Administrar una infraestructura de claves públicas de Windows Server 2003

Una infraestructura de claves públicas (PKI) requiere planear las operaciones y el mantenimiento de su implementación inicial. En este documento se ofrece una guía acerca de cómo planear e implementar la administración y las operaciones para una PKI de Microsoft^® Windows Server^™. Se incluyen detalles acerca de la estimación de los recursos necesarios para administrar la PKI y orientación acerca de la asignación de funciones administrativas y la programación de tareas operativas. La mayor parte del documento describe las tareas operativas y de soporte cotidianas necesarias para mantener un estado óptimo de la PKI. El documento se basa y complementa la implementación de la Microsoft System Architecture (MSA) de Servicios de Certificate Server.

En esta página

	Introducción
	Planear los recursos para administrar la PKI de Windows
	Configurar el entorno operativo de la PKI
	Funcionamiento de la PKI
	Planear y optimizar la capacidad
	Administrar el cambio y la configuración
	Tareas de soporte comunes
	Resumen
	Vínculos relacionados
	Apéndice A: Descripción general del diseño de PKI
	Apéndice B: Funciones administrativas de criterios comunes

Introducción

Administrar una infraestructura de claves públicas de Windows Server 2003 constituye una guía para el funcionamiento y la administración de una PKI de Windows^®. Windows Server 2003 con clientes Windows XP proporciona una de las tecnologías de PKI más fáciles de implementar y administrar; aunque aún es necesario administrarla. Sin un soporte operativo adecuado, se acabarán produciendo errores incluso en infraestructuras de claves públicas de complejidad moderada.

Este documento está diseñado para atender la necesidad de una referencia sencilla de la administración, la supervisión y las tareas de soporte para mantener un funcionamiento correcto de la PKI. También contiene directrices con el fin de planear los recursos para administrar la PKI y asignar las funciones administrativas de forma adecuada, así como referencias a otros documentos de Microsoft relacionados.

Este documento acompaña a la Guía de operaciones de PKI de Windows Server 2003 (en inglés), que es una colección de técnicas y prácticas recomendadas que ayudan a administrar la PKI. No obstante, este documento se ha diseñado posteriormente como un manual de referencia de operaciones. Debe poder implementar directamente las orientaciones de este documento como parte de sus operaciones de TI. Tendrá que utilizar la Guía de operaciones de PKI de Windows Server 2003 (en inglés) y la sección "Infraestructura de claves públicas" de la documentación de Windows Server 2003 para complementar la información de este documento (consulte la sección Vínculos relacionados). Para reducir al máximo la duplicidad y las posibles incoherencias, no se incluyen los detalles completos de algunas tareas. En su lugar, se hace referencia al documento donde la tarea se describe de forma completa.

Las directrices de este documento se basan en el diseño de PKI de empresa definido en el Kit de implementación de Microsoft Systems Architecture versión 2.0 (en inglés) y en el documento Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés) (ambos documentos describen el diseño y la creación de prácticamente la misma PKI) mediante Windows Server 2003 con clientes Windows XP. Sin embargo, las orientaciones de este documento resultan igual de importantes o se pueden adaptar fácilmente a otros diseños de PKI.

La mayor parte del contenido de este documento se desarrolló originalmente para Solución de Microsoft para proteger LAN inalámbricas. Los conceptos y el marco de esta guía se basan en Microsoft Operations Framework (MOF) y Soluciones Microsoft para la administración (MSM). Para obtener referencias a todos estos documentos, consulte la sección Vínculos relacionados.

Introducción

Este documento se divide en seis secciones principales. En las dos primeras se trata el diseño y la configuración inicial, y las cuatro restantes se concentran en el funcionamiento de la PKI.

Nota: a menos que se indique lo contrario, las referencias están vinculadas a las secciones de este documento.

Ámbito

Este documento no incluye orientación acerca de las siguientes cuestiones:

Qué necesita saber

Debe estar familiarizado con los conceptos de PKI y con los Servicios de Microsoft Certificate Server en concreto. También es preciso estar familiarizado con Windows Server 2003 (y con Windows XP, donde resulte pertinente) en las siguientes áreas:

Antes de continuar, se recomienda consultar los capítulos acerca del diseño y creación de Servicios de Certificate Server del Kit de implementación de Microsoft Systems Architecture 2.0 (en inglés) y el documento Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés) (consulte la sección Vínculos relacionados) para conocer la arquitectura y el diseño de la solución en la que se basa este documento. En muchas de las operaciones descritas en este documento se supone una PKI diseñada y creada según las mismas especificaciones de dichos documentos, por lo que resulta importante que comprenda estos supuestos.

Diseño de PKI utilizado en este documento:

El diseño de PKI utilizado en este documento se describe brevemente en el apéndice A, Descripción general del diseño de PKI. Se trata de una jerarquía de PKI de tres niveles con una raíz sin conexión y entidades emisoras de certificados intermedias en la plataforma Windows Server 2003. La mayoría de las tareas descritas en este documento resultan adecuadas para configuraciones más simples (dos niveles o, incluso, un solo nivel) sin cambios o sólo con modificaciones menores.

Principio de la página

Planear los recursos para administrar la PKI de Windows

En esta sección se trata el diseño de los recursos de personal para administrar una PKI de Windows. Se supone una PKI de empresa según se describe en la introducción y en el apéndice A, Descripción general del diseño de PKI. Aunque este proceso será similar para instalaciones de PKI más simples, la estructura del equipo y, en concreto, las cifras del esfuerzo estimado para las tareas necesarias se tienen que adaptar de forma adecuada.

Existen cuatro áreas principales que se deben tener en cuenta. Las dos primeras corresponden a la asignación de funciones administrativas y el diseño de la formación que necesita el personal de soporte. La tercera corresponde al esfuerzo necesario para que la PKI esté operativa. Se incluyen la configuración de copias de seguridad, la asignación de permisos administrativos, el plan de recuperación y la programación de tareas operativas. La cuarta área corresponde al esfuerzo continuo en relación con las operaciones, el soporte y el personal de asistencia al usuario necesarios para mantener un funcionamiento correcto de la PKI.

En esta sección no se trata el planeamiento, el diseño, la instalación y la configuración de los servidores de PKI o de otra infraestructura.

Asignar funciones administrativas de PKI

Existen varias funciones en la administración de una PKI y cada una representa un conjunto concreto de capacidades en lo que respecta a la PKI. Por ejemplo, la aprobación de una solicitud de certificado, la auditoría de una CA y la administración de copias de seguridad y almacenamiento son responsabilidades de distintas funciones administrativas. En un entorno de alta seguridad, cada función se puede asignar a distintas personas como un método de protección frente a los abusos de privilegio. En otras organizaciones, sólo un administrador puede ser responsable de todas las tareas de PKI, aunque la mayoría de las organizaciones están entre ambos extremos.

Existe un perfil de criterios comunes para las funciones administrativas para una entidad emisora de certificados. En el apéndice B, Funciones administrativas de criterios comunes, se describe su relación con el modelo administrativo utilizado en este documento.

Decidir la granularidad del modelo administrativo

El modelo administrativo utilizado en este documento se adapta a una variedad de necesidades organizativas, desde funciones administrativas detalladas hasta divisiones más simples de las responsabilidades. Las capacidades administrativas con respecto a la PKI se han dividido en grupos de funciones y cada uno corresponde a un grupo de seguridad de dominio o local. En todos los procedimientos del documento se indica la pertenencia a grupos de seguridad administrativa que es necesaria para llevarlos a cabo.

Este enfoque permite que las distintas organizaciones alcancen el grado necesario de granularidad de funciones mediante la incorporación de cuentas de personal de TI a los grupos necesarios. Por ejemplo, una organización con un solo administrador para todas las tareas operativas y de soporte de la PKI agregaría la cuenta de dicha persona a todos los grupos de funciones de PKI. Una organización más compleja que necesitara dividir la responsabilidad entre administradores de PKI, operadores de copia, auditores y propietarios de aplicación agregaría las cuentas de dichas personas sólo a los grupos de funciones administrativas de PKI necesarios para su trabajo.

Si todavía no ha asignado las responsabilidades administrativas de la PKI, tendrá que hacerlo antes de que la PKI pase a producción. Utilice la tabla 1 para determinar las capacidades que desea asignar al personal administrativo de PKI. El primer conjunto de tareas de Configurar el entorno operativo de la PKI implica crear y llenar los grupos de funciones administrativas de PKI y asignar los permisos adecuados a dichos grupos.

Asignar funciones a grupos de seguridad

En la tabla 1 se describen las funciones de cada función administrativa de PKI en toda la entidad emisora de certificados y en toda la empresa, así como el grupo de seguridad que se utiliza para implementar dicha función. Estos grupos de seguridad se utilizan para describir los requisitos de seguridad de los procedimientos de este documento. Cada procedimiento dispone de una sección Requisitos de seguridad que enumera los grupos de seguridad a los que debe pertenecer una persona para llevar a cabo el procedimiento.

La tabla también está dividida en secciones que corresponden a límites administrativos comunes. Aunque es común, esta división no significa que sea universal, por lo que es posible que no coincida con su organización de forma exacta. Por ejemplo, un "propietario de aplicación" puede ser una persona de la línea de negocios en vez de la organización de soporte.

Las entidades emisoras de certificados sin conexión (la raíz y las intermedias) no pueden utilizar grupos de dominio, sólo grupos de seguridad locales. Para dichas entidades, se deben crear cuentas locales individuales en la propia entidad emisora de certificados y se deben utilizan para llenar los grupos administrativos locales. Para las entidades emisoras de certificados con conexión (que son miembros de dominio), se utilizan grupos de seguridad de dominio para aplicar los permisos correspondientes a cada función. Las cuentas de dominio se utilizan para llenar los grupos de funciones.

Tabla 1: Asignar funciones de Servicios de Certificate Server a grupos de seguridad

Formar al personal

La formación del personal operativo o de soporte varía considerablemente según su experiencia y sus funciones y responsabilidades individuales. En las siguientes secciones se enumeran los tipos de formación (incluidos los cursos de Microsoft Official Curriculum) adecuados para los distintos niveles de responsabilidad que se encuentran en las organizaciones de TI de mayor tamaño. Para obtener información más detallada de estos cursos, consulte la sección Vínculos relacionados.

Administradores de PKI y soporte de tercer nivel

Lo más probable es que el personal de TI que trabaje en este nivel disponga de certificación Microsoft Certified Systems Engineers (MCSE) en Windows 2000 o Windows Server 2003, o tenga un nivel equivalente de conocimientos y experiencia.

Los siguientes cursos son muy útiles.

Operadores y soporte de segundo nivel

El personal de TI que proporcione soporte al departamento de asistencia al usuario y lleve a cabo tareas operativas y de supervisión periódicas es probable que disponga de certificación MCSE o conocimientos equivalentes.

El siguiente curso resulta muy útil para una comprensión general de la PKI y otras tecnologías de seguridad en la plataforma Windows Server 2003.

Departamento de asistencia al usuario

Las necesidades de formación del departamento de asistencia al usuario dependerán de si su personal ofrecerá soporte general o estará dedicado a una determinada aplicación o sistema. El personal de asistencia al usuario que dé soporte a las aplicaciones de PKI debe recibir formación básica sobre la plataforma cliente (Windows XP) y las aplicaciones cliente (Microsoft Office, por ejemplo). Es importante ofrecer al personal de asistencia al usuario preguntas más frecuentes, documentos y soluciones a problemas comunes actualizados periódicamente para que puedan resolver tantas llamadas como sea posible sin tener que reasignarlas al soporte de segundo y tercer nivel.

Usuarios

Aunque normalmente no forma parte de la responsabilidad del departamento de operaciones de TI, con frecuencia se omite la importancia de la formación de los usuarios. Si existe confusión acerca del funcionamiento de una característica de aplicación, inevitablemente se generarán llamadas de soporte. Es importante ofrecer formación acerca del uso correcto de una aplicación o servicio, incluidas las posibilidades de autoayuda que los usuarios pueden intentar antes de llamar al departamento de asistencia al usuario. Los usuarios también deben recibir formación acerca de los aspectos pertinentes de la directiva de seguridad de la organización para que conozcan sus responsabilidades. Por ejemplo, deben conocer los procedimientos para informar de un equipo o tarjeta inteligente perdido o robado, cómo elegir contraseñas correctas, cómo proteger sus datos y credenciales frente al abuso y cómo protegerse frente a los virus.

Tareas para configurar el entorno operativo

En la tabla 2 se muestran las tareas para que la PKI esté operativa. Cada tarea describe cómo configurar un aspecto del sistema de administración de la PKI con el fin de que esté preparada para pasar a un entorno de producción. Se incluye una estimación del número de horas para cada tarea. Para obtener una descripción de cada tarea, consulte Configurar el entorno operativo de la PKI.

Puede que no tenga que realizar todas estas tareas, pero debe consultar los detalles de cada una antes de tomar esta decisión. Es posible que algunas de estas tareas se tengan que repetir; por ejemplo, si una entidad emisora de certificados se reconstruye a partir de una copia de seguridad, puede que tenga que volver a configurar las tareas de copia de seguridad y supervisión de ella.

Nota: el esfuerzo (en horas) es una estimación y varía según los requisitos de seguridad y las prácticas operativas de su organización.

Tabla 2: Tareas de configuración iniciales

Tareas operativas continuadas

En la tabla 3 se muestran las tareas que se tienen que realizar periódicamente para mantener el funcionamiento correcto de la PKI. También se incluye una estimación de la carga de trabajo de soporte posible basada en las cifras de las operaciones de la PKI interna de Microsoft. Para obtener más información acerca de estas tareas, consulte Funcionamiento de la PKI y las secciones posteriores de este documento.

Se incluye una estimación del número de horas para cada tarea, la frecuencia de la misma y el esfuerzo anual total. El esfuerzo de tarea corresponde a una instancia de la tarea, mientras que el número de veces al año es un agregado para todas las entidades emisoras de certificados. Si se multiplican ambos, se obtiene el esfuerzo anual total de la tarea.

Estas tareas están relacionadas con los servicios de infraestructura de PKI y no incluyen una medición del esfuerzo para dar soporte a las aplicaciones de PKI (como tales, son tareas que normalmente lleva a cabo el personal de soporte de tercer y segundo nivel). El esfuerzo de soporte de las aplicaciones de PKI varía considerablemente de una aplicación a otra. Sin embargo, a modo de guía, los recursos de soporte que el grupo de operaciones y tecnología (OTG) de Microsoft utiliza para dar soporte a las aplicaciones de PKI implementadas en los 60.000 usuarios de PKI de Microsoft se ofrecen en Ejemplo: Recursos operativos de PKI de Microsoft OTG.

Nota: el esfuerzo de tarea (en horas) es una estimación y varía según los requisitos de seguridad y las prácticas operativas de su organización.

Tabla 3: Operaciones de la PKI y tareas de soporte

Ejemplo: Recursos operativos de PKI de Microsoft OTG

Tal como se ha indicado anteriormente, en la tabla 3 no se incluyen los requisitos de soporte para las aplicaciones de PKI. Microsoft OTG ha implementado un amplio conjunto de aplicaciones que dependen de certificados digitales. Entre éstas se encuentran:

En la tabla 4 se muestran los recursos de soporte para estas aplicaciones y la infraestructura de certificados. La administración de tarjetas inteligentes precisa de una cantidad desproporcionada de esfuerzo debido a la sobrecarga de la administración física de las tarjetas y los sistemas de identificación fotográfica y de acceso asociados.

Tabla 4: Recursos de soporte

OTG también utiliza un centro de filtro de llamadas independiente que registra las llamadas y las dirige al correspondiente personal de asistencia al usuario. No está incluido en la cifra del departamento de asistencia al usuario.

Si tiene en cuenta los siguientes puntos, puede extrapolar estas cifras a su organización.

Principio de la página

Configurar el entorno operativo de la PKI

La configuración de un entorno operativo de un sistema constituye un paso fundamental en la implementación de un proyecto de TI. Esto implica la implementación de trabajos programados, la configuración de los parámetros de supervisión y alertas, la creación de referencia para medir el rendimiento y la creación de un programa de trabajos de mantenimiento periódicos. Sin este paso, cualquier sistema puesto en producción no cumplirá las expectativas de rendimiento y, finalmente, fracasará.

Esta fase de configuración se aplica por igual tanto a una PKI como a cualquier otro componente de infraestructura. En esta sección se describe la creación de un programa operativo, la preparación del directorio, la preparación de la disponibilidad del sistema, la configuración de la supervisión y las alertas, así como las demás tareas fundamental para pasar la PKI a producción.

