Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas

Transcripción

1 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas

2 La información incluida en este documento representa el punto de vista actual de Microsoft Corporation acerca de los temas tratados hasta la fecha de publicación. Dado que Microsoft debe responder a las condiciones siempre cambiantes de mercado, este proceder no se debería interpretar como un compromiso por parte de Microsoft. Asimismo, Microsoft no puede garantizar la precisión de la información presentada tras la fecha de publicación. La información que contiene este documento, incluidas las direcciones URL y otras referencias a sitios Web de Internet, está sujeta a modificaciones sin previo aviso. Este documento se proporciona con propósito informativo únicamente. MICROSOFT NO OTORGA GARANTÍAS EXPRESAS NI IMPLÍCITAS EN ESTE DOCUMENTO. A menos que se indique lo contrario, los nombres de las compañías, organizaciones, productos, nombres de dominio, direcciones de correo electrónico, logotipos, personas, lugares y acontecimientos aquí mencionados son ficticios y en modo alguno representan a compañías, organizaciones, productos, nombres de dominio, direcciones de correo electrónico, logotipos, personas, lugares o acontecimientos reales. Es responsabilidad del usuario el cumplimiento de todas las leyes de derechos de autor aplicables. Sin limitar los derechos de autor, ninguna parte de este documento puede ser reproducida, almacenada en sistemas de recuperación o transmitida de ninguna forma, ni por ningún medio, ya sea electrónico, mecánico, fotocopia o grabación, ni con ningún propósito, sin la previa autorización por escrito de Microsoft Corporation. Microsoft puede ser titular de patentes, solicitudes de patentes, marcas, derechos de autor y otros derechos de propiedad intelectual sobre los contenidos de este documento. El suministro de este documento no le otorga ninguna licencia sobre estas patentes, marcas, derechos de autor u otros derechos de propiedad intelectual, a menos que ello se prevea en un contrato por escrito de licencia de Microsoft Microsoft Corporation. Reservados todos los derechos. Active Directory, Authenticode, Microsoft, Windows y Windows Server son marcas registradas o marcas comerciales de Microsoft Corporation en EE.UU. y otros países. Los nombres de las compañías y productos reales mencionados en este documento pueden ser marcas comerciales de sus respectivos propietarios. 2

3 3 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Contenido Introducción Antes de comenzar Instalación y configuración de una entidad de certificación raíz de empresa Ejemplo de implementación de Servicios de Certificate Server: inscripción automática para usuarios inalámbricos Información relacionada Introducción El intercambio de información desprotegida por Internet, extranets, intranets y entre aplicaciones presenta actualmente riesgos potenciales de seguridad para cualquier empresa. Algunos de los retos que presenta son evitar que un tercero intercepte la información que se transfiere por Internet, camuflándose como una persona autorizada, o que ocasione problemas en una organización para la realización de sus actividades. Esta guía paso a paso le ayudará a configurar una entidad emisora de certificados (CA) de clave pública en una red con servidores con sistemas operativos Microsoft Windows Server Puede instalar una entidad emisora de certificados en un servidor que ejecute Microsoft Windows Server 2003, Standard Edition; Microsoft Windows Server 2003, Enterprise Edition o Microsoft Windows Server 2003, Datacenter Edition. Una entidad emisora de certificados es un servicio que emite y gestiona credenciales electrónicas o certificados en una infraestructura de claves públicas (PKI). PKI es un sistema de certificados digitales, entidades emisoras de certificados, y otras entidades de registro (RA) que comprueban y autentican la validez de cada parte que interviene en una transacción electrónica mediante el uso de criptografía de clave pública. Los estándares de las PKI todavía están en evolución, aunque se están implementando a gran escala como un elemento necesario del comercio electrónico. Muchas agencias gubernamentales y organizaciones privadas han promulgado sus propios estándares de PKI. Consulte a su abogado antes de implementar una arquitectura de PKI para asegurar el cumplimiento de toda la legislación y normativa local, comunitaria, estatal e internacional. Una PKI de Windows Server 2003, que se pueda integrar con clientes de Microsoft Windows XP Professional, puede ayudar a asegurar las comunicaciones de red entre una organización y sus empleados, socios, proveedores y clientes. Un servidor con Servicios de Certificate Server de Windows Server 2003 puede emitir certificados de clave pública para una persona, dispositivo o servicio. El propietario del certificado utiliza aplicaciones y tecnologías compatibles con la PKI para habilitar un alto grado de autenticación, garantizar la confidencialidad de los datos y asegurar el intercambio de datos. Las tecnologías compatibles con PKI que admite Windows Server 2003 proporcionan una base para las siguientes tecnologías y los beneficios empresariales asociados con las mismas: Firmas digitales. Establecer el no rechazo, que es la capacidad de garantizar la autenticidad del emisor. Uso de tarjetas inteligentes. Proporciona una autenticación por dos factores para el inicio de sesión de tarjeta inteligente. La autenticación por dos factores requiere que un usuario presente un objeto físico (la tarjeta inteligente, que contiene un chip que almacena un certificado digital y la clave privada del usuario) y una contraseña o PIN para poder acceder a los recursos de la red. Correo electrónico seguro. Los servicios como Secure/Multipurpose Internet Mail Extensions (S/MIME) proporcionan comunicación confidencial, integridad de datos y no rechazo para mensajes de correo electrónico. Firma de código de software. La tecnología Authenticode permite a los fabricantes de software firmar digitalmente cualquier tipo de contenido activo, incluidos los almacenamientos de múltiples archivos. Estas firmas se pueden utilizar para comprobar tanto la identidad del editor del contenido como la integridad del contenido en el momento de la descarga.

