältnismäßig "wichtig" eingestuft.

 

[blubberbrause]

Ist dein Vorgesetzer IT oder gehört er zu einer anderen Abteilung? Naja aber kann man solche Schulungen nicht in das Budget für das nächste Jahr mit einplanen? (ich mein wir sprechen hier von ca. 2000 Euro pro Woche). Rein auf das Wissen eines Buches würde ich mich nicht nur verlassen, wichtig sind auch tests im praktischen Umfeld. Es gibt bei Microsoft auch E-learning Kurse, die nicht schlecht sind und gar nicht so teuer.

Klar ist der SCCM kompliziert, ist halt auch für große umgebungen gedacht, wundert mich halt das dafür die Kohle ausgegeben wird (gut aber das ist halt manchmal so und man kann es nicht beeinflussen)

 

[Dreadmoor]

Unser direkter Vorgesetzter gehört schon zur IT aber die Leute die es zu entscheiden haben sind wieder eine Ebene höher. Also die sich um unser Budget kümmern und von denen wird das nicht genehmigt.

Wegen dem SCCM die Sache ist wir haben eine Partnerschaft mit Microsoft. Also bezahlen einen bestimmten Beitrag im Jahr und bekommen die Software mit VL bereitgestellt.

Du scheinst ja ein echt weites Spektrum an Informationen zu besitzen.
Bekommt ihr alle Schulungen etc. gestellt?

 

[blubberbrause]

Nun Schulungen werden entsprechend der Notwendigkeit entsprechend genehmigt, aber das wird dann doch zu off topic hier, kannst mir aber gerne eine PM schreiben, dann kann ich dir ein wenig mehr erzählen.