Handbuch. Smart Card Login (SuisseID) Version Juni QuoVadis Trustlink Schweiz AG Seite [0]

Transkript

1 Handbuch Smart Card Login (SuisseID) Version Juni 2012 QuoVadis Trustlink Schweiz AG Seite [0]

2 Inhalt 1.0 Ziel und Zweck dieses Dokuments Vorraussetzungen Zertifikate bereitstellen Active Directory Zertifikatsdienste in Windows Server Installation der Active Directory Services Konfiguration des Active Directory Zertifikatsdienstes Konfiguration Autoenrollment für das Domänencontroller-Zertifikat SuisseID Log In konfigurieren auf einem Windows Server 2008 AD Publizieren des Root CA Zertifikats in Vertrauenswürdige Stammzertifizierungsstellen Publizieren des Issuing CA Zertifikats in Zwischenzertifizierungsstellen Installieren des Root CA Zertifikats als Vertrauenswürdiges Stammzertifikat Die SuisseID mit einer alternativen Security ID in der Active Directory verknüpfen. (Optional) Hinzufügen der Alternativen UPN Suffix upn.suisseid.ch Wechseln des Benutzernamen auf die UPN Adresse der SuisseID in der AD Fehlerbehebung Zertifikate und Konfigurations Probleme Revokation Fehlerbehebung QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 1

3 1.0 Ziel und Zweck dieses Dokuments Ziel und Zweck dieses Dokumentes soll es sein, Administratoren zu unterstützen einen Smart Card Login in einem Firmennetzwerk einzurichten. In diesem Beispiel wurde eine SuisseID der Firma QuoVadis Trustlink Schweiz AG verwendet. Bemerkung: Anhand eines Smart Card Login kann sich ein User mit seinem Computer in Verbindung mit der SuisseID und dessen PIN an seinem Firmennetzwerk einloggen ohne den Gebrauch seines Benutzernamen und Passworts. 2.0 Vorraussetzungen SuisseID Kartenleser Sign! (mind. Version ) Windows Server 2003 oder höher Root CA Zertifikat / Intermediate Zertifikat 3.0 Zertifikate bereitstellen 1. Erstellen Sie auf dem Domänencontroller unter Laufwerk C, einen Ordner nach Ihrem Wunsch. Bsp. C:\QVC 2. Kopieren Sie das Root CA und Issuing CA Ihres Zertifikataustellers in den Ordner. Bsp. QuoVadis Trustlink Schweiz AG Zertifikate für SuisseID QuoVadis Root CA QuoVadis SuisseID Advanced CA EndUser Zertifikat (Optional) Um an das End-User Zertifikat zu gelangen, öffnen Sie die Webseite Links unten sehen Sie die Zertifikatssuche. Wenn Ihr User eine QuoVadis SuisseID besitzt kann er hier sein Zertifikat (Public-Key) anhand seiner adresse suchen und downloaden. Siehe Screenshot unten QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 2

4 4.0 Active Directory Zertifikatsdienste in Windows Server 2008 Dieses Kapitel beschreibt, wie Sie den Active Directory Zertifikatsdienste in Windows Server 2008 oder höher in Betrieb nehmen. Vorraussetzung Windows Server 2003: Erstellen eines Domain Controller Zertifikat aus einer existierenden Enterprise CA. Kann bei einer öffentlichen CA wie QuoVadis gekauft werden. (Ab Windows Server 2008 nicht mehr benötigt, wird vom Server automatisch erstellt und an die Clients verteilt). 4.1 Installation der Active Directory Services 1. Starten Sie den Server Manager QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 3

5 2. Wählen Sie Rollen, Rechts-Klick und Rollen hinzufügen 3. Klicken Sie auf Weiter 4. Markieren Sie Active Directory Zertifikatsdienste 5. Klicken Sie auf Weiter QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 4

6 6. Klicken Sie auf Weiter QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 5

7 7. Markieren Sie Zertifizierungsstelle und klicken Sie danach auf Weiter 8. Markieren Sie Unternehmen 9. Klicken Sie auf Weiter QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 6

8 10. Markieren Sie Stammzertifizierungsstelle 11. Klicken Sie auf Weiter 12. Wählen Sie Neuen privaten Schlüssel erstellen QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 7

9 13. Klicken Sie auf Weiter 14. Klicken Sie auf Weiter QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 8

10 15. Klicken Sie auf Weiter 16. Klicken Sie auf Weiter QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 9