4 4 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Seguridad del protocolo Internet (IPSec). Conjunto de protocolos que permite la comunicación cifrada y firmada digitalmente entre dos equipos o entre un equipo y un enrutador a través de una red pública Proporciona identificación centralizada de usuarios, autenticación, administración de claves dinámicas e información de cuenta para proporcionar acceso de red autenticado a redes inalámbricas 802. y redes de cable Ethernet. Cifrado de sistema de archivos. Admite el cifrado y descifrado de archivos y carpetas. Conexiones Web seguras utilizando la Capa de sockets seguros (SSL) o la Seguridad de la capa de transporte (TLS). Estos protocolos proporcionan autenticación de servidor y cliente mediante un canal de comunicación segura a través de redes públicas como Internet. Se pueden utilizar versiones inalámbricas de estos protocolos, como la Seguridad de la capa de transporte inalámbrica (WTLS), para potenciar la seguridad de las redes inalámbricas. Asimismo, con una PKI de Windows Server 2003, puede beneficiarse de la capacidad de integrar Servicios de Certificate Server con el servicio de directorios Active Directory y la Directiva de grupo. En un entorno de Active Directory, una entidad emisora de certificados de Windows Server 2003 utiliza plantillas de certificado, que se publican en Active Directory, para controlar el contenido de los certificados que emite. Las plantillas de certificado definen la información que pasa a formar parte de un certificado y simplifican el uso y administración de la entidad emisora de certificados haciendo que los detalles técnicos del contenido sean transparentes para los usuarios. Dependiendo de las necesidades de la organización, se puede utilizar una plantilla con un único propósito que genere certificados para una aplicación concreta, una plantilla multipropósito que genere certificados para varias aplicaciones, o incluso crear nuevas plantillas de certificado personalizadas. En las instrucciones que se incluyen en este documento se muestra cómo crear una entidad emisora raíz de empresa, utilizar una plantilla de certificado para permitir la inscripción automática de clientes y establecer la inscripción automática para usuarios inalámbricos. Concretamente, aprenderá a realizar las siguientes tareas: Instalación y configuración de una entidad emisora raíz de empresa. Comprobación de la instalación de la entidad emisora de certificados. Instalación de plantillas de certificado. Creación de una plantilla de certificado personalizada. Configuración de una plantilla de certificado para la inscripción automática de clientes. Concesión de permisos de inscripción para una plantilla de certificado predeterminada. Configuración de la entidad emisora de certificados para emitir certificados a partir de la plantilla de certificado. Inscripción automática para usuarios inalámbricos. Nota: las capturas de pantalla de este documento reflejan un entorno de prueba y, por tanto, puede que esta información no coincida exactamente con la que aparece en su equipo. Tras completar estos pasos, la red incluirá una entidad emisora raíz de empresa y tendrá acceso a todas las plantillas de certificado que existan utilizando el complemento Plantillas de certificado. Asimismo, la inscripción automática de clientes reforzará la autenticación de los usuarios inalámbricos requiriéndoles el uso de certificados digitales durante el proceso de autenticación. La inscripción automática puede hacer que este requisito sea prácticamente transparente para los usuarios al permitirles solicitar automáticamente certificados, recuperar los certificados emitidos y renovar los certificados caducados. También es posible ampliar la protección que la PKI