Lista de comprobación de tareas de configuración

General

Preparar el directorio

Administración de la seguridad

Administración del sistema

Configurar las opciones de disponibilidad y recuperación

Configurar la supervisión y las alertas

Programación de trabajos

Crear un programa de operaciones

La creación de un programa de operaciones es uno de los elementos más importantes en la implementación de una PKI. Algunas de las tareas de mantenimiento de la PKI se realizan sólo una vez cada varios meses o años. Por lo tanto, a menos que se programen correctamente, existe el riesgo de olvidarlas cuando realmente se deban llevar a cabo.

Tomando como punto de partida la lista de Tareas operativas continuadas, debe crear un programa de operaciones para la PKI. La programación debe incluir todas las tareas que se deben realizar periódicamente, describir la frecuencia de cada tarea e indicar quién será el responsable de llevar a cabo cada una.

La programación debe disponer de las siguientes características.

Implementar los servicios de soporte de la PKI

Debe garantizar que los recursos de soporte de la PKI están conectados al implementar la infraestructura y aplicaciones de PKI que dependen de la PKI. Debe escalonar la implementación de la infraestructura (las entidades emisoras de certificados y los servicios de soporte) y las aplicaciones de PKI para permitir que los servicios de soporte evolucionen y se adapten a sus nuevas demandas. En la siguiente secuencia se muestra cómo puede llevar esto a cabo junto con la implementación de la PKI.

Preparar el directorio

Preparar una estructura de unidades organizativas de dominio para la administración de Servicios de Certificate Server

El propósito de esta tarea es crear una estructura de unidades organizativas adecuada para administrar grupos de seguridad de Servicios de Certificate Server.

Requisitos de seguridad

Cuenta con derechos para crear unidades organizativas en la parte designada de Active Directory

Detalles de la tarea

Esta tarea sólo es una sugerencia del modo en que puede organizar los grupos de seguridad relacionados con PKI. La estructura de unidades organizativas reales dependerá de la existente y de las directivas y procedimientos de administración actuales. En la tabla 5 se ofrece un subárbol de unidades organizativas simples que se puede utilizar para ayudar a organizar los grupos de seguridad creados mediante esta guía y a los que se hace referencia en la misma. Debe otorgar al grupo Administradores de PKI de empresa permisos para crear y eliminar objetos de grupo para estas unidades organizativas.

Tabla 5: Ubicación de los grupos de seguridad en la estructura de unidades organizativas

Administración de la seguridad

La administración de la seguridad abarca tareas relacionadas con los componentes de seguridad de la infraestructura informática.

Crear los grupos de administración de PKI

Las funciones y las capacidades administrativas se definen mediante cuentas de usuario y grupos de seguridad de dominio.

Nota: la solución define varios grupos de seguridad que corresponden a funciones administrativas independientes. De este modo se obtiene el máximo control sobre el modo de delegar responsabilidades en la administración de la entidad emisora de certificados. Sin embargo, no tiene que utilizar todas o cualquiera de estas funciones si no se corresponden a su modelo de administración. En el caso opuesto, si sólo tiene un único administrador de PKI que se encargue de todos los aspectos del servicio, puede agregar esta cuenta a todos los grupos de funciones de la entidad emisora de certificados. En la práctica, la mayoría de las organizaciones utilizan algún tipo de separación de funciones, pero muy pocas utilizan todas las capacidades de separación de funciones de Servicios de Windows Certificate Server. Para obtener más información, consulte Asignar funciones administrativas de PKI.

Para crear grupos de administración de PKI en el dominio

Si necesita grupos independientes de administradores de entidad emisora de certificados, administradores de certificados, auditores y operadores de copia para cada entidad emisora de certificados de empresa, cree grupos de dominio independientes para cada entidad emisora en vez de un solo grupo para cada función tal como se muestra aquí. Asígneles el nombre "Administradores de entidad emisora de certificados deNombreDeEntidad" (donde NombreDeEntidad es el nombre de la entidad emisora de certificados) o uno similar.

Los grupos se crean como universales ya que necesitan alcance (visibilidad) en todo el bosque y pueden tener miembros de varios dominios. Si únicamente necesita miembros de grupo de un solo dominio, puede utilizar grupos globales de dominio en su lugar. Sólo puede crear grupos universales en un dominio que tenga un nivel funcional de dominio de modo nativo de Windows 2000 o superior (para obtener más información acerca de los niveles funcionales de dominio, consulte la sección Vínculos relacionados). Si los dominios están en modo mixto, tiene que utilizar grupos globales.

Puede y debe limitar los usuarios que pueden cambiar la pertenencia a estos grupos. El siguiente procedimiento restringe esta capacidad a los miembros del grupo Administradores de PKI de empresa. Antes de continuar, debe agregar al menos una cuenta de dominio válida al grupo Administradores de PKI de empresa. El siguiente procedimiento utiliza una cuenta denominada PropietarioDeGruposDePKI. Será el propietario de los grupos de administración de PKI, lo que le transfiere la propiedad desde los administradores predeterminados. El nombre no es importante y puede utilizar otro distinto si lo prefiere.

Para restringir los usuarios que pueden cambiar la pertenencia a los grupos de administración de PKI.

Nota: no se puede impedir que un administrador de dominio o de empresa modifique estos grupos. Sin embargo, los pasos de este procedimiento, en concreto los correspondientes a quitar la propiedad de los grupos del grupo Administradores integrado, ayudan a garantizar que se pueda auditar cualquier modificación no autorizada y que resulte improbable que se produzca un cambio no autorizado por accidente.

Las entidades emisoras de certificados sin conexión no pueden utilizar grupos de dominio y, por lo tanto, necesitan tener grupos locales equivalentes creados en la propia entidad emisora de certificados. No hay una función local equivalente a los grupos Administradores de PKI de empresa o Editores de PKI de empresa.

Para crear los grupos de administración de entidad emisora de certificados en una entidad emisora sin conexión

Asignar permisos a los grupos de administración de PKI

Para utilizar las funciones administrativas en la entidad emisora de certificados (como auditor y administrador de certificados), tiene que conceder los permisos adecuados al grupo de seguridad para cada función.

Nota: aunque en este documento se utilizan varias funciones de administración, dispone de libertad para agregar la misma cuenta a varias funciones con el fin de obtener un modelo administrativo más simple. Para obtener más información, consulte Asignar funciones administrativas de PKI.

Detalles de la tarea

La primera tarea establece los permisos para una entidad emisora de certificados con conexión mediante grupos de dominio. La segunda tarea establece los permisos para una entidad emisora de certificados sin conexión mediante grupos locales.

Para configurar las funciones administrativas para una entidad emisora de certificados con conexión

Para configurar las funciones administrativas para una entidad emisora de certificados sin conexión

Delegar los permisos de PKI de empresa

La información de configuración de PKI para toda la empresa se almacena en el contenedor Configuración de Active Directory en un subcontenedor denominado Servicios de claves públicas. De forma predeterminada, los permisos de escritura para este contenedor y todos sus subcontenedores están limitados al grupo de seguridad Administradores de empresa.

Esta tarea concede permisos en el contenedor Servicios de claves públicas a los grupos Administradores de PKI de empresa y Editores de PKI de empresa con el fin de permitirle llevar a cabo algunas de las responsabilidades reservadas a los administradores de empresa. A los administradores de PKI de empresa se les concede la capacidad de administrar la mayoría de los aspectos de la configuración de PKI para todo el bosque. Esto incluye la administración de plantillas e identificadores de objeto de directiva (OID) de PKI, la especificación de confianzas de entidades emisoras de certificados raíz, el acceso a la información de entidad emisora (AIA) y los puntos de publicación de CRL en el directorio. La única tarea que los administradores de PKI de empresa no pueden realizar es agregar entidades emisoras de certificados de empresa al bosque (más adelante en este procedimiento se ofrece información detallada acerca de cómo delegarla al grupo Administradores de PKI de empresa). Los editores de PKI de empresa tienen un conjunto más limitado de privilegios y pueden publicar listas de revocación de certificados y certificados de entidad emisora en el directorio.

Precaución: este procedimiento delega el control de una parte muy delicada de Active Directory, la que afecta a los usuarios y los equipos de todo el bosque. Tenga cuidado al conceder el control sobre el contenedor Servicios de claves públicas. Los usuarios con permiso para modificar este contenedor y sus subcontenedores pueden, entre otras acciones, agregar y quitar entidades emisoras de certificados raíz de confianza, agregar y quitar entradas de entidad emisora de certificados de empresa del contenedor NTAuth y, mediante éste, falsificar credenciales de inicio de sesión válidas para cualquier usuario del bosque.

Requisitos de seguridad

Pertenencia a administradores de empresa

Detalles de la tarea

Para conceder permisos a los administradores de PKI de empresa

Para conceder permisos a los editores de PKI de empresa

Delegar los permisos para instalar una entidad emisora de certificados de empresa

Agregar una entidad emisora de certificados de empresa es una operación muy delicada. Una entidad emisora de certificados de empresa puede emitir credenciales de inicio de sesión para cualquier cuenta del bosque (incluidos los administradores de dominio o de empresa), por lo que sólo la debe instalar un miembro de Administradores de empresa. Microsoft recomienda y admite este enfoque, que se ha probado completamente. No se debe realizar a menos que tenga alguna necesidad específica para delegar esta tarea.

Sin embargo, hay ocasiones en las que puede resultar necesario delegar esta tarea a un administrador que no sea miembro de Administradores de empresa. Esto se puede llevar a cabo si se realizan los dos siguientes procedimientos para conceder los permisos adecuados al grupo Publicadores de certificados y el permiso Restaurar archivos y directorios al grupo Administradores de PKI de empresa.

Importante: al delegar esta tarea no está creando un límite de seguridad reforzado entre Administradores de empresa y Administradores de PKI de empresa; los miembros del último grupo pueden elevar sus privilegios a los del grupo Administradores de empresa. Debe considerar este procedimiento de delegación como un paso para admitir una directiva administrativa y no como un control de seguridad estricto.

Requisitos de seguridad

Pertenencia a administradores del dominio en el que se instalará la entidad emisora de certificados de empresa

Detalles de la tarea

El grupo de seguridad Publicadores de certificados contiene las cuentas de equipo de todas las entidades emisoras de certificados de empresa de un dominio. Este grupo tiene permisos para publicar certificados en objetos de usuario y de equipo, así como para publicar CRL en el contenedor CDP mencionado en el procedimiento anterior. Cuando se instala una entidad emisora de certificados con conexión, se tiene que agregar su cuenta de equipo a este grupo. De forma predeterminada, sólo los grupos Administradores de dominio, Administradores de empresa y Administradores de dominio integrado tienen permisos para modificar la pertenencia de los publicadores de certificados. Para que los miembros de Administradores de PKI de empresa puedan instalar entidades emisoras de certificados, debe agregar este grupo a los permisos en Publicadores de certificados. Debe repetir este procedimiento por cada dominio en el que vaya a instalar entidades emisoras de certificados de empresa.

Para conceder el permiso de modificar la pertenencia en Publicadores de certificados

Para instalar entidades emisoras de certificados de empresa, también tiene que disponer del derecho Restaurar archivos y directorios en el dominio en el que vaya a instalar la entidad emisora de certificados. El proceso de instalación de Servicios de Certificate Server necesita este derecho para instalar plantillas de certificado en el dominio. En concreto, este derecho se necesita para permitir que los descriptores de seguridad de las plantillas y otros objetos de directorio se fusionen y, así, conceder los permisos correctos a los objetos de configuración de PKI almacenados en el directorio. Los grupos de dominio integrados Administradores, Opers. de servidores y Operadores de copia tienen este derecho de forma predeterminada. Normalmente sólo se necesita al instalar la primera entidad emisora de certificados de empresa del bosque. Tiene que repetir este procedimiento por cada dominio en el que vaya a instalar entidades emisoras de certificados de empresa.

Para conceder derechos de restauración a los administradores de PKI de empresa 

Importante: si tiene algún GPO que establece el derecho de usuario Restaurar archivos y directorios en los controladores de dominio, debe realizar el procedimiento anterior en el GPO con la máxima prioridad en vez de la directiva predeterminada de controladores de dominio. La configuración de derechos de usuario no es acumulativa y sólo será efectivo el último GPO aplicado (es decir, el que tiene la máxima prioridad) que tenga este conjunto de derechos.

Crear los grupos de inscripción de certificados

Los grupos de inscripción de certificados facilitan la administración de los usuarios que pueden inscribirse o inscribirse automáticamente a un determinado tipo de certificado. En vez de editar la configuración de seguridad en las plantillas de certificado, puede agregar y quitar usuarios o equipos de un grupo de seguridad. También puede delegar el control de la pertenencia a estos grupos al personal administrativo, que no tiene permiso para editar directamente las propiedades de las plantillas de certificado. Puede hacerlo para permitir que un propietario de aplicación controle los usuarios que pueden inscribirse a un determinado tipo de certificado sin tener que concederles permisos para modificar la plantilla.

Requisitos de seguridad

Pertenencia a administradores de PKI de empresa (para cambiar permisos en plantillas de certificado) y permiso para crear los grupos de seguridad necesarios en la unidad organizativa

Detalles de la tarea

Cree un grupo de inscripción por cada tipo de plantilla de certificado o, como mínimo, todas en las que la aprobación de certificados vaya a ser automática. Es posible que no necesite este mecanismo donde utilice un proceso de registro explícito para un tipo de certificado. Si el tipo de certificado es de inscripción automática, cree un grupo independiente que controle los usuarios y dispositivos que se inscribirán automáticamente al certificado.

Nota: debe utilizar grupos globales o universales de dominio para establecer permisos en las plantillas, ya que son los únicos tipos de grupo que están visibles en todo el bosque. Sin embargo, un grupo global sólo puede contener miembros del dominio en el que se cree. Para utilizar miembros de varios dominios, cree grupos globales para cada dominio (a los que se agregan los usuarios y equipos necesarios de cada dominio) y grupos universales para establecer los permisos de plantilla. A continuación, agregue los grupos globales al grupo universal.

Para crear grupos de inscripción para una plantilla de certificado

Nota: puede delegar el control de estos grupos de inscripción para permitir que el propietario de la aplicación de certificados especifique los usuarios que pueden inscribirse (o inscribirse automáticamente) para este tipo de certificado.

Establecer permisos en el servidor Web para publicar CRL y certificados

Debe crear un directorio virtual en IIS (u otro servidor Web) para utilizar como ubicación de Protocolo de transferencia de hipertexto (HTTP) para Certificado de entidad emisora (AIA) y publicación de CRL (CDP). Esta tarea es específica de IIS 6.0 (en Windows Server 2003) pero se puede adaptar para versiones anteriores de IIS y para otros servidores Web.

Requisitos de seguridad

Pertenencia a administradores locales en el servidor Web

Detalles de la tarea

Esta tarea crea el directorio virtual y concede al grupo Editores de PKI de empresa y a las entidades emisoras de certificados con conexión permisos para publicar archivos en esta ubicación.

Para crear el punto de distribución de IIS

Tendrá que repetir esta tarea si ejecuta varios servidores IIS para publicar CRL y certificados de entidad emisora; por ejemplo, si dispone de puntos de publicación de PKI internos y externos en servidores independientes.

Configurar la entidad emisora de certificados para publicar CRL en un servidor Web

Las entidades emisoras de certificados emiten CRL con frecuencia (diariamente o incluso cada hora en el caso de diferencias entre listas CRL). Por lo tanto, es fundamental disponer de un método automático para publicar las CRL en el punto de distribución (CDP). Las entidades emisoras de certificados de empresa publican automáticamente CRL en el directorio pero no en CDP de HTTP en los servidores Web. Sin embargo, si dispone de conectividad entre la entidad emisora de certificados y el servidor Web de destino, puede configurar la entidad emisora para que publique automática y directamente en el servidor Web.

Nota: este método no resulta adecuado para la publicación directa en un servidor Web conectado a Internet ya que precisa conectividad directa y el uso compartido del archivo de bloque de mensajes del servidor (SMB) entre la entidad emisora de certificados y el servidor Web. Para publicar en un servidor de Internet, puede utilizar la técnica descrita en esta tarea para publicar en una ubicación intermedia y, a continuación, utilizar su medio estándar para publicar contenido de forma segura en el servidor Web. No olvide tener en cuenta que la latencia que agrega este paso adicional puede reducir la actualidad de las CRL.

Requisitos de seguridad

Pertenencia a administradores locales en la entidad emisora de certificados

Detalles de la tarea

Nota: es posible que algunos comandos se muestren en varias líneas para facilitar su impresión, pero se deben introducir en una sola línea.

Para automatizar la publicación de CRL

certutil.exe -setreg CA\CRLPublicationURLs "+65:file://\\pki.contoso.com\WWWPKIpub\%3%8%9.crl\n"

Importante: si la entidad emisora de certificados no puede tener acceso al recurso compartido del servidor Web de destino, la CRL no se podrá publicar y se puede impedir que las CRL se publiquen en otros CDP (esta situación provoca que se registre un suceso en el registro de sucesos de Windows). Si no se puede garantizar la disponibilidad del servidor Web, puede considerar la posibilidad de utilizar una tarea programada para copiar las CRL de la carpeta de configuración de la entidad emisora de certificados (%systemroot%\system32\certenroll) al destino en vez de realizar esta tarea.