11 17. Klicken Sie auf Installieren 18. Klicken Sie auf Schliessen QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 10

12 4.2 Konfiguration des Active Directory Zertifikatsdienstes 1. Wählen Sie im Server Manager die Rollen -> Active Directory Zertifikatsdienste -> CA MJCHDC01-CA -> Zertifikatsvorlagen 2. Markieren Sie alle Einträge auf der linken Seite bis auf Domänencontrollerauthentifizierung 3. Rechtsklick auf die Markierten Elemente und danach auf Delete. Bei der nächsten Meldung klicken Sie auf JA 4. Danach sollten Sie nur noch ein Element mit dem Namen Domaincontrollerauthentifizierung im Fenster sehen. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 11

13 4.3 Konfiguration Autoenrollment für das Domänencontroller- Zertifikat 1. Starten Sie die Gruppenrichtlinienverwaltung (START -> Verwaltung -> Gruppenrichtlinienverwaltung) 2. Klicken Sie danach mit der rechten Maustaste auf die Default Domain Policy und wählen Bearbeiten. 3. Wählen Sie nun Computerkonfiguration -> Richtlinien -> Windows Einstellungen - > Sicherheitseinstellungen -> Richtlinien für öffentliche Schlüssel. 4. Klicken Sie rechts im Fenster auf Zertifikatsdienstclient Automatische Registrierung. 5. Klicken sie mit der rechten Maustaste auf Zertifikatsdienstclient Automatische Registrierung. 6. Wählen Sie im Kontexmenü den Punkt Eigenschaften. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 12

14 7. Wählen Sie unter Konfigurationsmodell: Aktiviert. 8. Markieren Sie beide Kästchen, wie unten abgebildet. 9. Klicken Sie auf Übernehmen und danach auf OK. 10. Schliessen Sie alle Fenster. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 13

15 5.0 SuisseID Log In konfigurieren auf einem Windows Server 2008 AD In diesem Kapitel wird beschrieben, wie Sie die SuisseID in einer Windows 2008 R2 Active Directory Umgebung konfigurieren können. 5.1 Publizieren des Root CA Zertifikats in Vertrauenswürdige Stammzertifizierungsstellen. 1. Melden Sie sich am Domänencontroller an. 2. Starten Sie die Command-Console CMD. 3. Wechseln Sie in das Verzeichnis wo Ihre Zertifikate abgelegt sind. 4. Geben Sie folgenden Befehl ein certutil f dspublish Root CA Name RootCA. 5. Überprüfen Sie ob die Datei erfolgreich importiert wurde. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 14

16 5.2 Publizieren des Issuing CA Zertifikats in Zwischenzertifizierungsstellen. 1. Melden Sie sich am Domänen Controller an mit Enterprise Admin Berechtigung. 2. Starten Sie die Command-Console CMD. 3. Wechseln Sie in das Verzeichnis wo Ihre Zertifikate abgelegt sind. 4. Geben Sie folgenden Befehl ein certutil f dspublish Issuing CA Name NTAuthCA. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 15

17 5.3 Installieren des Root CA Zertifikats als Vertrauenswürdiges Stammzertifikat. 1. Melden Sie sich am Domänencontroller an. 2. Klicken Sie auf START -> Verwaltung -> Gruppenrichtlinienverwaltung. 3. Öffnen Sie die Default Domain Policy mit rechten Mausklick und wählen Sie bearbeiten. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 16

18 4. Wählen Sie Computer Konfiguration -> Richtlinien -> Windows-Einstellungen -> Sicherheitseinstellungen -> Richtlinien für öffentliche Schlüssel -> Vertrauenswürdige Stammzertifizierungsstellen. 5. Rechte Maustaste und Wählen Sie Import. 6. Folgen Sie dem Zertifikats Import Assistenten. 7. Klicken Sie auf Weiter. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 17

19 8. Wählen Sie Ihr Root Zertifikat aus. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 18

20 9. Klicken Sie auf Öffnen. 10. Klicken Sie zweimal auf Weiter. 11. Klicken Sie auf Weiter und dann auf Fertig stellen um den Assistenten abzuschliessen. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 19