5 5 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas de Windows Server 2003 proporciona a la red ampliando el uso de la PKI para que sea compatible con otras aplicaciones como firmas digitales, IPSec, etcétera, mencionadas anteriormente. IMPORTANTE: todas las instrucciones paso a paso incluidas en este documento se han elaborado utilizando el menú Inicio que aparece de forma predeterminada una vez instalado el sistema operativo. Si se ha modificado el menú Inicio, los pasos pueden diferir ligeramente. Antes de comenzar En esta sección se describen los requisitos de configuración para una entidad emisora de empresa. Se deben cumplir todos los requisitos antes de instalar la CA. En caso contrario, podría no funcionar correctamente la instalación o verse limitada la funcionalidad de la CA. En las instrucciones de este documento se asume que no se ha instalado un sistema PKI existente. Las soluciones descritas en este documento no proporcionan orientación para la integración de otros servicios de CA de Microsoft en una PKI existente. Requisitos previos de la infraestructura de TI La organización debe tener la siguiente infraestructura de TI: Una infraestructura de dominios de Active Directory instalada (Microsoft Windows 2000 Server con Service Pack 3 (SP3) o posterior, o Windows Server 2003). Todos los usuarios de Servicios de Certificate Server de esta solución deben ser miembros de un dominio del mismo bosque de Active Directory. En esta implementación se asume que se utilizan las extensiones de esquema de Windows Server 2003 Active Directory. Hardware de servidor adecuado para ejecutar Servicios de Certificate Server de Windows Server Se ofrece una propuesta de configuración en la tabla "Propuesta de especificaciones de hardware para servidor de CA raíz de empresa". Licencias, medios de instalación y claves de producto de Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. En la tabla siguiente se muestran los procedimientos que se pueden realizar en un servidor con Windows Server 2003, Standard Edition y los procedimientos que requiere el servidor para ejecutar Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Sistema operativo Windows Server 2003 necesario para cada procedimiento Procedimiento Instalar y configurar una entidad emisora raíz de empresa Comprobar la instalación de la entidad emisora Instalar plantillas de certificado Crear una plantilla de certificado personalizada Configurar una plantilla de certificado para la inscripción automática de clientes Sistema operativo Windows Server 2003 Standard Edition Standard Edition Standard Edition Enterprise Edition o Datacenter Edition Enterprise Edition o Datacenter Edition

6 6 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Procedimiento Conceder permisos de inscripción para una plantilla de certificado predeterminada Configurar la CA para emitir certificados a partir de la plantilla de certificados Establecer la inscripción automática para usuarios inalámbricos Sistema operativo Windows Server 2003 Standard Edition Enterprise Edition si es necesaria una plantilla de certificado de la versión 2. En caso contrario, Standard Edition. Enterprise Edition Requisitos para la entidad emisora de empresa Para configurar de forma eficaz una entidad emisora de empresa utilizando Windows Server 2003, deben realizarse las acciones siguientes: Servicio de nombres de dominio (DNS) de Windows Server 2003 instalado en un servidor de la red. Windows Server 2003 Active Directory instalado en un controlador de dominios de la red. La directiva de empresa coloca información en Active Directory. El equipo que albergará la entidad emisora de certificados raíz de empresa unida al dominio de Active Directory. Privilegios de administrador de la organización en los servidores de DNS, Active Directory y CA. Esto es especialmente importante porque la configuración modifica la información en varios lugares, algunos de los cuales requieren privilegios de administrador de organización. Una entidad emisora de certificados raíz de empresa se puede crear utilizando sólo un servidor. La tabla siguiente muestra las especificaciones de hardware recomendadas para un servidor utilizado como CA raíz de empresa, según las recomendaciones para Windows Server No obstante, no es absolutamente imprescindible que adquiera hardware nuevo si dispone de alguno que cumpla los criterios descritos en "Build Guide 2 - Implementing the Public Key Infrastructure.". Si desea obtener más información sobre las recomendaciones de hardware para una CA raíz de empresa en Microsoft Server 2003, consulte "Build Guide 2 - Implementing the Public Key Infrastructure" en el sitio Web de TechNet en Propuesta de especificaciones de hardware para servidor de CA raíz de empresa Elemento CPU Memoria Almacenamiento en disco Requisito Una sola CPU a 733 MHz o superior 256 MB Controladora RAID (matriz redundante de discos independientes) IDE (electrónica integrada de dispositivos) o SCSI (interfaz estándar de equipos pequeños). 2 x 18 GB (SCSI) o 2 x 20 GB (IDE) configurados como RAID 1 volumen (unidad C). Almacenamiento en medio extraíble local (CD-RW o cinta para copia de seguridad). Unidad de disquetes de 1,44 MB para transferencia de datos.