Habilitar la auditoría de la entidad emisora de certificados

Para obtener una descripción completa acerca de la auditoría de la entidad emisora de certificados, consulte la Guía de operaciones de PKI de Windows Server (en inglés) (sección Vínculos relacionados).

Requisitos de seguridad

Pertenencia al grupo Administradores de entidad emisora de certificados

Detalles de la tarea

Para habilitar la auditoría en la entidad emisora de certificados

También debe considerar la posibilidad de habilitar la auditoría del sistema de archivos y del Registro en las siguientes ubicaciones para que se registren los intentos no autorizados para modificar los datos o la información de configuración de la entidad emisora de certificados.

Deshabilitar la comprobación de revocación en las entidades emisoras de certificados intermedias

Una entidad emisora de certificados debe poder comprobar el estado de revocación de su propio certificado así como el de los certificados que emite. Aunque éste es el comportamiento deseable para una entidad emisora de certificados, provoca problemas en una entidad emisora sin conexión. Debido a que está sin conexión, no puede acceder a ninguno de los CDP publicados para la entidad emisora de certificados raíz o a ninguno de sus propios CDP. Esto impide que la entidad emisora de certificados inicie y envíe certificados.

Una solución a este problema consiste en publicar CRL desde la entidad emisora de certificados raíz y desde sí misma al almacén de certificados local del equipo. Sin embargo, esto resulta confuso y, en la mayoría de los casos, no aporta una ventaja de seguridad apreciable (esta comprobación de revocación no tiene ninguna relación con la comprobación de revocación de los certificados que realizan los usuarios conectados).

El enfoque utilizado aquí consiste en impedir que la entidad emisora de certificados realice estas comprobaciones de revocación obligatorias. Para ello, se configura la entidad emisora de certificados para que omita la comprobación de revocación si los CDP no están conectados.

Nota: en Windows Server 2003 anterior a Service Pack (SP) 1, el procedimiento siguiente no deshabilita completamente la comprobación de revocación. Aunque el procedimiento provoca que la entidad emisora de certificados omita la comprobación de revocación de los certificados que emite, todavía realiza una comprobación en su propio certificado al iniciarse, por lo tanto, requiere acceso a la CRL desde su entidad emisora principal. También hay disponible una revisión anterior a SP1 para este defecto. Si no puede actualizar la entidad emisora de certificados, tendrá que seguir publicando las CRL de la entidad emisora de certificados raíz en el almacén de certificados de la entidad emisora intermedia.

Requisitos de seguridad

Pertenencia a administradores locales en la entidad emisora de certificados intermedia

Detalles de la tarea

Para deshabilitar la comprobación de revocación en una entidad emisora de certificados intermedia

Certutil.exe -setreg ca\CRLFlags +CRLF_REVCHECK_IGNORE_OFFLINE

Puede anular este cambio mediante el siguiente comando.

Certutil.exe -setreg ca\CRLFlags -CRLF_REVCHECK_IGNORE_OFFLINE

Administración del sistema

La administración del sistema incluye tareas relacionadas con el mantenimiento del sistema operativo de la entidad emisora de certificados.

Configurar las actualizaciones del sistema operativo

Al igual que la mayoría de los demás equipos, las entidades emisoras de certificados con conexión pueden sufrir ataques de software o personas malintencionadas que intenten aprovechar las vulnerabilidades del sistema. Para reducir el riesgo de tales amenazas, es importante disponer de un medio para implementar las actualizaciones de seguridad en los sistemas de forma puntual. La implementación de un sistema de administración de revisiones queda fuera del alcance de este documento. Para obtener más información acerca de las distintas formas de lograrlo, consulte Acelerador de soluciones de Microsoft para la administración de revisiones (en inglés) (sección Vínculos relacionados).

Las entidades emisoras de certificados sin conexión no tienen que estar tan actualizadas como los sistemas con conexión siempre que no se vayan a conectar a una red (lo que no debería suceder nunca). Sin embargo, como mínimo debe realizar el seguimiento de los Service Packs y las actualizaciones de versión del sistema operativo para que los servidores siempre se ejecuten en una configuración admitida. En este documento también se recomienda estar al día con actualizaciones de seguridad mediante su instalación de forma periódica.

Tabla 12:  Resumen de actualizaciones de seguridad

Importante: aunque Microsoft prueba exhaustivamente las actualizaciones de sistema operativo, siempre debe realizar pruebas antes de implementar las actualizaciones en sus sistemas. Debe utilizar un servidor SUS independiente o un grupo de destino SMS independiente para controlar las actualizaciones de seguridad en la entidad emisora de certificados. Es posible que no pueda probar las actualizaciones en las entidades emisoras de certificados con la misma programación que en los demás sistemas y puede que haya actualizaciones que no sean pertinentes para las entidades emisoras.

Configurar las opciones de disponibilidad y recuperación

Las tareas de esta sección tienen como objetivo garantizar que la PKI tiene una buena resistencia a los errores y que puede recuperar rápidamente los errores que puedan surgir.

Planear una PKI de alta disponibilidad

Los dos aspectos más importantes de la disponibilidad de PKI son:

La pérdida de los servicios de inscripción impide que envíe certificados a los usuarios. Esto afectará a los usuarios nuevos y a aquellos cuyos certificados existentes estén a punto de caducar. El comportamiento predeterminado para Windows Server 2003 es renovar automáticamente los certificados de inscripción automática seis semanas antes de que caduquen por lo que, en la práctica, sólo los usuarios nuevos se verán afectados gravemente. Debe determinar el tiempo máximo que su organización se puede permitir el estar sin servicios de inscripción y planear la disponibilidad del servicio y las medidas de recuperación en consecuencia.

La pérdida del acceso a la información de revocación de certificados es potencialmente más grave. Se producirán errores en las aplicaciones que comprueban el estado de revocación de los certificados si la información de revocación actual no está disponible. Esto puede afectar a todos los usuarios de la organización. Por lo tanto, es imprescindible que adopte medidas para garantizar que la información de revocación siempre está disponible. La secuencia de comandos de supervisión adjunta a este documento incluye comprobaciones específicas para CRL caducadas, a punto de caducar y no disponibles. En Tareas de soporte comunes también hay un procedimiento correctivo para ampliar la duración de las CRL. Para obtener más información acerca de los problemas de comprobación de revocación, consulte el documento Solucionar problemas de estado y revocación de certificados (en inglés) (sección Vínculos relacionados).

En el diseño de disponibilidad, debe prestar una atención especial a las siguientes áreas.

Configurar la copia de seguridad de la base de datos de la entidad emisora de certificados

El propósito de esta tarea es hacer una copia de seguridad de las claves privadas y los certificados de la entidad emisora de certificados, la base de datos de certificados y la información de configuración de Servicios de Certificate Server. La información de configuración de Servicios de Certificate Server incluye la configuración del sistema operativo y otra información de estado de la que depende la entidad emisora de certificados. La mejor forma de realizar una copia de estos elementos mediante una copia de seguridad de estado del sistema de Windows. Se admite en la utilidad Copia de seguridad de Windows suministrada con Windows Server 2003 y en varios sistemas de copia de seguridad comerciales. Debe consultar al proveedor de la solución de copia de seguridad si admite la copia de seguridad de estado del sistema de Windows o una funcionalidad equivalente.

Precaución: si no utiliza HSM para proteger las claves de la entidad emisora de certificados, los datos de la copia de seguridad de la entidad emisora son extremadamente confidenciales porque contienen el material de claves privadas de la propia entidad (también pueden contener claves privadas archivadas de los usuarios). Debe transportarlos y almacenarlos con el mismo cuidado y seguridad que la entidad emisora de certificados. En este caso, puede considerar la posibilidad de utilizar un sistema de copia de seguridad para las entidades emisoras de certificados.

Si el sistema corporativo de copia de seguridad no admite la copia de seguridad de estado del sistema de Windows, puede utilizar Copia de seguridad de Windows para guardar una copia de la entidad emisora de certificados en archivo y, a continuación, utilizar el sistema corporativo de copia de seguridad para guardar el archivo. Posteriormente, la restauración de la entidad emisora de certificados requiere que el archivo de copia de seguridad se restaure y que se utilice Copia de seguridad de Windows para restaurar la entidad emisora a partir del archivo de almacenamiento.

Debido a que por lo general no resulta práctico hacer una copia de seguridad completa de la entidad emisora de certificados varias veces al día, también se realiza una copia de seguridad diferencial cada hora. Copia los registros de base de datos, que han registrado todas las transacciones desde la copia de seguridad completa diaria.

Requisitos de seguridad

Administradores locales de la entidad emisora de certificados. Los trabajos de copia de seguridad se pueden ejecutar como sistema local en la entidad emisora, pero puede utilizar otra cuenta para ejecutar la copia de seguridad siempre que sea miembro del grupo Operadores de copia de la entidad emisora de certificados.

Detalles de la tarea

Esta tarea configura un trabajo programado para hacer una copia de seguridad por la noche del servidor de la entidad emisora de certificados.

Nota: si utiliza un HSM, este procedimiento no resultará adecuado para hacer una copia de seguridad de las claves que protege el HSM. Es posible que tenga realizar copia de seguridad de parte del material de claves protegido de la entidad emisora de certificados. Pero también tendrá que asegurarse de que estén disponibles un HSM idéntico y las claves de acceso del HSM necesarias en caso de que tenga que restaurar una entidad emisora de certificados. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad o proteger el material de claves y las claves de acceso.

Para configurar una copia de seguridad completa diaria de la entidad emisora de certificados

Para estimar el período de tiempo que durará, ejecute una copia de seguridad de estado del sistema (con la comprobación activada) en un servidor antes de que empiece a emitir cantidades importantes de certificados. Ejecute la copia de seguridad con el servicio Servicios de Certificate Server cerrado (de este modo se impide que los registros de la entidad emisora de certificados se trunquen debido a esta copia de seguridad de prueba). Se hará una copia de seguridad de aproximadamente 500 megabytes (MB) de datos de estado del sistema. Cronometre esta operación y calcule el tiempo aproximado para una base de datos de entidad emisora de certificados además de una copia de seguridad de estado del sistema del siguiente modo:

TiempoTotal = TiempoEstadoSistema x (500 + ((NúmeroUsuarios + NúmeroEquipos) x NúmeroCertificados x 20KB)) ÷ 500

En esta fórmula se supone el peor de los escenarios, con cinco certificados por usuario y equipo, por año, y muestra el almacenamiento total al cabo de cinco años. Si se asignan 20 kilobytes (KB) por certificado, se obtiene un MB de almacenamiento por usuario cada cinco años. Mediante la fórmula, si el tiempo para hacer una copia de seguridad del estado del sistema únicamente es de cinco minutos, necesitará 105 minutos para una entidad emisora de certificados con 10.000 usuarios (para hacer la copia de seguridad de la base de datos de 10 gigabytes [GB] con 500.000 certificados).

Sólo es una guía aproximada. El tiempo varía según el número de usuarios y equipos, así como el número de certificados emitidos a cada usuario y equipo.

Guarde la copia de seguridad de forma segura. Almacene los datos de la copia de seguridad en un sitio físico distinto al de la entidad emisora de certificados. De este modo podrá recuperar la entidad emisora si se destruyen todos los equipos informáticos del sitio o no se puede tener acceso a ellos.

Una copia de seguridad diferencial guarda toda la información desde que se realizó la última copia completa. La copia de seguridad diferencial emplea la utilidad certutil.exe para copiar los archivos de registro de la base de datos de Servicios de Certificate Server en una carpeta cada hora.

Para configurar una copia de seguridad diferencial cada hora de la entidad emisora de certificados

cacls c:\CABackup /G system:F administrators:F "Backup Operators":C "CA Backup Operators":C

SCHTASKS /Create /RU system /SC daily /ST 01:00 /TN "CA Differential Backup" /TR "certutil -backupdb c:\CABackup incremental keeplog"
SCHTASKS /Create /RU system /SC daily /ST 02:00 /TN "CA Differential Backup" /TR "certutil -backupdb c:\CABackup incremental keeplog"
SCHTASKS /Create /RU system /SC daily /ST 03:00 /TN "CA Differential Backup" /TR "certutil -backupdb c:\CABackup incremental keeplog"
SCHTASKS /Create /RU system /SC daily /ST 04:00 /TN "CA Differential Backup" /TR "certutil -backupdb c:\CABackup incremental keeplog"

Nota: evite la programación de una copia de seguridad diferencial demasiado próxima a una completa. Utilice los cálculos del procedimiento anterior para calcular la duración de la copia de seguridad completa y supervísela a medida que crece la base de datos de la entidad emisora de certificados para asegurarse de que no se superpone con un trabajo de copia de seguridad diferencial.

Configurar la copia de seguridad de la base de datos de la entidad emisora de certificados sin conexión

El propósito de esta tarea es preparar las claves privadas y los certificados de la entidad emisora de certificados, la base de datos de certificados y la información de configuración de Servicios de Certificate Server para una copia de seguridad. La información de configuración de Servicios de Certificate Server incluye la configuración del sistema operativo y otra información de estado de la que depende la entidad emisora de certificados. A diferencia de las entidades emisoras de certificados, el procedimiento de copia de seguridad de las entidades emisoras sin conexión se realiza manualmente. Para obtener más información, consulte Realizar copias de seguridad de una entidad emisora de certificados sin conexión.

Requisitos de seguridad

Pertenencia al grupo Administradores local en la entidad emisora de certificados

Detalles de la tarea

La entidad emisora de certificados raíz normalmente sólo emite unos pocos certificados, por lo que su base de datos nunca será grande. Asimismo, los datos cambian con muy poca frecuencia, sólo una vez cada varios meses o incluso años. Lo mismo sucede con otras entidades emisoras de certificados sin conexión, como las intermedias sin conexión.

Debido a que estas entidades emisoras de certificados no están conectadas, se necesita un dispositivo de copia de seguridad local (como una unidad de cinta o una unidad de CD o DVD grabable) donde se almacenará el archivo de copia de seguridad. Si utiliza Copia de seguridad de Windows u otro sistema que pueda realizar una copia de seguridad del estado del sistema, puede utilizarlo para hacer la copia directamente en un medio extraíble. Si el sistema de copia de seguridad elegido no realiza una copia de seguridad de estado del sistema de Windows, debe utilizar Copia de seguridad de Windows para copiar la entidad emisora de certificados y el sistema operativo en un archivo y, a continuación, copiarlo en un medio extraíble.

Precaución: si utiliza un HSM, este procedimiento puede hacer una copia de seguridad del material de claves cifradas (según el modo de funcionamiento del HSM), pero las claves copiadas no se podrán utilizar en un equipo restaurado sin un HSM y claves de acceso al HSM idénticos. Siga las instrucciones del proveedor del HSM para proteger el material de claves y las claves de acceso.

Configurar la supervisión y las alertas

La supervisión de servicios permite al personal de operaciones supervisar el estado de un servicio de TI en tiempo real.

En esta sección se describe cómo configurar un conjunto de herramientas de supervisión del sistema para ofrecer el tipo correcto de alertas e información de estado acerca de la PKI. En este documento se supone que utiliza una herramienta de supervisión del sistema como Microsoft Operations Manager (MOM) que pueda generar alertas a partir de las entradas del registro de sucesos. Para obtener más información acerca de la implementación de MOM, consulte la Guía de implementación del SP1 de Microsoft Operations Manager 2000 (en inglés) en la sección Vínculos relacionados.

Clasificar las alertas de supervisión

El sistema de supervisión sólo debe enviar alertas al personal de operaciones para los sucesos más importantes. Si todos los errores menores producen alertas de incidentes, el personal de operaciones puede no llegar a discernir lo que es urgente.

Detalles de la tarea

Las categorías de alerta de la tabla 13 son un ejemplo de niveles de clasificación de alertas comunes y son los valores predeterminados que utiliza MOM. Las categorías de alerta se enumeran en orden descendente de importancia. De ellas, sólo las tres primeras (Servicio no disponible, Infracción de seguridad y Error crítico) deben producir alertas en la consola del operador para su intervención inmediata. Los errores y las advertencias no se consideran urgentes y se deben dirigir al personal de soporte operativo de la PKI para su resolución.

Tabla 13:  Categorías de alerta

Supervisar la disponibilidad del servicio

A excepción de la inscripción de certificados, las entidades emisoras de certificados no proporcionan servicios en línea o en tiempo real directamente a los usuarios. Compare esta situación con aplicaciones como Active Directory o Microsoft SQL Server, que tienen que estar continuamente conectadas para proporcionar un servicio útil. No obstante, se tiene que supervisar la disponibilidad de algunos aspectos de un servicio de PKI para que las aplicaciones de PKI funcionen correctamente.

