Erstellung langjähriger Zertifikate zur Nutzung mit Citrix

Die gesamte Architektur einer XenDesktop 7.x Umgebung baut auf die Nutzung interner Zertifikate auf. Für die interne Nutzung, zum Beispiel für Verbindungen des StoreFront Servers mit dem Desktop Devlivery Controller möchte man Zertifikate nutzen, die nicht jedes Jahr ausgetauscht werden müssen. Ein Jahr ist die Standardeinstellung der Microsoft CA für Webserver Zertifikate. Zusätzlich soll gezeigt werden, dass auch eine Microsoft CA mit Powershell installiert werden kann. Die Microsoft CA, kann über die Windows Rollen einem jeden Windows Serversystem hinzugefügt werden. Mit der CA können sehr leicht Zertifikate erstellt werden, die zum Beispiel für eine Serverauthentifizierung gültig sind. Neuen Anforderungen entsprechend werden heute in Terminalserverumgebungen fast alle Datenwege verschlüsselt. Also auch die Kommunikation mit der Citrix STA sollte verschlüsselt erfolgen. Nun bietet die Microsoft CA im Standard nur Zertifikate für zwei Jahre an. Es ist jedoch möglich, ein eigenes Template zu erstellen, um langjährige Zertifikate zu generieren. Hier eine Beschreibung, wie das zu erreichen ist. Zuerst die Installation der Microsoft CA mit Powershell. Einige Einstellungen sollten unbedingt genau kontrolliert werden. Diese Konfiguration ist für die Erstellung eines schnellen Zertifikates gut. Das kann auch in einer Testumgebung erfolgen und anschließend werden die Zertifikate für die Produktionsumgebung nur auf den Servern importiert, wo diese benötigt werden. Jedoch sollte so keinesfalls für die Gesamtstruktur eines Unternehmens installiert werden. Eine CA, für E-Mail Verschlüsslung ist sorgfältig zu planen. Das Root Zertifikate der Installation wird automatisch im Active Directory repliziert. Ist also nach einiger Zeit auf allen Domänenmitgliedern verfügbar (Server/Clients). Es ist daher zu empfehlen, die „ValidityPeriod“ der Root kürzer zu halten, falls es einmal zu kritischen Sicherheitsproblemen kommt.

add-WindowsFeature Web-Server -IncludeManagementTools
add-WindowsFeature AD-Certificate
add-windowsFeature RSAT-ADCS
Install-AdcsCertificationAuthority -CAType EnterpriseRootCA -HashAlgorithmName SHA256 `
    -ValidityPeriod Years -ValidityPeriodUnits 10 -KeyLength 2048 `
    -CACommonName UranRootCA `
    -DatabaseDirectory c:\CertDB -LogDirectory c:\CertLog  -Confirm:$false

Als Resultat liefert die Powershell die folgende Ausgabe, wenn die CA erfolgreich installiert wurde:

 Certification authority will be installed with the following properties:

                    CAType:                             EnterpriseRootCA
                    CACommonName                        UranRootCA
                    CADistinguishedNameSuffix           DC=uran,DC=local
                    CADistinguishedName:                CN=UranRootCA,DC=uran,DC=local
                    IgnoreUnicode:                      False
                    OverwriteExistingKey:               False
                    OverwriteExistingCAinDS:            False
                    ValidityPeriod:                     Years
                    ValidityPeriodUnits:                10
                    CryptoProviderName:                 RSA#Microsoft Software Key Storage Provider
                    HashAlgorithmName:                  SHA256
                    KeyLength:                          2048
                    KeyContainerName:                   
                    AllowAdministratorInteraction:      False
                    CertFile:                           
                    CertificateID:                      
                    OutputCertRequestFile:              
                    DatabaseDirectory:                  c:\CertDB
                    LogDirectory:                       c:\CertLog
                    OverwriteExistingDatabase:          False
                    ParentCA:                           

Installation des Web-Managements

Das Web Management ermöglicht es, die Zertifikate bequem über eine Webseite im Browser zu generieren. Im Folgenden die notwendigen Powershell Anweisungen