7 7 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Elección del tipo de CA para utilizar Algunas organizaciones utilizan CA comerciales externas, mientras que otras ejecutan CA propias. Dado que una CA es un importante elemento de confianza de una organización, la mayoría de organizaciones utilizan CA propias. En este documento se da por sentado que la organización objetivo está instalando una CA propia. Windows Server 2003 proporciona dos clases de CA, según los módulos de directivas que se seleccionan durante la instalación: una CA de empresa o una CA independiente. Los módulos de directivas definen las acciones que puede realizar una CA cuando recibe una solicitud de certificado. Generalmente, se debe instalar una CA de empresa si se van a emitir certificados para usuarios o equipos dentro de una organización que forma parte de un dominio Windows Server Se deberá instalar una CA independiente si se van a emitir certificados para usuarios o equipos fuera de un dominio Windows Server Una CA de empresa requiere que todos los clientes que soliciten certificados tengan una entrada en Active Directory, cosa que no ocurre con una CA independiente. Asimismo, una CA de empresa puede emitir certificados que se utilizarán para iniciar una sesión en un dominio de Windows Server 2003 con mayor facilidad que una CA independiente. Dentro de las clases de CA de empresa e independiente, pueden existir dos tipos de CA, raíz o subordinada. Una CA raíz es el delimitador de confianza en una organización. En caso necesario, el certificado de la CA raíz se puede utilizar para habilitar CA subordinadas para fines como la implementación de directivas y la emisión de certificados de usuario final. En este documento se ilustra la instalación y configuración de una CA raíz de empresa, sin CA subordinadas. Si desea obtener más información sobre las diferencias entre CA de empresa, independiente, raíz y subordinada, o sobre decisiones clave relativas al diseño de la PKI, consulte "Determining CA Roles & Types" en "MSA Enterprise Design for Certificate Services" en el sitio Web de TechNet en Consideraciones previas En Servicios de Certificate Server de Windows Server 2003 se incluye un conjunto de páginas Web de CA. Éstas le permitirán conectarse a la CA por medio de un explorador Web y realizar tareas comunes, como solicitar certificados de una CA, solicitar el certificado de la CA, presentar una solicitud de certificado, recuperar la lista de certificados rechazados de la CA (CRL) o realizar la inscripción de certificado con tarjeta inteligente. Para una CA independiente, las páginas Web son la forma principal por la que un solicitante de certificado puede interactuar con la CA, ya que el complemento Certificados no se puede utilizar para solicitar certificados desde una CA independiente. Las CA de empresa pueden aceptar solicitudes de certificado por medio del complemento Certificados o las páginas Web de inscripción. La interfaz Web de la CA requiere la ejecución de Páginas Active Server. Páginas Active Server se puede activar a través de Servicios de Internet Information Server antes de comenzar; en caso contrario, el programa solicitará la activación. La duración de validez elegida para la CA determinará el tiempo que tardará en "caducar" o cuándo será necesario renovar un certificado. Se pueden utilizar vigencias y períodos de renovación más largos para entornos de baja seguridad. Para una mayor seguridad, generalmente se establecen vigencias y períodos de renovación más cortos. Una CA es uno de los servidores más sensibles que existen en una organización. Por tanto, se debe planificar para la CA el nivel de seguridad más alto tanto en su instalación como en las operaciones cotidianas. Se recomienda limitar el acceso físico a la CA y permitir sólo a los empleados de más confianza administrar este servidor. Además, es aconsejable asegurar el servidor donde se instala la CA realizando los pasos que se detallan en el documento "Seguridad de los controladores de dominio de Windows Server 2003" del Kit de orientaciones sobre seguridad.

8 8 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Cambios que no pueden realizarse después de instalar una CA La información preliminar que se suministra durante la configuración, como el nombre de la CA, no se puede cambiar una vez finalizada dicha configuración. La configuración de dominio del equipo, como la unión a un dominio o la promoción de un servidor a un controlador de dominio, no se pueden modificar después de instalar la entidad de certificación. Si se ha instalado la CA de empresa como un administrador de organización o usuario delegado, se debe utilizar la cuenta de administrador de organización o usuario delegado al desinstalar la CA de empresa. Instalación y configuración de una entidad de certificación raíz de empresa El proceso de instalación de una entidad raíz de Servicios de Certificate Server genera un certificado de CA raíz que contiene la clave pública y la firma digital de la CA creadas utilizando la clave privada de la raíz. En esta sección se proporcionan las siguientes instrucciones paso a paso para crear una CA raíz de empresa, utilizando una plantilla de certificado para habilitar la inscripción automática de clientes y establecer la inscripción automática. Instalación y configuración de una entidad emisora raíz de empresa Comprobación de la instalación de la entidad emisora de certificados Instalación de plantillas de certificado Creación de una plantilla de certificado personalizada Configuración de una plantilla de certificado para la inscripción automática de clientes Concesión de permisos de inscripción para una plantilla de certificado predeterminada Configuración de la entidad emisora de certificados para emitir certificados a partir de la plantilla de certificado Instalación y configuración de una entidad emisora raíz de empresa A continuación debe iniciar la sesión como administrador de la organización; utilizando nuestro ejemplo, regístrese con una cuenta que es miembro del grupo Administradores de organización y el grupo Admins. del dominio del dominio raíz. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta que sea miembro del grupo Administradores de organización y el grupo Admins. del dominio del dominio raíz. Herramientas: Asistente para componentes de Windows. Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para instalar y configurar una entidad de certificación raíz de empresa