Para la mayoría de las aplicaciones, los dos primeros elementos son más esenciales que los dos últimos.

Requisitos de seguridad

Administrador de MOM (o sistema de supervisión)

Detalles de la tarea

Los incidentes de la tabla 14 son los más importantes para Servicios de Certificate Server. En esta tabla se describe el significado de cada tipo de incidente y la gravedad de alerta (para la consola administrativa) que debe asignar a dicho suceso. En la tabla 15 se enumeran los métodos para detectar estos incidentes; la mayoría se detectan mediante la secuencia de comandos adjunta a este documento.

La columna Gravedad se relaciona con las categorías de alerta definidas anteriormente en el procedimiento "Clasificar las alertas de supervisión".

Tabla 14:  Evaluar la gravedad de los incidentes de Servicios de Certificate Server

Puede utilizar la secuencia de comandos CAmonitor.vbs para comprobar estas condiciones. Puede obtener la secuencia de comandos de TechNet Script Center (consulte la sección Vínculos relacionados).

La secuencia de comandos escribirá los elementos de suceso en el registro de aplicación de Windows cuando se produzca un error detectado. A continuación, los agentes de MOM u otra solución de supervisión pueden obtener estos sucesos. Tendrá que configurar reglas de filtro para buscar el origen del suceso y los identificadores de suceso que producen las secuencias de comandos tal como se enumeran en la tabla 15. La secuencia de comandos puede enviar mensajes de correo electrónico como respuesta a las condiciones de alerta así como, o en vez de, crear entradas de registro de sucesos.

La secuencia de comandos sólo funcionará en entidades emisoras de certificados con conexión; no es necesario ejecutarla ni aprovechar su ejecución en entidades emisoras sin conexión. Sin embargo, la secuencia de comandos comprueba automáticamente el certificado de entidad emisora de certificados y el estado de CRL de las entidades emisoras principales (y sus principales hasta la entidad emisora raíz). La secuencia de comandos se debe ejecutar en la propia entidad emisora de certificados. No está diseñada para realizar comprobaciones de forma remota.

Importante: la secuencia de comandos requiere CAPICOM 2.0 o posterior instalado en el servidor.

Si se utiliza MOM (u otro sistema de supervisión basado en agentes), la secuencia de comandos la debe ejecutar el agente cliente de MOM. Donde no haya ningún agente de administración que pueda realizar esta operación, utilice Programador de tareas de Windows para ejecutar estas comprobaciones cada hora como mínimo; las alertas se pueden enviar por correo electrónico o puede utilizar una herramienta de supervisión del registro de sucesos.

En la tabla 15 se enumeran los incidentes de la tabla 14, pero esta vez se muestra el suceso de Windows u otro indicador que puede utilizar para detectar cada tipo de incidente. Los identificadores de suceso que genera la secuencia de comandos de supervisión CAMonitor.vbs se muestran en la tabla junto con cada uno de los problemas que detecta la secuencia de comandos.

Tabla 15:  Secuencias de comandos de supervisión de Servicios de Certificate Server

La sintaxis de CAMonitor.vbs es la siguiente:

cscript CAMonitor.vbs {/CAAlive | /CACertOK | /CACRLOK | /KRAOK} [/smtp /smtpserver:MyServer.Dom _ 
    /smtpto:"recip1@co.dom, recip2@co.dom"] [/noeventlog]

El primer parámetro es el tipo de comprobación o comprobaciones que se ejecutarán (como mínimo se requiere una y se pueden utilizar varias simultáneamente). El segundo parámetro especifica que se van a emitir alertas de correo electrónico SMTP. Si se utiliza, se deben especificar los parámetros SMTPServer y SMTPTo. El primero define el nombre de host o la dirección IP del servidor de correo y el último es una lista de destinatarios separados por comas que recibirán el mensaje de correo electrónico. El parámetro final deshabilita la escritura de alertas en el registro de sucesos de Windows.

La secuencia de comandos está diseñada para ser ilustrativa. Es recomendable que la modifique y mejore para que se adapte mejor a sus necesidades. En su forma actual, tiene varias limitaciones.

Configurar la supervisión de la seguridad de la entidad emisora de certificados

Servicios de Certificate Server genera varias entradas de registro (auditoría) de sucesos de seguridad como respuesta a distintos sucesos de seguridad. La mayoría de estas entradas son el resultado de tareas operativas cotidianas. Sin embargo, algunos sucesos indican cambios importantes en la configuración y puede ser necesario investigarlos con más detenimiento. La siguiente tarea operativa, Revisar los registros de auditoría en busca de incidentes de seguridad, utiliza el trabajo preparatorio de este procedimiento y resalta algunos de los sucesos de seguridad más importantes que se deben vigilar.

Requisitos de seguridad

Pertenencia a Auditores de entidad emisora de certificados (para revisar el registro de seguridad)

Cuenta de supervisión de seguridad designada para supervisar mediante MOM (o similar)

Detalles de la tarea

En la tabla 16 se enumeran los sucesos de auditoría que genera Servicios de Certificate Server junto con una clasificación de alerta recomendada (según las categorías definidas en el procedimiento Clasificar las alertas de supervisión). Configure el sistema de configuración para buscar estos sucesos y generar el nivel de alerta adecuado. Por otro lado, si no dispone de un sistema de supervisión de sucesos centralizado, revise los registros de seguridad del servidor de la entidad emisora de certificados periódicamente (lo ideal sería hacerlo cada día) para buscar estos elementos.

La categoría de alerta predeterminada para los sucesos de auditoría Correcto es Información. Cualquier suceso Correcto que se produce como resultado de posibles cambios en la configuración de la seguridad de la entidad emisora de certificados se trata como Advertencia. Todos los sucesos de nivel Advertencia indican sucesos importantes que normalmente no se prevé que se produzcan en las operaciones cotidianas. Todos los sucesos Advertencia deben corresponder a una solicitud de cambio aprobada. Si no existe dicha correspondencia, trate el suceso como una posible infracción de seguridad e investíguelo inmediatamente.

Los eventos de auditoría de errores normalmente no están previstos durante las operaciones cotidianas o durante los cambios estándar en la entidad emisora de certificados. Casi todos ellos son importantes y requieren investigación (aunque esto puede indicar únicamente una asignación de permisos incorrecta en vez de un ataque malintencionado).

Nota: hay pocas excepciones a esta situación, como el suceso 792, "Servicios de Certificate Server ha denegado una petición de certificado". Se generan sucesos de correcto y de error para una petición, que ha denegado legítimamente un administrador de certificados, pero únicamente un suceso de error cuando la denegación de petición la intenta otro usuario sin el permiso suficiente.

Otro conjunto de excepciones a la lista de la tabla 16 se relaciona con las distintas formas en que puede realizar cambios de configuración en la entidad emisora de certificados. Los sucesos 789 ("Cambio del filtro de auditoría") y 795 y 796 ("Cambio de configuración o propiedad de la entidad emisora de certificados") sólo se registrarán si los cambios se realizan mediante el complemento Entidad emisora de certificados de MMC. No se registrarán si algún usuario intenta editar el Registro de la entidad emisora de certificados directamente (o utiliza el comando certutil -setreg) para cambiar los valores de configuración de la entidad emisora.

Si se ha habilitado la auditoría del Registro (como se recomendó en la tarea Habilitar la auditoría de la entidad emisora de certificados), estos cambios se registrarán como simples entradas de auditoría Suceso 560 Acceso de objetos (consulte la última entrada de la tabla 16). La auditoría se debe habilitar para las subclaves de configuración del Registro de la entidad emisora de certificados y registra los cambios correctos y todos los accesos con error. Para realizar un seguimiento de los cambios en las claves del Registro de la entidad emisora de certificados, utilice el parámetro Nombre del objeto del suceso de auditoría junto con el identificador y el tipo de suceso para crear un filtro que genere las alertas correctas.

Además de auditar los sucesos de Servicios de Certificate Server, también debe supervisar y generar alertas de los sucesos de seguridad estándar del sistema operativo, como los sucesos de inicio de sesión, el uso de privilegios y los accesos de objetos. El Registro y la base de datos de la entidad emisora de certificados, así como los directorios de registro, se deben configurar para generar sucesos de auditoría de seguridad para todos los accesos con error y los cambios correctos. Asimismo, considere la posibilidad de establecer la auditoría en el contenedor Servicios de claves públicas (en Configuración\Servicios) y en los grupos de administración de la PKI, aunque se debe tener en cuenta que los sucesos de auditoría generados de un objeto de directorio se registrarán en el registro de sucesos de seguridad del controlador de dominio donde se efectúe el acceso. Es una tarea compleja establecer la correspondencia de estos tipos de sucesos en los controladores de dominio. Si dispone de un medio (como MOM) para consolidar y filtrar estos registros, habilite la auditoría en todos los contenedores y objetos de configuración de PKI de Active Directory, así como en los grupos de administración de PKI.

Nota: la supervisión de la seguridad del sistema operativo Windows en el que se ejecuta la entidad emisora de certificados queda fuera del alcance de este documento y puede incluir el tratamiento de sucesos de seguridad desde agentes especializados en la detección de intrusos. Si alguno de estos orígenes indica una infracción de seguridad, investigue exhaustivamente los sucesos de auditoría de la entidad emisora de certificados junto con la salida de dichos orígenes.

Las categorías de alerta correcta y con error enumeradas en la tabla 16 se relacionan con las categorías de alerta definidas en el procedimiento "Clasificar las alertas de supervisión". Todas las alertas de categoría "Error" y "Advertencia" se deben investigar en un día para garantizar que todas tienen una causa legítima. Los sucesos "Información" no requieren investigación y se conservan como un seguimiento de auditoría de las operaciones de PKI normales. Un reducido número de sucesos de seguridad son especialmente importantes. Éstos se resaltan en el procedimiento de operaciones Revisar los registros de auditoría en busca de incidentes de seguridad.

Tabla 16:  Sucesos de auditoría de Servicios de Certificate Server

Calcular las posibles restricciones de capacidad de la entidad emisora de certificados

La detección de las posibles restricciones de capacidad es fundamental para mantener el servicio en un nivel óptimo. A medida que los subsistemas se aproximan a los límites de sus capacidades operativas, el rendimiento se deteriora considerablemente (normalmente de forma no lineal). Por lo tanto, es importante supervisar las tendencias de capacidad e identificar y tratar las tendencias de restricciones futuras por anticipado.

Requisitos de seguridad

El permiso necesario lo indicará la solución de supervisión de rendimiento que se utilice.

Detalles de la tarea

Los siguientes contadores de rendimiento son los más útiles para identificar las restricciones de capacidad en Servicios de Certificate Server. Los recursos Procesador y Disco son los dos que Servicios de Certificate Server utiliza con más frecuencia y, por lo tanto, probablemente indicarán las restricciones en una fase más temprana que Red o Memoria.

Tabla 17:  Contadores clave de supervisión de capacidad para Servicios de Certificate Server

Para obtener información más general acerca de las restricciones de capacidad y los contadores de rendimiento relacionados, consulte la sección Vínculos relacionados.

También es importante supervisar los indicadores de capacidad en cualquier infraestructura de soporte. Los elementos clave son:

Configurar las alertas del protocolo simple de transferencia de correo (SMTP) para las solicitudes de certificado pendientes

Si tiene algunos tipos de certificado configurados para solicitar la aprobación del administrador de certificados, permanecerán en la cola de la carpeta Peticiones pendientes (del complemento Entidad emisora de certificados de MMC) hasta que la petición se apruebe o deniegue. Puede configurar las alertas de correo electrónico para que se envíen cada vez que una petición se ponga en cola. Las peticiones aprobadas automáticamente no envían alertas de correo electrónico.

Las alertas de correo electrónico también se pueden configurar para otros sucesos de la entidad emisora de certificados. En la ayuda en pantalla de Servicios de Certificate Server se documenta el modo de configurarlos y se incluye una secuencia de comandos de ejemplo detallada en la sección Configurar el "módulo de salida de SMTP" de la Guía de operaciones de PKI de Windows Server 2003 (en inglés) (consulte la sección Vínculos relacionados).

Frecuencia

Tarea de configuración

Requisitos de seguridad

Pertenencia a administradores de entidad emisora de certificados

Detalles de la tarea

Para habilitar las alertas de correo electrónico para las peticiones de certificado pendientes

certutil –f -setreg exit\smtp\SMTPServer mail.contoso.com
certutil –f -setreg exit\smtp\SMTPAuthenticate 0
certutil –f -setreg exit\smtp\eventfilter +EXITEVENT_CERTPENDING

certutil –f -setreg exit\smtp\Pending\To "Admin@contoso.com, PKIOps@contoso.com"
certutil –f -setreg exit\smtp\Pending\From "%COMPUTERNAME%@USERDNSDOMAIN%"
certutil –f -setreg exit\smtp\Pending\titleformat "A certificate is pending on %1"

certutil –f -setreg exit\smtp\Pending\BodyArg +"Request.RequestID"
certutil –f -setreg exit\smtp\Pending\BodyArg +"UPN"
certutil –f -setreg exit\smtp\Pending\BodyArg +"Request.RequesterName"
certutil –f -setreg exit\smtp\Pending\BodyArg +"Request.SubmittedWhen"
certutil –f -setreg exit\smtp\Pending\BodyArg +"Request.DistinguishedName"
certutil –f -setreg exit\smtp\Pending\BodyArg +"CertificateTemplate"
certutil –f -setreg exit\smtp\Pending\BodyArg +"Request.DispositionMessage"
certutil –f -setreg exit\smtp\Pending\BodyArg +"EMail"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Request ID: %1"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"UPN: %2"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Requester Name: %3"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Time submitted: %4"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Distinguished Name: %5"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Certificate Template used: %6"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Request Disposition Message: %7"
Certutil –f -setreg exit\smtp\Pending\BodyFormat +"Requester Email: %8"

Supervisar la caducidad de certificado de los clientes

Normalmente, la supervisión de la caducidad de certificado de clientes individuales no se puede escalar a grandes cantidades. No obstante, debe asegurarse de que no se omiten las renovaciones de certificado. Hay varias opciones disponibles.

Programación de trabajos

La programación de trabajos, en el modelo de proceso MOF, implica la organización de trabajos y procesos en una secuencia eficaz para maximizar el rendimiento y la utilización del sistema. Aquí, el objetivo es similar pero algo más simple. Es importante documentar la programación de todos los trabajos automatizados que se ejecutan en un sistema para poder evitar los conflictos posibles entre los trabajos. Los trabajos se pueden programar mediante Programador de tareas de Windows, agentes de administración u otras aplicaciones y servicios (como detectores de virus).

Programar trabajos en las entidades emisoras de certificados con conexión

Se tiene que ejecutar una serie de tareas repetitivas en las entidades emisoras de certificados para mantener la ejecución sin problemas de la PKI. Están automatizadas para reducir la sobrecarga operativa.

Requisitos de seguridad

Administradores locales en la entidad emisora de certificados

Detalles de la tarea

En la tabla 18 se enumeran los trabajos automatizados que se ejecutan en las entidades emisoras de certificados. Estos trabajos están definidos en tareas en cualquier parte de este documento (se muestran en la columna Tarea de referencia); la tabla sólo es de referencia.

Sólo las entidades emisoras de certificados tienen trabajos automatizados en ejecución. Las entidades emisoras de certificados sin conexión pueden estar apagadas durante largos períodos, por lo que es imposible mantener una programación confiable en este equipo.

Tabla 18:  Lista de trabajos programados en las entidades emisoras de certificados

Principio de la página

Funcionamiento de la PKI

En esta sección se describen las tareas de mantenimiento necesarias para mantener operativa la PKI. Muchas de estas tareas tienen programaciones concretas mientras que otras sólo se realizan cuando es necesario. Las tareas de esta sección corresponden al cuadrante operativo del modelo de proceso de MOF.

Lista de comprobación de tareas operativas

Administración de la seguridad

Supervisar

Administración de la base de datos y la configuración de la entidad emisora de certificados

Administración de la seguridad

La administración de la seguridad abarca tareas relacionadas con los componentes de seguridad de la infraestructura informática.

Habilitar la inscripción (o la inscripción automática) de un tipo de certificado para un usuario o equipo

Esta tarea utiliza los grupos de seguridad de inscripción para permitir la inscripción manual o iniciar la inscripción automática de un tipo de certificado para un usuario, un equipo o un grupo de seguridad que contenga usuarios y/o equipos.

Nota: la inscripción automática también se debe haber habilitado en el GPO de los usuarios o equipos de destino. Para obtener más información, consulte el procedimiento “Establecer la directiva de inscripción automática de los usuarios de dominio” del tema "Ejemplo de implementación de Servicios de Certificate Server: Establecer la inscripción automática para certificados de usuario" en la documentación de Windows Server 2003.