21 12. Warten Sie bis die Meldung Der Import war erfolgreich erscheint. 13. Schliessen Sie den Gruppenrichtlinien Editor. 14. Schliessen Sie die Gruppenrichtlinienverwaltung. Alle Clients und Server übernehmen die neuen Gruppenrichtlinien in den nächsten 90 Minuten. 5.4 Die SuisseID mit einer alternativen Security ID in der Active Directory verknüpfen. (Optional) Schritt 5.4 ist nicht notwendig und Sie können direkt mit Schritt 5.5 fortfahren. 5.4 kann aber bei Bedarf konfiguriert werden. 1. Starten Sie die Active Directory Benutzer und Computer Konsole. 2. Aktivieren Sie unter Ansicht den Menüpunkt Erweiterte Features. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 20

22 3. Suchen Sie den Benutzer welchen Sie mit der SuisseID verknüpfen wollen. 4. Rechter Mausklick auf den Benutzer und Wählen Sie den Menüpunkt Namenszuordnung. 5. Klicken Sie auf Hinzufügen und suchen Sie das entsprechende End User Zertifikat Hans Muster.cer und klicken Sie auf Öffnen. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 21

23 6. Markieren Sie das Kästchen Antragssteller für alternative Sicherheitsidentität. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 22

24 5.5 Hinzufügen der Alternativen UPN Suffix upn.suisseid.ch 1. Starten Sie die Active Directory Domänen und Vertrauensstellungen Konsole. 2. Klicken Sie mir der rechten Maustaste auf Active Directory Domänen und Vertrauensstellungen Konsole und wählen Sie Eigenschaften. 3. Geben Sie folgenden Text in das Feld ein: upn.suisseid.ch und wählen Sie hinzufügen. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 23

25 4. Klicken Sie danach auf übernehmen und OK um das Fenster zu schliessen. 5. Schliessen Sie danach alle Fenster. 5.6 Wechseln des Benutzernamen auf die UPN Adresse der SuisseID in der AD 1. Starten Sie die Active Directory Benutzer und Computer Konsole. 2. Suchen Sie den entsprechenden Benutzer. Z. Bsp. Hans Muster 3. Mit Doppelklick auf den Benutzer öffnen Sie die Einstellungen. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 24

26 4. Klicken Sie auf die Registerkarte Konto. 5.) Ersetzen Sie den Benutzernamen und geben Sie Ihre SuisseID-Nummer ein wie abgebildet. Wechseln Sie nun Ihren Domänennamen (Suffix) zu der SuisseID-UPN. Bsp. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 25

27 6.) Schliessen Sie das Fenster mit OK. Somit haben Sie die Smart Card Login Konfiguration abgeschlossen und der User kann sich nun mit der SuisseID am Client anmelden. Bemerkung: Möglicherweise muss man sich zuerst noch einmal normal anmelden um die Gruppenrichtlinien zu aktualisieren. QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 26

28 6.0 Fehlerbehebung Nachfolgend finden Sie eine Reihe von Auflistungen die Ihnen helfen sollen aufzutretende Fehler zu beheben. 6.1 Zertifikate und Konfigurations Probleme Die häufigste Fehlermeldung lautet wie folgt: The system could not log you on. Your credentials could not be verified. Dieser Standardfehler kann einen oder mehrere Serverfehler betreffen. Die folgenden Schritte können Ihnen helfen diese zu beheben: Überprüfen Sie ob der Domänen Controller ein gültiges Zertifikat hat. Wenn nicht muss ein neues verwendet werden. Stellen Sie sicher, dass auf Smart Card ein gültiges Zertifikat hat und das Issuing CA Zertifikate in den NTAuth store importiert wurde. Stellen Sie sicher, dass das Root CA Zertifikat auf der Smart Card gespeichert ist und in den Trusted Root Store importiert wurde. Vergewissern Sie sich, dass die Zertifikate auf der SuisseID gültig sind. Wenn Sie das Betriebssystem Windows XP verwenden oder Windows Server 2003, überprüfen Sie ob die SuisseID eine UPN besitzt. Wenn die Smart Card eine UPN verwendet, überprüfen sie bitte, dass die UPN beim User in der AD hinterlegt ist. 6.2 Revokation Fehlerbehebung Erscheint folgende Fehlermeldung: The system could not log you on. The Smart Card certificate used for authentication was not trusted. Überprüfen Sie dass Sie eine Internetverbindung haben, damit die OCSP Liste abgefragt werden kann. Laden Sie die aktuellen CRL auf den Domänencontroller runter. o -> support -> Download Root/Crl QuoVadis Trustlink Schweiz AG, 9001 St. Gallen Seite 27