9 9 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas 1. Inicie la sesión como miembro del grupo Administradores de organización y también del grupo Admins. del dominio del dominio raíz. 2. Haga clic en Inicio, Panel de control, Agregar o quitar programas y, a continuación, en Agregar/Componentes de Windows. 3. En el Asistente para componentes de Windows, seleccione la casilla de verificación Servicios de Certificate Server. Aparece un cuadro de diálogo para informarle de que no se puede cambiar el nombre del equipo y que no se puede unir a o quitar de un dominio después de instalar Servicios de Certificate Server. Haga clic en Sí. Nota: si tiene previsto utilizar los componentes Web de Servicios de Certificate Server, asegúrese de activar la casilla de verificación IIS haciendo clic en Servidor de aplicaciones (pero no seleccione esta casilla de verificación), haga clic en Detalles, seleccione Servicios de Internet Information Server (IIS) y, a continuación, haga clic en Aceptar. Haga clic en Siguiente. 4. En la página Tipo de entidad emisora de certificados, seleccione Entidad emisora raíz de la empresa y, a continuación, haga clic en Siguiente. Nota: la clave privada se almacena siempre localmente en el servidor, salvo en el caso en que se utilice un dispositivo de hardware criptográfico. En tal caso, la clave privada se almacena en el dispositivo. La clave pública se coloca en el certificado.

10 10 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas 5. En la página Identificación de la entidad emisora de certificados, indique la información de identificación que corresponda a su sitio y organización: a. En Nombre común para esta entidad emisora de certificados, escriba el nombre común de la entidad de certificación. El nombre de la CA (o nombre común) es vital porque se utiliza para identificar el objeto de CA creado en Active Directory. b. En Período de validez, acepte el valor predeterminado de 5 años y, a continuación, haga clic en Siguiente. El tiempo del Período de validez es el tiempo durante el que la CA será válida; la duración real es un equilibrio entre seguridad y costes administrativos. Se debe tener en cuenta que cada vez que caduca un certificado raíz, un administrador debe actualizar todas las relaciones de confianza y deben realizarse medidas administrativas para mover la CA a un nuevo certificado. Un período de tiempo de cinco o más años suele ser suficiente en la mayoría de entornos empresariales, aunque el período debe cumplir también la directiva y los procedimientos formales de TI. Consulte a su abogado para asegurarse de que la configuración de la CA cumpla todos los requisitos legales aplicables. 6. En la página Configuración de la base de datos de certificados, haga clic en Siguiente para aceptar las ubicaciones de almacenamiento predeterminadas de la base de datos, el registro de la base de datos de certificados y, a continuación, confirme que Almacenar la información de configuración en una carpeta compartida no está activada.

11 11 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Nota: es posible que el programa de instalación muestre un mensaje que advierta que no se puede crear una carpeta compartida. Esto es normal, ya que todas las interfaces de red se han deshabilitado. Se puede omitir este error con seguridad y continuar. Se debe colocar la base de datos de certificados y el registro de base de datos de certificados en unidades NTFS locales. 7. Si se ejecuta IIS, aparecerá un mensaje que le indicará que detenga el servicio. Haga clic en Sí para detener IIS. IIS se debe detener para poder instalar los componentes Web. Nota: si IIS no está instalado, no aparecerá este mensaje y la inscripción a través de Web no estará disponible. A continuación, el Administrador de componentes opcionales instalará los componentes de Servicios de Certificate Server. Si es necesario el medio de instalación de Windows Server 2003 (CD), inserte el CD del producto Windows Server 2003 en la unidad de CD. 8. Haga clic en Aceptar para finalizar la instalación. Haga clic en Finalizar para cerrar el asistente. Una vez instalada la entidad emisora de certificados, agréguele las plantillas de certificado y configure la entidad emisora de certificados para permitir a las personas solicitar un certificado a partir de una plantilla.