Frecuencia

Según se requiera

Requisitos de seguridad

Modificar los permisos de pertenencia del grupo de inscripción de certificados

Detalles de la tarea

Para habilitar la inscripción o la inscripción automática para un usuario o un equipo

Deshabilitar la inscripción (o la inscripción automática) de un tipo de certificado para un usuario o equipo

La emisión de un certificado a un usuario o un equipo normalmente habilita alguna funcionalidad al titular del certificado; es posible que tenga que revocar esta funcionalidad más adelante.

Frecuencia

Según se requiera

Requisitos de seguridad

Permiso para modificar la pertenencia del grupo de inscripción de certificados

Detalles de la tarea

Para deshabilitar la inscripción o la inscripción automática para un usuario o un equipo

Nota: por cada certificado de usuario que desee deshabilitar, también tendrá que revocar el certificado de dicho usuario. Para revocar un certificado de entidad final, consulte el procedimiento Para revocar un certificado emitido en la documentación de Windows Server 2003.

Comprobar y aprobar las solicitudes de certificado pendientes

Las peticiones de certificado se pueden enviar a las entidades emisoras de certificados en cualquier momento. La mayoría de los certificados se emitirán automáticamente mediante Active Directory como la entidad de registro o mediante un conjunto predefinido de firmas de las entidades de registro designadas. Si ha configurado que cualquier tipo de certificado requiera la aprobación manual de un administrador de certificados, estas peticiones se pondrán en cola hasta que un administrador de certificados las apruebe o las deniegue.

Frecuencia

Diaria

Requisitos de seguridad

Pertenencia a administradores de certificados

Detalles de la tarea

Compruebe diariamente en la carpeta de peticiones si hay alguna en cola. Antes de emitir un certificado, compruebe la petición atentamente para verificar el solicitante y el contenido de la petición. Compruebe que el nombre del sujeto, el nombre alternativo del sujeto, los usos de claves, las directivas y las extensiones son las esperadas. Si tiene dudas, no apruebe la petición.

También puede configurar la entidad emisora de certificados para enviar alertas de correo electrónico para diferentes sucesos. Uno de ellos es la llegada de una petición pendiente. Consulte el procedimiento Configurar las alertas del protocolo simple de transferencia de correo (SMTP) para las solicitudes de certificado pendientes.

Para comprobar las peticiones pendientes

Revocar un certificado de entidad final

Puede ser necesario revocar un certificado por varios motivos, como por ejemplo:

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia a administradores de certificados en la entidad emisora de certificados

Detalles de la tarea

Consulte Para revocar un certificado emitido en la documentación de Windows Server 2003 el procedimiento utilizado para revocar un certificado de entidad final (es decir, un certificado no emitido a una entidad emisora de certificados). Para revocar un certificado de entidad emisora de certificados, siga los procedimientos de la sección Tareas de soporte.

Precaución: evite el código de motivo de revocación Posesión de certificado. Aunque es tentador pensar que un certificado se puede restablecer más adelante, resulta más sencillo y menos confuso revocar permanentemente un certificado y, después, emitir uno nuevo.

Si intenta revocar un certificado que ya no existe en la base de datos de certificados, consulte la tarea de Revocar un certificado huérfano. Si tiene una base de datos de entidad emisora de certificados grande, el rendimiento del complemento Entidad emisora de certificados de MMC puede ser deficiente, lo que ralentiza la búsqueda del certificado para revocar. En este caso, normalmente es más rápido utilizar certutil.exe para realizar la revocación.

Recuperar una clave privada archivada

Las claves privadas de los certificados de cifrado se pueden archivar en la base de datos de la entidad emisora de certificados. El archivo de claves se habilita para un determinado tipo de certificado si se selecciona una opción en la plantilla de certificado. Si un usuario pierde el acceso a su clave privada y la misma se ha archivado, puede recuperarla y devolvérsela como un archivo PKCS#12 protegido con contraseña.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia a administradores de entidad emisora de certificados para extraer la clave archivada de la base de datos de la entidad emisora y posesión del certificado KRA (y clave privada) para descifrar la clave archivada.

Detalles de la tarea

Para obtener procedimientos detallados acerca de cómo recuperar claves privadas archivadas mediante la línea de comandos y la herramienta Recuperación de clave, consulte Archivo y administración de claves en Windows Server 2003 (en inglés) en la sección Vínculos relacionados.

Importante: como medida de protección frente a abusos, debe separar las responsabilidades de extraer la clave cifrada de la base de datos y de descifrar la clave extraída.

El proceso de recuperación de clave no fuerza el modo en que la clave se restaura al usuario. Por ejemplo, aunque la plantilla de certificado de la clave original forzara el almacenamiento de claves en una tarjeta inteligente, no hay un medio similar para impedir que el archivo PKCS#12 recuperado se restaure en un almacén de claves CryptoAPI de software. Para impedir la reducción accidental de la seguridad de claves, puede que tenga que adoptar un proceso manual para claves de mayor garantía. Por ejemplo, las claves recuperadas se pueden enviar a un agente de confianza del que los usuarios obtienen sus tarjetas inteligentes y, de ese modo, es posible restaurar las claves y destruir el archivo PKCS#12.

Renovar un certificado de entidad emisora de certificados

Debe renovar los certificados de entidad emisora de certificados periódicamente para permitir que las entidades finales (y las entidades emisoras subordinadas, si las hubiera) sigan inscribiendo certificados con esta entidad emisora. Los certificados que emite una entidad emisora de certificados y sus subordinadas no pueden tener una fecha de caducidad posterior a la fecha de caducidad de este certificado de entidad emisora. Hay otros motivos para renovar el certificado de entidad emisora de certificados antes de su fecha de renovación normal. Los motivos más habituales para hacer esto en una entidad emisora de certificados con conexión son:

Siempre debe cambiar la clave de la entidad emisora de certificados en cada renovación.

Frecuencia

Cada ocho años para la entidad emisora de certificados raíz

Cada cuatro años para las entidades emisoras de certificados intermedias

Cada dos años para las entidades emisoras de certificados (si va a renovar para dividir la CRL, puede decidir hacerlo con más frecuencia, por ejemplo, cada año o cada seis meses)

Requisitos de seguridad

Pertenencia a administradores locales en la entidad emisora de certificados que se va a renovar, pertenencia a administradores de certificados en la entidad emisora principal (sólo para entidades emisoras e intermedias), pertenencia a administradores de PKI de empresa en el dominio

Detalles de la tarea

Cada nivel de la jerarquía de la entidad emisora de certificados tiene una duración de certificado de entidad emisora que es el doble del nivel que está debajo de él; en el escenario de MSA, la raíz es válida durante 16 años, la intermedia durante ocho y las entidades emisoras de certificados durante cuatro años. Cada entidad emisora se renueva después de transcurrida la mitad de su duración. Esto se muestra en la figura 1. Si las entidades emisoras de certificados no se renuevan a la mitad de su período de validez, se limita la validez máxima de los certificados que ellas y sus subordinadas puedan emitir.

Figura 1:  Jerarquía de niveles de entidades emisoras de certificados

Tal como se muestra en la figura 1, si no se renueva el certificado (Certificado 2) de la entidad emisora (CA111), no puede emitir un certificado de entidad final (Certificado de EF 2 en el año 5) durante un período de dos años completos. En su lugar, sólo podrá emitir certificados válidos hasta la fecha de caducidad del certificado de entidad emisora Certificado 2 (año 6). La renovación del certificado de entidad emisora (Certificado 3) permite que emita certificados de duración completa a los usuarios. También debe observar que en la figura 1 los puntos de renovación de cada nivel de la jerarquía de entidades emisoras están alineados; de este modo se facilita la administración de las tareas de renovación.

La lista de tareas de renovación de las entidades emisoras de certificados de su organización se parecerá a la de la tabla 19.

Tabla 19:  Lista de tareas de renovación

El procedimiento para renovar un certificado de entidad emisora de certificados raíz se describe en el artículo "Renovar una entidad emisora de certificados raíz" en la documentación de Servicios de Certificate Server de Windows Server 2003 en la sección Vínculos relacionados. También se debe realizar una serie de tareas complementarias durante la renovación de la entidad emisora de certificados.

Figura 2:  Interacciones de la entidad emisora raíz y otros sistemas durante una renovación de entidad emisora de certificados raíz

Para renovar una entidad emisora de certificados raíz

El procedimiento para renovar un certificado de entidad emisora de certificados intermedia se describe en el artículo "Renovar una entidad emisora de certificados subordinada" de la documentación de Servicios de Certificate Server en la sección Vínculos relacionados (siga la opción "Si la entidad emisora de certificados no está disponible con conexión").

Figura 3:  Interacciones durante la renovación de una entidad emisora de certificados intermedia

Para renovar una entidad emisora de certificados intermedia

El procedimiento para renovar un certificado de entidad emisora de certificados se describe en el artículo "Renovar una entidad emisora de certificados subordinada" de la documentación de Servicios de Certificate Server (siga la opción "Si la entidad emisora de certificados no está disponible con conexión"). Las interacciones durante la renovación de una entidad emisora se muestran en la figura 4.

Figura 4:  Renovar una entidad emisora de certificados

Sólo se muestran las interacciones con una entidad emisora de certificados. Estos flujos se repiten para cada entidad emisora de certificados.

Durante la renovación de una entidad emisora de certificados con conexión, su certificado y sus CRL se publican automáticamente en el directorio. Se supone que la entidad emisora de certificados es una entidad emisora de empresa (las independientes no publican necesariamente en el directorio de forma automática). Debe haber configurado las entidades emisoras para publicar automáticamente CRL en el servidor Web en el procedimiento "Configurar la entidad emisora de certificados para publicar CRL en un servidor Web". La única tarea manual necesaria es publicar el certificado de entidad emisora en el servidor Web.

Para todas las entidades emisoras de certificados debe hacer una copia de seguridad de las bases de datos de entidades emisoras una vez terminado todo el ciclo de renovación.

Publicar los certificados de entidad emisora de certificados raíz sin conexión

Debe publicar el certificado de una entidad emisora de certificados raíz sin conexión en:

En este procedimiento se supone que la entidad emisora de certificados se ha configurado con una ubicación AIA correspondiente al punto de publicación del servidor Web. Para obtener información acerca de cómo se configura, consulte Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés) y la guía de generación de Servicios de Certificate Server del Kit de implementación de Microsoft Systems Architecture versión 2.0 (en inglés) en la sección Vínculos relacionados.

Frecuencia

Estos procedimientos sólo son necesarios como parte de la renovación de la entidad emisora de certificados raíz (consulte Renovar un certificado de entidad emisora de certificados).

Requisitos de seguridad

Pertenencia a administradores locales en las entidades emisoras de certificados y editores de PKI de empresa

Detalles de la tarea

Para publicar el certificado de entidad emisora de certificados raíz sin conexión en Active Directory

Copy %systemroot%\system32\certsrv\certenroll\*.crt d:\path

For %i in (d:\path\*.crt) do Certutil –f –dspublish %i RootCA

For %i in (d:\path\*.crt) do certutil –f –addstore Root %i

copy d:\path\*.crt \\WebServerName\WWWPKIpub

Publicar los certificados de entidad emisora de certificados intermedia en el servidor Web

Debe publicar manualmente el certificado de una entidad emisora de certificados intermedia sin conexión en el punto de publicación AIA del servidor Web para que los usuarios de certificado puedan obtener el certificado de entidad emisora raíz con el fin de ayudarles a crear la cadena. Las entidades emisoras de certificados de empresa publican automáticamente sus entidades emisoras en el directorio.

En este procedimiento se supone que la entidad emisora de certificados se ha configurado con una ubicación AIA correspondiente al punto de publicación del servidor Web. Para obtener información acerca de cómo se configura, consulte Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés) y la guía de generación de Servicios de Certificate Server del Kit de implementación de Microsoft Systems Architecture versión 2.0 (en inglés) en la sección Vínculos relacionados.

Frecuencia

Estos procedimientos sólo son necesarios como parte de la renovación de la entidad emisora de certificados (consulte Renovar un certificado de entidad emisora de certificados).

Requisitos de seguridad

Pertenencia a administradores locales en las entidades emisoras de certificados y editores de PKI de empresa

Detalles de la tarea

Para publicar el certificado de entidad emisora de certificados en el servidor Web

Copy %systemroot%\system32\certsrv\certenroll\*.crt d:\path

copy d:\path\*.crt \\WebServerName\WWWPKIpub

Publicar los certificados de entidad emisora de certificados en el servidor Web

Los certificados de entidad emisora se deben publicar en la ubicación AIA de HTTP (protocolo de transferencia de hipertexto) de modo que los usuarios de certificado (en concreto los clientes que no sean de dominio) puedan generar una cadena de confianza desde los certificados de entidad final hasta una entidad emisora de certificados raíz de confianza.

En este procedimiento se supone que la entidad emisora de certificados se ha emitido con una ubicación CDP correspondiente al punto de publicación del servidor Web. Para obtener información acerca de cómo se configura, consulte Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés) y la guía de generación de Servicios de Certificate Server del Kit de implementación de Microsoft Systems Architecture versión 2.0 (en inglés) en la secciónVínculos relacionados.

Frecuencia

Esta tarea se produce cada dos años para las entidades emisoras de certificados pero sólo se tiene que realizar como parte de la renovación del certificado de dicha entidad (consulte Renovar un certificado de entidad emisora de certificados).

Requisitos de seguridad

Pertenencia a editores PKI de empresa

Detalles de la tarea

El certificado de entidad emisora de certificados se actualiza con muy poca frecuencia, por lo que la publicación en el AIA siempre que se renueva dicho certificado no resulta muy molesta.

Para publicar el certificado de la entidad emisora de certificados en el servidor Web

Copy %systemroot%\system32\certsrv\certenroll\*.crt \\WebServerName\WWWPKIpub

Publicar las CRL de una entidad emisora de certificados sin conexión en el servidor Web

Debe publicar la CRL de una entidad emisora de certificados sin conexión en una ubicación Web para que los usuarios de certificado puedan comprobar el estado de revocación de toda la cadena de la entidad emisora. Una entidad emisora de certificados puede publicar dos o más CRL según el número de veces que se haya renovado el certificado de dicha entidad. Debe publicar todas las CRL actuales.

En este procedimiento se supone que la entidad emisora de certificados se ha emitido con una ubicación CDP correspondiente al punto de publicación del servidor Web. Para obtener información acerca de cómo se configura, consulte Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés) y la guía de generación de Servicios de Certificate Server del Kit de implementación de Microsoft Systems Architecture versión 2.0 (en inglés) en la sección Vínculos relacionados.

Frecuencia

Cada seis meses para la entidad emisora de certificados raíz; cada tres meses para una intermedia

Requisitos de seguridad

Pertenencia a administradores locales en la entidad emisora de certificados y editores de PKI de empresa

Detalles de la tarea

Para publicar una CRL sin conexión en Active Directory

Copy %systemroot%\system32\certsrv\certenroll\*.crl d:\path

copy d:\path\*.crl \\WebServerName\WWWPKIpub

Publicar las CRL de la entidad emisora de certificados raíz en las entidades emisoras intermedias sin conexión

Este procedimiento es necesario para las versiones de Windows Server 2003 anteriores a Service Pack, donde haya optado por deshabilitar la comprobación de revocación en la entidad emisora de documentos (consulte Deshabilitar la comprobación de revocación en las entidades emisoras de certificados intermedias).

Debe publicar la CRL de la entidad emisora de certificados raíz en los almacenes de certificados locales de cada entidad emisora subordinada sin conexión. Debido a que estas entidades emisoras están sin conexión, no pueden tener acceso a las ubicaciones CDP publicadas para la entidad emisora raíz y no podrán verificar el estado de revocación de sus propios certificados. Esto impedirá que se inicien.

Frecuencia

Cada seis meses (cada vez que se publique una nueva CRL desde la entidad emisora de certificados raíz)

Requisitos de seguridad

Pertenencia a administradores locales en las entidades emisoras de certificados raíz e intermedias

Detalles de la tarea

Para publicar la CRL de la entidad emisora de certificados raíz en Active Directory

Copy %systemroot%\system32\certsrv\certenroll\*.crl d:\path

For %i in (d:\path\*.crl) do certutil –addstore –f Root %i

Forzar la emisión de una CRL sin conexión

Las CRL de una entidad emisora de certificados de empresa se emiten y publican automáticamente; normalmente no es necesario forzar la emisión de una CRL conexión. Sin embargo, esto puede ser necesario cuando se ha producido una revocación crítica (por ejemplo, todos los certificados emitidos por la entidad emisora de certificados) y es necesario publicar una nueva CRL con el mínimo retardo posible.

Nota: no es posible publicar una nueva CRL en los clientes ya que conservarán sus copias en caché existentes hasta que estas CRL caduquen. Sin embargo, al forzar la publicación de una nueva CRL se garantiza que cualquier cliente que solicite una CRL, a partir de este punto, recibirá la nueva CRL (sin tener en cuenta los retardos de propagación).