12 12 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Nota: si ha pensado en seguir la recomendación de esta guía de reforzar la seguridad de los controladores de dominio de su organización, deberá modificar la configuración del dominio Directiva de grupo para volver a habilitar Servicios de Certificate Server. Si desea obtener más información sobre cómo hacerlo, consulte el documento "Seguridad de los controladores de dominio de Windows Server 2003" del Kit de orientaciones sobre seguridad. Comprobación de la instalación de la entidad emisora de certificados La forma más sencilla de comprobar que ha finalizado correctamente la instalación de los Servicios de Certificate Server es abrir una ventana de comandos y escribir net start para ver si Servicios de Certificate Server está funcionando. También puede ver el registro de configuración de los Servicios de Certificate Server en raízdesistema\certocm.log para otras comprobaciones o para ayudarle a solucionar errores eventuales. Asimismo, puede utilizar también el siguiente procedimiento. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo Administradores de organización y el grupo Administradores locales del equipo donde se ha instalado Servicios de Certificate Server. Herramientas: el complemento Entidad emisora de certificados. Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para comprobar que se ha instalado correctamente la entidad emisora de certificados raíz 1. Haga clic en Inicio, Panel de control, Herramientas administrativas y, a continuación, en Entidad emisora de certificados. 2. Compruebe que se ha iniciado Servicios de Certificate Server y que pueda visualizar las propiedades de la entidad emisora de certificados. Debe poder ver la entidad emisora de certificados en la lista con un símbolo de verificación. 3. Haga clic con el botón derecho del ratón en la entidad emisora de certificados y, en el menú que aparece, seleccione Propiedades. 4. En la ficha General, seleccione Certificado nº 0 en la lista de Certificados de entidad emisora y, a continuación, haga clic en Ver certificado. 5. Haga clic en la ficha Detalles del certificado de la entidad emisora y compruebe que los valores coincidan con los descritos en la siguiente tabla. Configuración predeterminada de los detalles de un certificado Campo Versión Valor V3

13 13 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Campo Emisor Válido desde Válido hasta Sujeto Clave pública Restricciones básicas Valor Debe ser idéntico a Sujeto y mostrar el nombre común completo de la entidad emisora además del sufijo de nombre completo que se ha facilitado durante la instalación. La fecha en que se ha instalado el servidor raíz de entidad emisora de certificados de empresa. La fecha en que se ha instalado el servidor raíz de entidad emisora de certificados de empresa, más cinco años. Debe ser idéntico a Emisor y mostrar el nombre común completo de la entidad emisora además del sufijo de nombre completo que ha facilitado durante la instalación. RSA (2048 bits) Tipo de asunto =CA Restricción de longitud=ninguna Nota: la existencia del tipo de asunto Restricciones básicas es muy importante. Este valor distingue un certificado de una entidad emisora de un certificado de una entidad final. Además, no deben aparecer en la lista extensiones CDP o AIA. Si alguno de los valores anteriores no son los esperados, se deberá reiniciar la instalación de Servicios de Certificate Server. Si necesita volver a ejecutar la instalación de Servicios de Certificate Server, recibirá una advertencia indicándole que la clave privada ya existe. Si sabe que no ha emitido ningún certificado utilizando esta clave, puede ignorar este mensaje con toda seguridad y generar una nueva clave. Si la entidad emisora de certificados ha emitido ya certificados (además de los de prueba), no se debe reinstalar Servicios de Certificate Server hasta que se haya hecho una copia de seguridad segura de la clave y el certificado anterior. Si desea obtener más información acerca de las extensiones CDP o AIA o la copia de seguridad de la clave y el certificado anteriores, consulte "Operations Guide 2 - Managing the Public Key Infrastructure" en el sitio Web de TechNet en " o bien consulte "Windows Server 2003 PKI Operations Guide" en el sitio Web de TechNet en 6. Haga clic en Aceptar dos veces y cierre la Entidad emisora de certificados. Instalación de plantillas de certificado En este procedimiento se muestra la instalación y visualización de plantillas de certificado predeterminadas. Para ver la descripción de cada una de estas plantillas de certificado predeterminadas, consulte "Default Templates" en "Implementing and Administering Certificate Templates in Windows Server 2003" en el sitio Web de TechNet en Requisitos Credenciales: debe haber iniciado la sesión con una cuenta que sea miembro del grupo Administradores de organización y el grupo Admins. del dominio del dominio raíz.

14 14 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Herramientas: Plantillas de certificado (certtmpl.msc). Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para instalar y visualizar las plantillas de certificado predeterminadas 1. Haga clic en Inicio, Ejecutar, escriba certtmpl.msc en el cuadro de texto Ejecutar y haga clic en Aceptar. 2. Si es la primera vez que ejecuta el complemento Plantillas de certificado en esta entidad emisora de certificados, se visualizarán mensajes solicitando la instalación de las plantillas de certificado. Haga clic en Sí en todos los mensajes. 3. En el árbol de consola, haga clic en Plantillas de certificado. Se visualizarán todas las plantillas de certificado en el panel de detalles. 4. Cierre Plantillas de certificado. Creación de una plantilla de certificado personalizada Las plantillas de certificado permiten personalizar los certificados emitidos por Servicios de Certificate Server, incluida la forma en que se emiten los certificados y el contenido de los mismos. Una plantilla de certificado es el conjunto de reglas y configuraciones que se aplican para las solicitudes de certificado entrantes. Las nuevas plantillas de certificado se crean copiando una plantilla existente y utilizando las propiedades de la plantilla existente como predeterminadas para la plantilla nueva. Copie la plantilla de certificado cuya configuración sea más similar a la de la nueva plantilla, con el fin de minimizar el trabajo necesario. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo Administradores de organización. Herramientas: Plantillas de certificado (certtmpl.msc). Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition.