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia a administradores locales en la entidad emisora de certificados

Detalles de la tarea

Para emitir y publicar la CRL de la entidad emisora de certificados sin conexión en Active Directory

Supervisar

Esta sección contiene procedimientos necesarios para supervisar la PKI. Estos procedimientos describen tareas programadas especiales, como la ejecución de una auditoría, en vez de instrucciones acerca de cómo efectuar la supervisión operativa continua de condiciones de alerta y error. Se supone la supervisión continua del estado y el rendimiento de la PKI.

Revisar los registros de auditoría en busca de incidentes de seguridad

Debe revisar los registros de auditoría de las entidades emisoras de certificados periódicamente, en concreto de las entidades emisoras con conexión. Los sucesos registrados que no reflejen los registros de lo que debe haber sucedido en las entidades emisoras de certificados pueden indicar un problema de seguridad.

Frecuencia

Cada semana para las entidades emisoras de certificados con conexión; cada tres meses para las entidades emisoras sin conexión

Requisitos de seguridad

Pertenencia a auditores de entidad emisora de certificados en las entidades emisoras

Detalles de la tarea

Busque en el registro de sucesos de seguridad de cada entidad emisora de certificados cualquier suceso importante para comprobar la existencia de sucesos imprevistos. Algunos de los elementos clave que se deben vigilar se enumeran en la tabla 20 (para obtener una lista completa de los sucesos de seguridad que genera Servicios de Certificate Server, consulte Configurar la supervisión de la seguridad de la entidad emisora de certificados y la Guía de operaciones de PKI de Windows Server 2003 (en inglés) para obtener más información acerca de dichos sucesos).

Tabla 20:  Sucesos de seguridad importantes

Cualquier entrada que no coincida con los registros de control de cambios se debe investigar inmediatamente. Investigue los sucesos de error así como los correctos ya que pueden indicar un intento de poner en peligro la seguridad. Puede optar por la creación de alertas que se activen por algunos de estos sucesos para que se indiquen en las consolas de supervisión de operaciones. Por ejemplo, si no tiene previsto cambiar la directiva de auditoría de la entidad emisora de certificados si todo va con normalidad, puede configurar el sistema de supervisión operativa para que genere una alerta si el identificador de suceso 780 se registra alguna vez en una entidad emisora.

Auditar la PKI

Debe llevar a cabo una auditoría periódica de la PKI para garantizar que funciona del modo previsto. Aunque la tarea anterior, Revisar los registros de auditoría en busca de incidentes de seguridad, puede formar parte de esta auditoría, no se deben confundir ambas. Una auditoría está pensada para confirmar que un sistema funciona según la directiva y las directrices que cubren dicho sistema y para descubrir cualquier caso de incumplimiento de la directiva.

No obstante, esta tarea no está pensada para cubrir requisitos de auditoría legales o normativos. Si tiene que atenerse a estándares de auditoría externos, debe consultar a su auditor u otro profesional cualificado para obtener consejo.

Frecuencia

Cada año (la frecuencia puede variar según los requisitos normativos, los estándares específicos de la organización y otros factores)

Requisitos de seguridad

Puede requerir la pertenencia a auditores de entidad emisora de certificados y a administradores locales en las entidades emisoras y a administradores de PKI de empresa en el dominio

Detalles de la tarea

La auditoría de los sistemas de seguridad de la información es una disciplina especializada y en este documento no se puede tratar en profundidad. Sin embargo, en la siguiente lista se detallan algunas cuestiones que una auditoría de PKI debe incluir.

Revisar los datos de rendimiento y capacidad

Las tendencias de capacidad se deben comprobar periódicamente para garantizar que una entidad emisora de certificados tiene recursos suficientes. Esto sólo es importante para entidades emisoras de certificados y, en concreto, para entidades emisoras que se utilizan exhaustivamente.

Frecuencia

Cada año

Requisitos de seguridad

Pertenencia a administradores locales en las entidades emisoras de certificados

Detalles de la tarea

Aunque las alertas de supervisión operativa deben advertirle si se están alcanzando los límites de capacidad de un recurso, como espacio en disco o memoria, con frecuencia no se reciben suficientes advertencias de ellas para planear correctamente las necesidades de capacidad. Por lo tanto, debe revisar periódicamente las tendencias de capacidad de la entidad emisora de certificados. La descripción en profundidad del diseño de la capacidad queda fuera del alcance de este documento. Si dispone de un experto en diseño de la capacidad en su organización, debe utilizarlo como ayuda para administrar las necesidades de recursos de las entidades emisoras de certificados.

Las siguientes directrices le resultarán útiles.

Administración de la base de datos y la configuración de la entidad emisora de certificados

En esta sección se tratan las tareas de administración del almacenamiento, como la realización de copias de seguridad, la prueba de copias de seguridad y el archivo de registros.

Realizar copias de seguridad de una entidad emisora de certificados sin conexión

El propósito de esta tarea es crear copias de seguridad de las claves privadas y los certificados de la entidad emisora de certificados, la base de datos de certificados y la información de configuración de Servicios de Certificate Server. La información de configuración de Servicios de Certificate Server incluye la configuración del sistema operativo y otra información de estado de la que depende la entidad emisora de certificados.

Frecuencia

Cada vez que se emita un nuevo certificado (entidad emisora de certificados subordinada) o se revoque

Requisitos de seguridad

Pertenencia a operadores de copia de la entidad emisora de certificados

Detalles de la tarea

Una entidad emisora de certificados sin conexión normalmente sólo emite unos pocos certificados, por lo que el tamaño de los datos nunca será grande. Asimismo, los datos cambian con muy poca frecuencia, posiblemente sólo una vez cada varios años. Una entidad emisora de certificados sin conexión también requiere algún dispositivo de copia de seguridad local, como una unidad de cinta o una entidad emisora en la que se pueda escribir.

Precaución: si utiliza un HSM, este procedimiento puede hacer una copia de seguridad del material de claves cifradas (según el modo de funcionamiento del HSM), pero las claves copiadas no se podrán utilizar en un equipo restaurado sin un HSM y claves de acceso al HSM idénticos. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad y proteger el material de claves y las claves de acceso.

Para hacer una copia de seguridad de una entidad emisora de certificados sin conexión

ntbackup backup systemstate /R:yes /F C:\CABackup\CABackup.bkf /J "CA Full Backup" /L:s /V:yes

ntbackup backup systemstate /R:yes /t "CA Backup /J "CA Full Backup" /L:s /V:yes

Precaución: estos datos de copia de seguridad son extremadamente confidenciales porque contienen el material de claves privadas de la propia entidad emisora de certificados (si no utiliza un HSM). Debe transportarlos y almacenarlos con el mismo cuidado y seguridad que la entidad emisora de certificados. Almacene los datos de la copia de seguridad en un sitio físico distinto al de la entidad emisora de certificados. De este modo podrá recuperar la entidad emisora si se destruyen todos los equipos informáticos del sitio o no se puede tener acceso a ellos.

Realizar copias de seguridad de las claves y certificados de la entidad emisora de certificados

Se debe hacer una copia de seguridad de los certificados y las claves de la entidad emisora de certificados independientemente de la base de datos de certificados así como de ésta. Las claves privadas y los certificados de la entidad emisora de certificados pueden ser necesarios para firmar una CRL si se produce un error en el servidor de la entidad emisora y no se puede recuperar con el tiempo suficiente.

Frecuencia

Anualmente o cada vez que se renueve el certificado de entidad emisora de certificados, lo que se produzca en primer lugar

Requisitos de seguridad

Pertenencia a operadores de copia de la entidad emisora de certificados

Detalles de la tarea

Las claves y los certificados de la entidad emisora de certificados sólo ocupan unos pocos kilobytes de almacenamiento y, por lo tanto, se pueden guardar en un disco. Esta tarea se aplica a la entidad emisora de certificados raíz y a todas las intermedias y emisoras de la organización. Si va a hacer una copia de seguridad de las claves en un medio de almacenamiento de larga duración como un CD o DVD, no tiene que hacerla anualmente. Si utiliza un medio magnético, como disquetes o cintas, debe hacer una copia de seguridad de las claves y los certificados anualmente así como después de una renovación del certificado de entidad emisora de certificados. La señal grabada en medios magnéticos se deteriora con el tiempo, en concreto si se exponen a campos eléctricos. Aunque pueden pasar muchos años antes de que se deterioren hasta el punto de ser ilegibles, es mejor ser precavido.

Precaución: si utiliza un HSM, este procedimiento no funciona del modo indicado. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad y proteger el material de claves y las claves de acceso.

Para exportar los certificados y las claves a un disco

certutil -backupKey -p Password TargetFolder

Probar las copias de seguridad de la base de datos de la entidad emisora de certificados

Este procedimiento prueba las copias de seguridad de la entidad emisora de certificados para garantizar que el proceso y la tecnología de copia de seguridad funcionan correctamente. Sólo debe restaurar una entidad emisora de certificados en un equipo que sea de la misma confianza que la entidad emisora. Por ejemplo, no restaure una entidad emisora de certificados sin conexión en un equipo con conexión. El equipo utilizado para la restauración de prueba debe ser físicamente seguro y, lo que sería ideal, permanentemente sin conexión.

Frecuencia

Antes de que la entidad emisora de certificados sea operativa; después, cada tres meses para las entidades emisoras con conexión y una vez para las entidades emisoras sin conexión. Vuelva a realizar la prueba siempre que se produzca un cambio en la tecnología o el proceso de copia de seguridad.

Requisitos de seguridad

Pertenencia a administradores locales u operadores de copia en el equipo de prueba

Detalles de la tarea

Debe restaurar la copia de seguridad de estado del sistema en un sistema con un diseño de discos idéntico. Por ejemplo, Windows se debe instalar en la misma ruta de acceso de directorio que el sistema del que se ha hecho la copia de seguridad y con el mismo diseño de unidades para almacenar los archivos de Windows, como los archivos de paginación. La base de datos y los registros de la entidad emisora de certificados deben ser los mismos que la entidad emisora original de la que se ha hecho la copia de seguridad.

Advertencia: el servidor de prueba restaurado debe permanecer sin conexión desde el momento en que se inicie la restauración del estado del sistema. De este modo se impide que las claves de la entidad emisora de certificados restaurada se expongan innecesariamente y, además, se evita que se produzcan conflictos de nombres y direcciones IP duplicados entre el servidor de prueba y el original. Una entidad emisora de certificados sin conexión nunca se debe probar o restaurar en un servidor con conexión.

Importante: si utiliza un HSM, este procedimiento no será suficiente para restaurar la entidad emisora de certificados por completo. Según el funcionamiento del HSM, el equipo restaurado no se podrá utilizar sin un HSM y claves de acceso de HSM idénticos. Puede ser suficiente para una prueba normal, pero debe realizar periódicamente una restauración completa con recuperación de HSM para garantizar que los procedimientos y la tecnología de copia de seguridad funcionan correctamente. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad, restaurar y proteger el material de claves y las claves de acceso.

Para restaurar la entidad emisora de certificados

Importante: si decide eliminar únicamente las claves (en vez de limpiar el servidor), ejecute el comando cipher para borrar las partes no asignadas del disco.

Cipher /W:%AllUsersProfile%

Debe ser miembro del grupo Administradores local para realizar esta operación. Se utiliza la ruta de acceso %allusersprofile% para que el comando cipher funcione en la unidad que contiene el material de claves. No tiene que realizar esta operación si utiliza HSM.

Probar las copias de seguridad de las claves de la entidad emisora de certificados

Compruebe las copias de seguridad de las claves de la entidad emisora de certificados para asegurarse de que son válidas, en caso de que se necesiten alguna vez.

Frecuencia

Cada seis meses para las entidades emisoras de certificados; cada año para las entidades emisoras sin conexión

Requisitos de seguridad

Pertenencia a administradores locales en el equipo de prueba

Detalles de la tarea

Puede instalar las claves y los certificados de la entidad emisora de certificados en cualquier sistema (aunque, debido a la naturaleza extremadamente confidencial de estas claves, se debe realizar en un sistema físicamente seguro y sin conexión). Para garantizar que todos los rastros del material de claves se quitan del equipo, cree una cuenta de usuario local independiente y temporal en el equipo dedicado a este propósito.

Precaución: si utiliza un HSM, este procedimiento no funcionará. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad, restaurar y proteger el material de claves y las claves de acceso.

Para restaurar las claves de la entidad emisora de certificados

Repita este proceso para cada clave y certificado de la entidad emisora de certificados actual.

Para probar las claves restauradas

Certutil -sign CRLFileName.crl NewCRL.crl
Certutil -sign CertFileName.cer NewCertFile.cer

C:\>certutil -sign "Contoso Issuing CA 111.crl" "Contoso Issuing CA 111xxs.crl"
ThisUpdate: 2/10/2003 10:52 PM
NextUpdate: 2/25/2003 3:11 PM
CRL Entries: 0
Signing certificate Subject:
CN=Contoso Issuing CA 111
DC=contoso, DC=com
Output Length = 970
CertUtil: -sign command completed successfully.

Repita este proceso para cada clave y certificado de entidad emisora de certificados que vaya a probar, mediante una CRL o un certificado firmado por dicha clave.

Debe limpiar las claves del sistema de prueba.

Para limpiar las claves del sistema

Cipher /W:%AllUsersProfile%

Nota: al especificar %allusersprofile% como la ruta de acceso, se garantiza que el comando cipher.exe funciona en la unidad que contiene los perfiles de usuario. Borra toda la unidad, no sólo la ruta de acceso indicada.

Archivar los datos de auditoría de seguridad de una entidad emisora de certificados

Archive y almacene los registros de auditoría para cumplir los requisitos legales o normativos, o bien para cumplir la directiva de seguridad interna. Si dispone de un sistema de consolidación de sucesos de auditoría, como MOM o Windows Audit Collection System, ya tiene el medio para recopilar y archivar automáticamente los registros de auditoría. Para obtener información acerca de cómo configurar el sistema para hacerlo, consulte la documentación.

Frecuencia

Mensualmente en la entidad emisora de certificados; cada seis meses en las entidades emisoras raíz e intermedias

Requisitos de seguridad

Pertenencia a auditores de entidad emisora de certificados y administradores locales en la entidad emisora

Detalles de la tarea

Para archivar el registro de sucesos de seguridad

Principio de la página

Planear y optimizar la capacidad

La administración de la capacidad es el proceso de diseño, cuantificación y control de la capacidad de la solución de servicio, para que la demanda del usuario se satisfaga dentro de los niveles de rendimiento acordados. Las tareas de esta sección corresponden al cuadrante de optimización del modelo de proceso de MOF.

Determinar la carga máxima en la entidad emisora de certificados

En esta sección se proporciona información acerca de cómo calcular la carga máxima probable en las entidades emisoras de certificados.

Aunque las entidades emisoras de certificados normalmente no tienen una carga alta, hay ocasiones en que las cargas pueden aumentar considerablemente. La mayor carga en una entidad emisora de certificados normalmente se produce en el momento de máximo uso de inicio de sesión o inicio durante la implementación de un nuevo tipo de certificado. De la misma forma, aunque con mucha menos frecuencia, si ha habido una revocación de certificados masiva o una revocación de certificado de entidad emisora de certificados, los usuarios y los equipos que se vuelvan a inscribir provocarán un uso máximo anómalo.

Detalles de la tarea

Las pruebas internas de Microsoft han mostrado que, para una entidad emisora de certificados de empresa típica, el cuello de botella de rendimiento en los momentos de carga alta se debe a la interacción con Active Directory. La tarea de firmar y emitir certificados es relativamente ligera en comparación con la sobrecarga de realizar búsquedas en el directorio para recuperar información de sujetos de certificado y, a continuación, publicar posiblemente el certificado en Active Directory.

En un escenario típico de carga máxima, se ha habilitado un nuevo tipo de certificado y todos los usuarios y equipos tienen que inscribir certificados de este tipo.

Esto da como resultado un tiempo de inscripción mínimo total de 11 minutos para 10.000 usuarios y 10.000 equipos.

Importante: si el certificado que se está emitiendo también se publica en el directorio (no es el comportamiento predeterminado y normalmente se requiere para los certificados de cifrado de correo electrónico), la velocidad de emisión máxima desciende a 15 certificados por segundo, lo que duplica el tiempo total de inscripción para dicho tipo de certificado.

Puede determinar cuál podrá ser la carga máxima de inscripción para su organización mediante estas cifras y, a continuación, calcular la duración total de inscripción. Si el tiempo es inaceptablemente largo y no puede escalonar la inscripción en modo alguno, considere la posibilidad de implementar entidades emisoras de certificados adicionales para distribuir la carga. Se deben implementar como sitios de Active Directory independientes para que utilicen controladores de dominio independientes.

Determinar los requisitos de almacenamiento y copia de seguridad para una entidad emisora de certificados

Esta tarea permite calcular los requisitos de almacenamiento futuros para el almacenamiento en discos en línea y copia de seguridad sin conexión. Para instalaciones grandes, proporcionar almacenamiento con el tamaño y el rendimiento adecuados supone el mayor reto de administración de capacidad para las entidades emisoras de certificados de Windows.

Detalles de la tarea

Las cifras de capacidad indicadas en esta tarea se basan en los siguientes supuestos.

En la tabla 21 se muestran las cifras de capacidad previstas para el mismo tamaño de organización. Algunas de las cifras máximas representan el peor de los casos, o casi, en el que todos los usuarios se inscriben automáticamente en un único tipo de certificado en un solo día. Puede reducir estos picos si distribuye la inscripción de certificados en un período mayor.

Tabla 21:  Cifras de capacidad para almacenamiento y copia de seguridad

El tamaño de la base de datos de la entidad emisora de certificados y el de los registros de base de datos ofrecen una guía para el almacenamiento necesario para las copias de seguridad completas y diferenciales. En la tarea Configurar la copia de seguridad de la base de datos de la entidad emisora de certificados se proporcionan cálculos de ejemplo del tiempo necesario para hacer la copia de seguridad.

Principio de la página

Administrar el cambio y la configuración

Es importante administrar el cambio de la infraestructura de TI. Administrar el cambio significa seguir un ciclo controlado de diseño y preparación, documentación y, finalmente, publicación del cambio. Seguir este ciclo ayuda a minimizar las consecuencias imprevistas de un cambio en el entorno y, además, permite invertir el cambio más fácilmente si tiene que hacerlo. Grabar los cambios que realice en la PKI en una base de datos de administración de configuración ayuda a mantener el entorno en un estado conocido.

En esta sección son importantes tres funciones. Se definen con más detalle en la documentación del modelo de MOF correspondiente al cuadrante de cambios.

Administración de cambios y de versiones

Administración de cambios

La administración de cambios resulta fundamental para el funcionamiento sin problemas del entorno de TI. Un cambio normalmente se define como algo que modificará el entorno de TI de un modo sustancial; por ejemplo, la implementación de un nuevo tipo de certificado, la actualización de un sistema operativo o la retirada de una entidad emisora de certificados. Por otro lado, una operación como la realización de una copia de seguridad programada, aunque técnicamente cambia el entorno, normalmente no se considera un cambio según estos términos. Otros elementos resultan más controvertidos: agregar una cuenta de usuario al dominio se puede considerar una operación rutinaria, pero conceder privilegios administrativos a una cuenta con toda probabilidad debe pasar por un proceso de administración de cambios.

Un objetivo clave del proceso de administración de cambios es garantizar que todas las partes afectadas por un determinado cambio sean conscientes del efecto del cambio inminente y lo comprendan. Como los sistemas de TI están fuertemente interrelacionados, cualesquiera cambios que experimente una parte de un sistema pueden tener un profundo impacto sobre otros. Con el fin de mitigar o eliminar los efectos adversos, la administración de cambios intenta identificar todos los sistemas y procesos afectados antes de que se implemente el cambio. Normalmente, el entorno de “destino” o administrado es el entorno de producción, pero también debería incluir a los entornos clave de integración, de prueba y de ensayo.

Todos los cambios de la PKI deben seguir el proceso de administración de cambios de MOF estándar del siguiente modo:

Administración de versiones

El principal interés de la administración de versiones es facilitar la introducción de versiones de software y hardware en entornos administrados de TI. Normalmente, incluye el entorno de producción y los entornos administrados previos a la producción. La administración de versiones es el punto de coordinación entre el desarrollo de la versión y equipo del proyecto, y los grupos de operaciones responsables de la implementación de la versión para la producción.

La administración de versiones es responsable de lo siguiente:

Cambios importantes para una PKI

A continuación se ofrecen algunos de los cambios que pueden ser necesarios realizar en la PKI y que deben estar sujetos a los procesos formales de administración de cambios y de versiones. Tenga en cuenta que no se trata de una lista exhaustiva.

Administración de la configuración

La administración de la configuración es la identificación, el registro, el seguimiento y el informe de los componentes o activos de TI clave denominados elementos de configuración (CI). La información obtenida y registrada dependerá del elemento de configuración específico pero, con frecuencia, incluirá una descripción del mismo, la versión, los componentes constituyentes, las relaciones con otros elementos de configuración, la ubicación o asignación, y el estado actual.

La administración de la configuración de la PKI se puede agrupar en cinco áreas principales.

En las siguientes secciones se describe cada uno de estos elementos con más detalle y se incluyen comandos que muestran información de configuración relacionada con dicha área. Es posible que ya disponga de una base de datos de administración de configuración en su organización. Puede llenar dicho sistema con el resultado de estos comandos (aunque puede que tenga que cambiar el formato del resultado). Se puede crear una base de datos de administración de configuración básica para la PKI si se redirige el resultado de estos comandos a archivos de texto. Puede utilizar herramientas de comparación de texto, como Windiff del Kit de recursos de Windows, para comparar el contenido de la nueva configuración con los registros anteriores y facilitar la detección de anomalías.

Para obtener más información acerca de la administración de configuración, consulte la sección Vínculos relacionados.

Recopilar información de configuración de la PKI de empresa

La información de configuración de toda la empresa está almacenada en Active Directory. Se incluye la publicación de entidades emisoras de certificados raíz de confianza, configuración de entidades emisoras de empresa e información de anuncios. También se incluyen las plantillas de certificado, pero se tratan aparte en Recopilar información de configuración de las plantillas de certificado.

Frecuencia

Anualmente o según se requiera

Requisitos de seguridad

Pertenencia a usuarios del dominio

Detalles de la tarea

Mantener registros de la siguiente información almacenada en Active Directory.

En los procedimientos siguientes se ofrecen los comandos para recopilar esta información. En algunos de estos comandos, debe reemplazar el nombre completo (DN) de dominio raíz de ejemplo (DC=contoso, DC=com) por el DN de su dominio raíz del bosque.

Nota: algunos de los siguientes comandos se muestran en varias líneas para facilitar su impresión, pero se deben introducir en una sola línea.

Para mostrar las entidades emisoras de certificados raíz de confianza

certutil -store -enterprise Root

Para mostrar los almacenes NTAuth

certutil -store -enterprise NTAuth

Para mostrar las entidades emisoras de certificados de empresa

certutil -dump

Para mostrar los certificados de las entidades emisoras de certificados de empresa actuales

certutil -store -enterprise "ldap:///cn=Enrollment Services,CN=Public Key Services,CN=Services,CN=Configuration,
DC=contoso, DC=com?cACertificate?one?
objectClass=pkiEnrollmentService"

Para mostrar los certificados intermedios y cruzados

certutil -store -enterprise CA

Para mostrar únicamente los certificados de las entidades emisoras intermedias

certutil -store -enterprise "ldap:///cn=AIA,CN=Public Key Services,CN=Services,CN=Configuration, DC=contoso, DC=com?cACertificate?one?
objectClass=certificationAuthority"

Para mostrar únicamente los certificados cruzados

certutil -store -enterprise "ldap:///cn=AIA,CN=Public Key Services,CN=Services,CN=Configuration, DC=contoso, DC=com?cRossCertificatePair?one?
objectClass=certificationAuthority"

Para mostrar las CRL publicadas actualmente

dsquery * "cn=CDP,cn=Public Key Services,cn=Services, cn=Configuration,DC=contoso, DC=com" -attr cn -scope onelevel

dsquery * "cn=CDP,cn=Public Key Services,cn=Services, cn=Configuration, DC=contoso, DC=com" _ 
    -attr cn –filter (objectclass=crlDistributionPoint)

certutil -store -enterprise "ldap:///cn=Contoso Root CA 1,cn=RT-CA-01,cn=CDP,CN=Public _ 
    Key Services,CN=Services,CN=Configuration, DC=contoso, DC=com?certificateRevocationList?base?objectClass=cRlDistributionPoint"

Puede escribir un archivo de comandos (por lotes) para automatizar estos comandos con el fin de simplificar su ejecución.

Recopilar información de configuración de las plantillas de certificado

Las plantillas de certificado se almacenan en Active Directory. Conserve un registro de la configuración de cada plantilla y los permisos de inscripción de certificado que se utilizan para cada una.

Frecuencia

Anualmente o según se requiera

Requisitos de seguridad

Usuarios del dominio

Detalles de la tarea

Los siguientes comandos se utilizan para recopilar esta información.

Nota: es posible que algunos comandos se muestren en varias líneas para facilitar su impresión, pero se deben introducir en una sola línea.

Para generar una lista de las plantillas configuradas en Active Directory

Certutil -template

Para volcar la configuración de estas plantillas

Certutil –dsTemplate

Para volcar los permisos de una plantilla

Dsacls "cn=TemplateName,cn=Certificate Templates,cn=Public Key Services,cn=Services,cn=Configuration,DC=contoso, DC=com"

No existe ninguna herramienta que exporte los permisos de plantilla completos en un formato de fácil lectura. Dsacls.exe muestra los permisos de una plantilla. Sin embargo, la versión actual no muestra el permiso "Inscripción automática" de los derechos extendidos, aunque sí muestra "Inscripción" y los demás permisos de los derechos extendidos. Esto significa que debe mantener un registro de los permisos "Inscripción automática" manualmente. Por otro lado, puede escribir una secuencia de comandos o una herramienta con la Interfaz de servicios de Active Directory (ADSI) para leer y mostrar todos los permisos correctamente.

Recopilar información de configuración de la entidad emisora de certificados

En esta sección se trata la información de configuración almacenada en cada entidad emisora de certificados y, en el caso de las entidades emisoras de empresa, la información almacenada en Active Directory.

Frecuencia

Anualmente o según se requiera

Requisitos de seguridad

Administradores locales de la entidad emisora de certificados

Detalles de la tarea

Mantener registros de la siguiente información.

Los siguientes comandos se utilizan para recopilar esta información.

Para mostrar la información del Registro de la entidad emisora de certificados

certutil -getreg
certutil -getreg CA

Para mostrar el certificado de entidad emisora de certificados actual (más reciente)

certutil -f -ca.cert %temp%\CAcert.cer > nul && certutil -dump %temp%\CACert.cer

No hay ninguna herramienta que vuelque los permisos de la entidad emisora de certificados en una forma que pueda ser utilizable. Mantenga un registro de esta información manualmente.

Para mostrar las plantillas asignadas actualmente a esta entidad emisora de certificados

certutil -CATemplates

El archivo de CPS de la entidad emisora de certificados se debe mantener con el control de versión adecuado para que resulte fácil identificar y recuperar la CPS que estaba efectiva en un determinado momento.

Recopilar información de los grupos de administración de la entidad emisora de certificados y de la PKI

La pertenencia a los grupos de administración de la PKI es una información de configuración importante ya que estos grupos tienen control sobre todos los aspectos de las entidades emisoras de certificados y la información de PKI de empresa.

Frecuencia

Anualmente o según se requiera

Requisitos de seguridad

Usuario de dominio

Detalles de la tarea

Por cada grupo de administración de la PKI y la entidad emisora de certificados, enumere y registre los miembros actuales. Si alguno de los miembros es un grupo (se indica mediante un asterisco antes del nombre), enumere los miembros de dichos grupos de uno en uno hasta que tenga una lista de usuarios de todos los miembros de los grupos de la PKI.

Los grupos predeterminados son:

Para enumerar los miembros de cada grupo

net groups groupname /domain

net localgroup groupname

Recopilar información de configuración de los clientes de certificado

Esta tarea hace referencia a la información de configuración de cliente implementada mediante Directiva de grupo. Si utiliza otro mecanismo (por ejemplo, SMS o secuencias de comandos de inicio de sesión) para implementar configuración de cliente relacionada con la PKI, documéntelo aquí también.

Frecuencia

Anualmente o según se requiera

Requisitos de seguridad

Active Directory con permisos para administrar GPO

Detalles de la tarea

Utilice la Consola de administración de directivas de grupo (GPMC) o el GPO Conjunto resultante de directivas de MMC para recopilar y enumerar la información de configuración de clientes de PKI. Para obtener más información acerca de cómo obtener y utilizar GMPC, consulte la sección Vínculos relacionados.

Principio de la página

Tareas de soporte comunes

La solución de problemas y el soporte se incluyen en el cuadrante de soporte de MOF. Los procedimientos de soporte son tareas reactivas diseñadas para restaurar el servicio de PKI a los niveles previstos. La solución de problemas forma parte de la administración de problemas de MOF, que tiene por objetivo realizar el seguimiento del origen de los errores y solucionarlos donde se produzcan. Las interrupciones de servicio importantes casi siempre implican ambas funciones de administración de servicios.

El cuadrante de soporte de MOF también trata el funcionamiento del servicio de asistencia al usuario, que recibe los informes de errores e inicia los procedimientos de soporte adecuados. La organización de un servicio de asistencia al usuario no se trata en este documento. Para obtener más información, consulte la descripción del servicio de atención al usuario en la documentación del modelo de proceso de Microsoft Operations Framework.

En esta sección se enumera una serie de incidentes de soporte comunes o de gran impacto que pueden afectar a una PKI. Además, se incluyen procedimientos de soporte que le ayudarán a tratar algunos de ellos y que no están documentados en ninguna otra parte.

Esta sección está estrechamente relacionada con Configurar la supervisión y las alertas. La supervisión del servicio proporciona la información esencial que la que el personal operativo y de soporte puede detectar problemas. En concreto, los sucesos de alerta descritos en Supervisar la disponibilidad del servicio indican errores de servicio reales o inminentes que se tratan en esta sección.

En la tabla 22 se describen muchos de los incidentes de soporte importantes que se pueden producir al administrar la PKI. La columna Tarea de soporte o referencia enumera uno de los siguientes elementos:

Tareas de soporte

Esta sección contiene información detallada de algunas tareas de soporte de PKI que no están documentadas completamente en ninguna otra parte.

Restaurar la entidad emisora de certificados a partir de una copia de seguridad

Si no puede iniciar una entidad emisora de certificados debido a un daño grave de software o hardware, tendrá que restaurar el servidor y el material de claves a partir de una copia de seguridad. Esto significa restaurar una copia de seguridad del estado del sistema y puede requerir la reinstalación de Windows.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia a administradores locales en la entidad emisora de certificados (o a operadores de copia de la entidad emisora para realizar únicamente la restauración)

Detalles de la tarea

Realice los siguientes pasos para restaurar una entidad emisora de certificados a partir de una copia de seguridad.

Precaución: si utiliza un HSM, este procedimiento no funciona del modo descrito. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad, restaurar y proteger el material de claves y las claves de acceso.

Para restaurar una entidad emisora de certificados a partir de una copia de seguridad

Certutil –restore C:\CARestore

Restaurar el par de certificado y clave de la entidad emisora de certificados en un equipo temporal

Si una entidad emisora de certificados con error no se puede recuperar a tiempo para que emita una nueva CRL (o renueve un certificado fundamental), tendrá que instalar el certificado y las claves de la entidad emisora en un equipo temporal. A continuación, en este equipo puede utilizarlos para volver a firmar y ampliar el período de validez de una CRL existente o los certificados emitidos por la entidad emisora de certificados con error.

Precaución: si utiliza un HSM, este procedimiento no funciona del modo indicado. Siga las instrucciones del proveedor del HSM para hacer una copia de seguridad, restaurar y proteger el material de claves y las claves de acceso.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia a administradores locales en el equipo temporal

Detalles de la tarea

Esta tarea describe cómo restaurar el certificado y la clave privada de la entidad emisora de certificados en un equipo local.

Importante: mientras este equipo tenga instalada la clave de la entidad emisora de certificados, adopte las mismas precauciones que con la entidad emisora. Si va a restaurar la clave de una entidad emisora de certificados sin conexión, asegúrese de que el equipo no está conectado. Considere la posibilidad de volver a formatear los discos del equipo para eliminar los datos de claves después de finalizar esta tarea.

Para restaurar la clave y el certificado de la entidad emisora de certificados en un equipo temporal

Ahora puede llevar a cabo las tareas de nueva firma necesarias con las claves de la entidad emisora de certificados restaurada. Consulte Volver a firmar una CRL o certificado para ampliar su validez. Cuando termine, limpie las claves del equipo mediante el siguiente procedimiento (no tiene que realizar esta operación si utiliza un HSM).

Para limpiar las claves del sistema

Cipher /W:%AllUsersProfile%

Nota: al especificar %allusersprofile% como la ruta de acceso, se garantiza que Cipher.exe funciona en la unidad que contiene los perfiles de usuario. Borra toda la unidad, no sólo la ruta de acceso indicada.