15 15 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Para crear una plantilla de certificado personalizada a partir de una plantilla existente 1. Haga clic en Inicio, Ejecutar, escriba certtmpl.msc en el cuadro de texto de Ejecutar y, a continuación, haga clic en Aceptar para abrir Plantillas de certificado. 2. En el panel de detalles, haga clic con el botón derecho en la plantilla que desee copiar y, a continuación, en Plantilla duplicada. 3. Escriba el nuevo nombre para esta plantilla de certificado. 4. Realice los cambios que desee y haga clic en Aceptar. La nueva plantilla aparece al final de la lista y contiene Permitida en la columna Inscripción automática. 5. Cierre Plantillas de certificado. Configuración de una plantilla de certificado para la inscripción automática de clientes La inscripción automática es una útil función de los Servicios de Certificate Server de Windows XP y Windows Server 2003, Enterprise Edition. La inscripción automática le permite configurar clientes para inscribirse automáticamente y solicitar certificados, recuperar los certificados emitidos y renovar los caducados sin necesidad de interacción con el cliente. Un cliente no necesita ser consciente de ninguna de las operaciones del certificado, salvo que se configure la plantilla de certificado para que interactúe con éste. _de certificado: para inscripción automática de clientes. Si desea obtener información detallada sobre la inscripción automática, consulte "Certificate Autoenrollment in Windows Server 2003" en el sitio Web de TechNet en Para configurar correctamente la inscripción automática de clientes, debe planificar la plantilla o plantillas de certificado adecuadas que se utilizarán. Algunas de las opciones de configuración de la plantilla de certificado afectan directamente al comportamiento de la inscripción automática de clientes. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo Administradores de organización. Herramientas: Plantillas de certificado (certtmpl.msc). Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para configurar una plantilla de certificado para la inscripción automática de clientes 1. Haga clic en Inicio, Ejecutar, escriba certtmpl.msc en el cuadro de texto de Ejecutar y haga clic en Aceptar. 2. En el panel de detalles de Plantillas de certificado, haga clic con el botón derecho del ratón en la plantilla de certificado que acaba de crear y desea configurar para la inscripción automática y, a continuación, haga clic en Propiedades. 3. En la ficha Seguridad, haga clic en el usuario, equipo o grupo de la lista Nombres de grupos o usuarios que desea configurar para la inscripción automática.

16 16 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Si el nombre del usuario, equipo o grupo no aparece todavía en la lista de la ficha Seguridad, haga clic en Agregar. En el cuadro de diálogo Seleccione los usuarios, equipos o grupos, escriba el nombre que desee agregar y, a continuación, haga clic en Aceptar. 4. En la lista Permisos para nombredeobjeto, en la columna Permitir, seleccione las casillas de verificación Leer, Inscribirse y Inscripción automática y, a continuación, haga clic en Aplicar. Repita los pasos 3 y 4 para cada usuario, equipo o grupo que desee configurar para la inscripción automática y, a continuación, haga clic en Aceptar. 5. Cierre Plantillas de certificado. Concesión de permisos de inscripción para una plantilla de certificado predeterminada En este procedimiento se configuran plantillas predeterminadas que utilizarán los clientes que se hayan inscrito automáticamente según el procedimiento de "Configuración de una plantilla de certificado para inscripción automática de clientes". Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo Administradores de organización. Herramientas: Plantillas de certificado (certtmpl.msc). Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para permitir a los clientes solicitar un certificado basado en la plantilla 1. Haga clic en Inicio, Ejecutar, escriba certtmpl.msc en el cuadro de texto de Ejecutar y haga clic en Aceptar. 2. En el panel de detalles de Plantillas de certificado, haga clic con el botón derecho del ratón en la plantilla de certificado que desee cambiar y, a continuación, haga clic en Propiedades. 3. En la ficha Seguridad, agregue los grupos, equipos o usuarios que desee. 4. En Nombres de grupos o usuarios, haga clic en uno de los nuevos objetos y, a continuación, en la lista Permisos para nombredeobjeto, en la columna Permitir, active las casillas de verificación Leer e Inscribirse. 5. Repita el paso anterior para cada nuevo objeto.

17 17 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Nota: para no permitir a las personas solicitar un certificado basado en una plantilla, anule la selección de las casillas de verificación Leer e Inscribirse utilizando los mismos pasos de este procedimiento. Configuración de la entidad emisora de certificados para emitir certificados a partir de la plantilla de certificados Este procedimiento agrega una nueva plantilla de certificado a la entidad emisora de certificados que emitirá la misma entidad. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo de Administradores locales en el equipo donde se ha instalado Servicios de Certificate Server. Herramientas: el complemento Entidad emisora de certificados. Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para agregar una plantilla de certificado a una entidad emisora de certificados 1. Haga clic en Inicio, Panel de control, Herramientas administrativas y, a continuación, en Entidad emisora de certificados. 2. Expanda la entidad emisora de certificados raíz de empresa. 3. Haga clic con el botón derecho en el contenedor de Plantillas de certificado, haga clic en Nueva y, a continuación, en Plantilla de certificado para emitir. 4. En el cuadro de diálogo Habilitar plantillas de certificados, seleccione la plantilla de certificado que desee habilitar en la entidad emisora de certificados y, a continuación, haga clic en Aceptar. La plantilla de certificado que ha habilitado aparecerá en el contenedor Plantillas de certificado. 5. Cierre de la Entidad emisora de certificados. Eliminación de una plantilla de certificado de una entidad emisora de certificados Tras definir y configurar las plantillas de certificado que desee utilizar, es una práctica recomendable quitar de la entidad emisora de certificados las plantillas de certificado que no vaya a utilizar. Quitar una plantilla de certificados sólo hace que se desvincule el certificado de una entidad emisora; no se elimina físicamente del almacén de plantillas de certificado. Si posteriormente necesita alguna de las plantillas de certificado que ha quitado, puede repetir los procedimientos de la sección "Instalación de plantillas de certificado" para realizar esta tarea. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo Administradores de organización. Herramientas: el complemento Entidad emisora de certificados.

18 18 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas Esta tarea sólo se puede realizar en un servidor con Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Para quitar una plantilla de certificado de una entidad emisora de certificados 1. Haga clic en Inicio, Panel de control, Herramientas administrativas y, a continuación, en Entidad emisora de certificados. 2. Expanda la entidad emisora de certificados raíz de empresa. 3. Haga clic con el botón derecho del ratón en el contenedor Plantillas de certificado. 4. En el panel de detalles, haga clic con el botón derecho del ratón en la plantilla que desee quitar de la entidad emisora de certificados y, a continuación, haga clic en Eliminar. 5. En el cuadro de diálogo Deshabilitar Plantillas de certificado, haga clic en Sí. La plantilla de certificado dejará de aparecer en el panel de detalles. Ejemplo de implementación de Servicios de Certificate Server: inscripción automática para usuarios inalámbricos Para configurar el servidor para que proporcione inscripción automática para certificados de equipo y usuario, realice los pasos siguientes: Cree una plantilla de certificado para usuarios inalámbricos. Configure la plantilla de certificado para la inscripción automática de clientes. Configure la entidad emisora de certificados para que emita certificados a partir de la plantilla. Requisitos Credenciales: debe haber iniciado la sesión con una cuenta miembro del grupo Administradores de organización. Herramientas: el complemento Plantillas de certificado (certtmpl.msc) y el complemento Entidad emisora de certificados. Las tareas de este ejemplo de implementación sólo se pueden realizar en un servidor con Windows Server 2003, Enterprise Edition o Windows Server 2003, Datacenter Edition. Creación de una plantilla de certificado para usuarios inalámbricos Para crear una plantilla de certificado para usuarios inalámbricos 1. Haga clic en Inicio, Ejecutar, escriba certtmpl.msc en el cuadro de texto de Ejecutar y haga clic en Aceptar. 2. En el panel de detalles de Plantillas de certificado, haga clic en la plantilla Usuario. 3. En el menú Acción, haga clic en Plantilla duplicada.

19 19 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas 4. En la ficha General de la página Propiedades de plantilla nueva, en el cuadro Nombre para mostrar plantilla, escriba Plantilla de certificado para usuarios inalámbricos. 5. Haga clic en Aplicar y continúe con el procedimiento siguiente. Configuración de una plantilla de certificado para la inscripción automática de clientes Para configurar una plantilla de certificado para la inscripción automática de clientes 1. En la ficha General de la página Propiedades de Plantilla de certificado para usuarios inalámbricos, asegúrese de que la casilla de verificación Publicar certificado en Active Directory esté activada. 2. Haga clic en la ficha Seguridad. 3. En la lista Nombres de grupos o usuarios, haga clic en Usuarios del dominio. 4. En la lista Permisos de Usuarios del dominio, en la columna Permitir, seleccione las casillas de verificación Leer, Inscribirse e Inscripción automática.

20 20 Creación de una entidad emisora de certificados raíz de empresa en pequeñas y medianas empresas 5. Haga clic en la ficha Nombre de sujeto, anule la selección de Incluir el nombre de correo electrónico en el nombre del sujeto y Nombre de correo electrónico y, a continuación, haga clic en Aceptar.