Volver a firmar una CRL o certificado para ampliar su validez

Si una entidad emisora de certificados no está disponible debido a algún tipo de error del servidor, puede ampliar la duración de las CRL o los certificados si vuelve a firmar el archivo de CRL o certificado. Esto puede resultar esencial para que el servicio o la aplicación siga funcionando.

Frecuencia

Según se requiera

Requisitos de seguridad

Cuenta temporal creada durante la restauración de claves de entidad emisora de certificados

Detalles de la tarea

Volver a firmar un certificado o CRL para ampliar su período de validez. De forma predeterminada, se utiliza el período de validez existente y se reinicia desde la fecha de firma (por ejemplo, si el período de validez original de la CRL era de un mes, el nuevo será de un mes a partir del momento de la nueva firma). Si se requiere otro período de validez, se puede especificar en el comando certutil.

Para volver a firmar una CRL o un certificado

Certutil -sign OldFile.ext NewFile.ext

En el caso de una CRL, se debe publicar ahora en los CDP (consulte los procedimientos de publicación de CRL en Funcionamiento de la PKI). También se tendrá que publicar un certificado entidad emisora de certificados en el directorio, en el servidor Web y, posiblemente, en las entidades emisoras intermedias. Consulte Renovar un certificado de entidad emisora de certificados para obtener información acerca de dónde se tiene que publicar cada certificado de entidad emisora.

Revocar un certificado huérfano

Cuando se restaura una entidad emisora de certificados a partir de una copia de seguridad después de algún tipo de error del servidor, es posible que los certificados emitidos entre la última copia de seguridad y el error no estén en la base de datos de certificados. Aquí se denominan certificados "huérfanos". Esto puede suceder si los registros de la entidad emisora de certificados se han destruido y no se han podido volver a ejecutar en la base de datos de la entidad emisora después de la restauración a partir de la copia de seguridad. En este caso, es imposible revocar ninguno de estos certificados "huérfanos" mediante el procedimiento normal.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia a administradores de certificados

Detalles de la tarea

Para revocar un certificado huérfano es necesario obtener una copia del certificado que se revocará o el número de serie de dicho certificado.

Para revocar un certificado huérfano

Certutil -sign SerialNumber CertToRevoke.cer

Certutil -importcert CertToRevoke.cer

Importante: hay un problema con certutil que impide que se realice la operación de creación del certificado ficticio en Windows Server 2003 anterior a Service Pack 1. En previsión de que esta funcionalidad se corrija en el futuro, en este documento se incluye este procedimiento. Mientras tanto, si no puede encontrar una copia del certificado original, un enfoque alternativo consiste en tomar un certificado existente y, mediante un editor binario, reemplazar el número de serie por el del certificado que se revocará. Este certificado modificado se puede volver a firmar con la siguiente sintaxis.

Certutil -sign ModifiedCert.cer CertToRevoke.cer

A continuación, el certificado recién creado se puede importar en la base de datos según las indicaciones del paso 4.

Revocar y reemplazar un certificado de entidad emisora de certificados

Si la clave privada de una entidad emisora de certificados está en peligro (o se sospecha que pueda estarlo), revoque el certificado de entidad emisora y emita uno nuevo con un nuevo par de claves.

Advertencia: la revocación de una entidad emisora de certificados puede constituir un suceso muy perturbador, que invalida los certificados emitidos por dicha entidad emisora y sus subordinadas. Sin embargo, si se sigue un procedimiento cuidadoso puede contribuir a minimizar la interrupción.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia al grupo Administradores de certificados en la entidad emisora de certificados y su entidad principal (intermedia). La pertenencia al grupo Administradores local en la entidad emisora de certificados es necesaria para renovar el certificado de entidad emisora.

Detalles de la tarea

Debido a que una entidad emisora de certificados intermedia tiene un período de publicación CRL largo, la revocación del certificado de entidad emisora y la publicación de una nueva CRL dará lugar a que se produzca un gran retraso entre la revocación y el momento en que los usuarios de certificado reciben la notificación de dicha revocación. Para garantizar que todos los certificados emitidos anteriormente por la entidad emisora en peligro se rechazan lo más pronto posible, todos los certificados que ha emitido esta entidad emisora también se revocan individualmente.

Importante: todos los usuarios de certificados de la entidad emisora revocada tendrán que volver a inscribirse a nuevos certificados tras este procedimiento.

Para revocar un certificado de entidad emisora y sus certificados emitidos

Los usuarios de certificado ahora pueden volver a inscribirse con la entidad emisora renovada. Los certificados de inscripción automática se inscribirán automáticamente.

Revocar y reemplazar un certificado de entidad emisora de certificados intermedia

Si la clave privada de una entidad emisora de certificados está en peligro (o se sospecha que pueda estarlo), revoque el certificado de entidad emisora y emita uno nuevo con un nuevo par de claves.

Advertencia: la revocación de una entidad emisora de certificados puede constituir un suceso muy perturbador, que invalida los certificados emitidos por dicha entidad emisora y sus subordinadas. Sin embargo, si se sigue un procedimiento cuidadoso puede contribuir a minimizar la interrupción.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia al grupo Administradores de certificados en la entidad emisora de certificados intermedia y su entidad principal (raíz). La pertenencia al grupo Administradores local en la entidad emisora de certificados intermedia es necesaria para renovar el certificado de entidad emisora.

Detalles de la tarea

Debido a que una entidad emisora de certificados raíz tiene un período de publicación CRL largo, la revocación del certificado de entidad emisora intermedia y la publicación de una nueva CRL dará lugar a que se produzca un gran retraso entre la revocación y el momento en que los usuarios de certificado reciben la notificación de dicha revocación. Para garantizar que todos los certificados emitidos anteriormente por las entidades emisoras subordinadas de la entidad emisora en peligro se rechazan lo más pronto posible, todos los certificados que han emitido las entidades emisoras subordinadas también se revocan individualmente.

Importante: todos los usuarios de certificados de la entidad emisora revocada tendrán que volver a inscribirse a nuevos certificados tras este procedimiento.

Para revocar un certificado de entidad emisora intermedia y sus certificados emitidos

Los usuarios de certificado ahora pueden volver a inscribirse con las entidades emisoras renovadas. Los certificados de inscripción automática se inscribirán automáticamente.

Revocar y reemplazar un certificado de entidad emisora de certificados raíz

Si la clave privada de una entidad emisora de certificados raíz está en peligro (o se sospecha que pueda estarlo), debe quitar el certificado de entidad emisora de su punto de confianza y revocar todos los certificados que ella o cualquiera de sus subordinadas hayan emitido. Debe renovar el certificado de entidad emisora raíz y los certificados de todas sus entidades emisoras subordinadas con nuevas claves y, a continuación, publicarlos en Active Directory.

Advertencia: la revocación de la entidad emisora de certificados raíz puede constituir un suceso muy perturbador, que invalida los certificados emitidos por dicha entidad emisora y sus subordinadas. Sin embargo, si se sigue un procedimiento cuidadoso puede contribuir a minimizar la interrupción.

En realidad, no es posible revocar un certificado de entidad emisora raíz como tal. A menudo, como sucede aquí, el certificado de entidad emisora raíz no incluye un CDP y, lo que es más importante, no tiene sentido que una entidad emisora dé fe de su propia revocación. Tendría que firmar la CRL que contiene su propio certificado mediante la clave en peligro de dicho certificado.

Frecuencia

Según se requiera

Requisitos de seguridad

Pertenencia al grupo Administradores de certificados en la entidad emisora de certificados raíz. La pertenencia al grupo Administradores local en la entidad emisora de certificados raíz es necesaria para renovar el certificado de entidad emisora.

Detalles de la tarea

Nota: todos los usuarios de certificado tendrán que volver a inscribirse a nuevos certificados después de terminar este procedimiento.

Para revocar un certificado de entidad emisora de certificados

Los usuarios de certificado ahora pueden volver a inscribirse con la nueva entidad emisora. Los certificados de inscripción automática se inscribirán automáticamente.

Principio de la página

Resumen

En Administrar una PKI de Windows Server 2003 se ha descrito el modo de establecer y ejecutar un entorno operativo de una PKI de Windows Server 2003. En la primera parte del documento se ha tratado el diseño y la implementación del marco de operaciones en las secciones:

La segunda parte se ha centrado en las tareas esenciales para mantener el funcionamiento de la PKI sin problemas, tal como se describe en las secciones:

Cada entorno de TI es único; ninguna guía genérica puede atender completamente las características operativas de cada organización. No obstante, este documento puede servir como una base sólida a partir de la que puede crear su propio manual de operaciones de PKI personalizado.

Si utiliza este documento como punto de partida, estará preparado para adaptarlo a medida que implemente y mejore su PKI. Tendrá que agregar operaciones y procedimientos de soporte que cubran los usos específicos de PKI en su propia organización. También puede optimizar los procedimientos de este documento si crea secuencias de comandos para algunos de los pasos manuales. Y lo que es más importante, examine la eficacia con que los procedimientos funcionan con las prácticas y cultura de su organización de TI y esté preparado para modificarlos con el fin de que se adapten mejor. Si las operaciones son las adecuadas, funcionarán bien, como también lo hará su PKI.

Principio de la página

Vínculos relacionados

Consulte los siguientes recursos para obtener más información.

Principio de la página

Apéndice A: Descripción general del diseño de PKI

Este documento se basa en la PKI descrita en el Kit de implementación de Microsoft System Architecture versión 2.0 y el documento Prácticas recomendadas para implementar una infraestructura de claves públicas de Microsoft Windows Server 2003 (en inglés). El diseño de PKI está basado en el de una compañía ficticia, Contoso.

El escenario de Contoso se describe brevemente aquí. Para obtener una descripción más detallada del diseño y la generación de la PKI de Contoso, consulte estos documentos. En la siguiente sección se enumera la configuración específica de la implementación, que se utiliza en los ejemplos de este documento.

Diseño de la PKI de Contoso

Contoso es una compañía internacional que ha implementado Active Directory y una PKI de Windows Server 2003. Contoso tiene una amplia variedad de clientes que ejecutan un miembro de la familia Windows 2000 o Windows XP Professional. Utiliza una serie de aplicaciones integradas que pueden aprovechar la PKI de Windows Server 2003, incluida la seguridad de correo electrónico basada en Extensiones seguras multipropósito de correo Internet (S/MIME), EFS, conexiones VPN de L2TP/IPsec, acceso inalámbrico 802.1X y servidores Web habilitados para Secure Sockets Layer (SSL). El bosque Active Directory de Contoso tiene varios dominios y se ejecuta en modo funcional de bosque de Windows Server 2003. Cada dominio se ejecuta en modo funcional de dominio de Windows Server 2003.

Contoso utiliza una topología de PKI de tres niveles ya que es la que mejor se adapta a sus necesidades de seguridad. La guía de operaciones de este documento está modelada a partir de esta topología. No obstante, las operaciones son prácticamente idénticas para una jerarquía de dos niveles más simple, por lo que este documento resultará útil para un amplio espectro de organizaciones.

En la figura 5 se muestra la arquitectura de Servicios de Certificate Server para Contoso S.A.

Figura 5:  Diseño de la PKI de Contoso

La entidad emisora de certificados raíz independiente de Contoso nunca se conecta a una red y permanece sin conexión y físicamente segura. La entidad emisora raíz emite y revoca certificados para las entidades emisoras intermedias de la jerarquía. El certificado y CRL de la entidad emisora de certificados se publican manualmente y están disponibles mediante un punto de distribución HTTP en su servidor Web de IIS:

La entidad emisora de certificados intermedia está protegida físicamente y funciona sin conexión, igual que la raíz. En la figura 5 sólo se muestra la entidad emisora intermedia, aunque se pueden utilizar otras en una jerarquía más completa. Las entidades emisoras de certificados raíz e intermedias pueden ser Windows Server 2003, Standard Edition o Enterprise Edition.

Las entidades emisoras de certificados son las responsables de la inscripción de certificados para las entidades finales y están instaladas como entidades emisoras de empresa. Estos servidores de entidad emisora están conectados y disponibles para atender peticiones en cualquier momento. Las entidades emisoras de certificados son Windows Server 2003, Enterprise Edition.

La administración de los HSM no se trata en este documento porque los procedimientos varían considerablemente de un proveedor a otro. Sin embargo, se espera que todas las entidades emisoras de certificados de la jerarquía estén equipadas con HSM.

Active Directory

Active Directory se utiliza para varias funciones.

Servidor Web de IIS

IIS se utiliza para publicar información de AIA (certificados de entidades emisoras intermedias requeridos durante la generación de la cadena) y listas CRL. Un servidor Web también es el mejor lugar para publicar la Orden de prácticas de certificación si necesita hacerlo. En función de dónde se encuentren los clientes de certificado, puede necesitar un servidor Web de Internet así como uno interno para publicar la información de PKI.

Diferencias con la orientación de MSA

Aunque la orientación de este documento se basa en la PKI de referencia descrita en MSA 2.0, hay algunas diferencias sutiles, principalmente estéticas. La diferencia funcional más importante es que los certificados de entidad emisora de certificados tienen un período de validez de cuatro años. Las entidades emisoras de MSA tienen un período de validez de dos años, lo que limita el período de validez de los certificados emitidos para dichas entidades a tan sólo un año. Debido a que la renovación de certificados puede resultar un proceso caro en algunos escenarios, por ejemplo renovaciones de tarjetas inteligentes, normalmente es aconsejable utilizar períodos de renovación de dos o más años.

Las otras diferencias menores de este documento son:

Configuración detallada de la PKI

Las siguientes tablas contienen los parámetros de implementación que utiliza la PKI de Contoso. Los procedimientos de este documento utilizan dichos valores. Los parámetros están divididos en dos tablas. En la tabla 23 se enumeran los valores específicos de la instalación. Tendrá que sustituir los detalles de su organización siempre que aparezcan en los procedimientos. En la tabla 24 se enumeran los valores específicos de la solución. Se basan en la configuración recomendada de los escenarios de MSA y prácticas recomendadas. Sólo tendrá que cambiarlos si utiliza otros valores en su implementación. En estas tablas sólo se enumeran los valores pertinentes para los procedimientos de este documento y son un subconjunto de la lista de parámetros completa de la implementación de la PKI. Para obtener la lista completa, consulte el apéndice 14.16 del capítulo “Servicios de Certificate Server” de la Guía de generación de Microsoft Systems Architecture 2.0 (en inglés) en la sección Vínculos relacionados.

Tabla 23:  Elementos de configuración específicos de la organización

Tabla 24:  Elementos de configuración genéricos

Principio de la página

Apéndice B: Funciones administrativas de criterios comunes

El perfil de protección de criterios comunes (CC) para los componentes de emisión y administración de certificados (sección Vínculos relacionados) define cuatro funciones clave en el nivel de seguridad más alto: administrador, agente, operador y auditor. Estas funciones de criterios comunes están implementadas en Servicios de Certificate Server de Windows Server 2000, que permite forzar la separación entre funciones de modo que una cuenta no se puede configurar en varias funciones. Para obtener información acerca de las funciones y capacidades de Servicios de Certificate Server de Windows Server 2003, consulte la sección "PKI de Windows Server 2003 y administración basada en funciones" de la Guía de operaciones de Windows Server 2003 (en inglés) (sección Vínculos relacionados).

No obstante, con frecuencia las funciones de criterios comunes no proporcionan un alcance suficiente. Estas funciones de criterios comunes se relacionan con las capacidades en el nivel de entidad emisora de certificados. Sin embargo, las entidades emisoras de certificados de empresa de Windows almacenan la información de configuración en objetos de configuración de toda la empresa. Debido a esto, una PKI de Windows también necesita funciones administrativas en toda la empresa para administrar esta información. Asimismo, resulta habitual que las grandes organizaciones deseen delegar una parte de las responsabilidades de una determinada función. Por ejemplo, pueden permitir que un propietario de aplicación determine los usuarios que pueden inscribir un certificado para dicha aplicación en vez de delegar la responsabilidad en una función de agente o administrador de certificados de toda la empresa. En la tabla 25 se incluyen definiciones para este conjunto ampliado de funciones y cómo se asignan a las funciones de criterios comunes.

Es improbable que estas funciones se asignen de forma precisa a los puestos de trabajo de su organización de TI. Lo más probable es que las personas se ajusten a varias de estas funciones. Además, algunas de estas funciones se pueden asignar a procesos del sistema en vez de personas; por ejemplo, la cuenta de un agente de copia de seguridad que ejecuta la entidad emisora de certificados.

Tabla 25:  Funciones básicas de Servicios de Certificate Server

Si utiliza un HSM en la entidad emisora de certificados, también habrá funciones específicas definidas para dicho componente, como titulares de tarjetas de claves y de operador. En esta lista no se tratan otras funciones relacionadas con otras áreas tecnológicas que interactúan y dan soporte a la PKI, como la supervisión de la consola de operaciones y la administración de Active Directory.

Principio de la página