Add-WindowsFeature ADCS-Enroll-Web-Svc
Install-AdcsEnrollmentWebService 
Add-WindowsFeature ADCS-Web-Enrollment
Install-AdcsWebEnrollment 
Add-WindowsFeature ADCS-Enroll-Web-Svc
Success Restart Needed Exit Code      Feature Result                               
------- -------------- ---------      --------------                               
True    No             Success        {Certificate Enrollment Web Service}  
Install-AdcsEnrollmentWebService 
Enrollment Service will be installed with the following properties:
                    CAConfig:                       SURANDC.uran.local\UranRoot-CA
                    AuthenticationType:             Kerberos
                    ApplicationPoolIdentity:        True
                    ServiceAccountName:             
                    RenewalOnly:                    False
                    AllowKeyBasedRenewal:           False
                    SSLCertThumbprint:              
                    URL:                            https://surandc.uran.local/UranRoot-
	                                           CA_CES_Kerberos/service.svc/CES
Add-WindowsFeature ADCS-Web-Enrollment
Install-AdcsWebEnrollment 
The Certification Authority Web Enrollment role will be installed with the following properties:
CAConfig: SURANDC.uran.local\UranRoot-CA
 

Die CA ist nun auf dem Server selber unter http://localhost/certsrv/ zu erreichen

Erstellen eines neuen Templates für Zertifikate

Die MMC starten (mmc.exe) und über „File, Add/Remove Snap-in“ (bzw. Deutsch: Snap-In hinzufügen) das Snap-In „Certificate Templates“ hinzufügen. Dieses Template bildet die Grundlage für die Zertifikate, die mit der Microsoft CA erstellt werden. Das Template „Web Server“ duplizieren (rechte Maustaste) und beispielsweise nach „WebServer 10Jahre“ umbenennen. Beispielsweise, wenn ein Zertifikat erstellt werden soll, dass 10 Jahre funktioniert. In den Einstellungen „General“ wird festgelegt, wie lange das Zertifikat gültig ist. Mit der "Renewal peropd“ wiederum wird festgelegt, wann das Zertifikat versucht, sich bei der CA zu erneuern. Eine zu kleine „Renewal period“ führt dazu, dass die Kommunikationsanfragen zu der CA steigen. In diesem Fall wollen wir das Zertifikat aber von einer externen CA (in der Testumgebung) exportieren. Daher ist diese Periode auch möglich groß gewählt. Eine Terminalserverfarm, die intern mit diesen Zertifikaten abgesichert wird, muss spätestens nach 5 Jahren erneuert werden, bzw. neue Zertifikate bekommen.

Das Template kann über die Funktion „Change Name“ umbenannt werden. In diesem Beispiel in „Web Server-6y“ Mit einer Zertifikatanforderung an eine CA wird gleichzeitig der private Schlüssel eines Zertifikates generiert. Dieser ist gebunden an das anfordernde System und kann im Normalfall, aus Sicherheitsgründen nicht exportiert werden. Für Zertifikate in einer anderen Umgebung, zum Beispiel zur Absicherung der Kommunikation innerhlab einer Serverfarm, ist der private Schlüssel erforderlich, Daher muss im Template die Möglichkeit für einen Export konfiguriert sein. Das ist in den Einstellungen unter „Request Handling“ und „Allow private key to be exported“ möglich.

Hinzufügen des neuen Templates zu den nutzbaren Vorlagen

Das neue Template ist nicht sofort verfügbar, sondern muss in der „Certificate Authority“ MMC zunächst erlaubt werden. Dazu eine MMC starten und das Sanp-In „Certification Authority“ einfügen. Unter „Certificate Templates“ nun über die Funktion „New, Certificate Template to Issue“ das neu erstellte Template einfügen. GANZ WICHTIG: An der CA sind abschließend noch einige Anpassungen nötig, damit diese für 20 Jahre ausstellen kann. Erst mit den folgenden Befehlen wird die CA dafür autorisiert.

certutil -setreg ca\validityperiodunits 20
net stop certsvc
net start certsvc

 PowerShell Skript zum Import von zertifikaten

Nun ist es sicher auch schön, wenn diese Zertifikate mit PowerShell automatisiert importiert werden können. Wir benutzte die Automatisierungslösung „Uranos“ (https://sourceforge.net/projects/uranos/) zur automatischen Installation von Xen app 4.5 bis XenDesktop 7.x Umgebungen bei unseren Kunden seit nun rund 10 Jahren. Für diese Lösung haben wir zum Import von zertifikaten das folgende Skript erstellt. Dieses Skript bindet auch automatisch das Serverzertifikat in den IIS ein. Wir benutzen hier ein universelles Zertifikat (*.DOMAIN.LOCAL)

###########################################################
#
# Project  : "Uran" Unattended Remote Automation
# Author   : Andreas Nick 2015
# Function : Impert CERTIFICATES "CER" from the Store_Trust folder
#
# www.software-virtualisierung.de
# www.nick-it.de
#
###########################################################
$TrustFolder = "Z:\packages\Configurations\Certificates\Store_Trust"
$ComputerFolder = "Z:\packages\Configurations\Certificates\Store_Personal"
Function Import-Certificate {
    
   
    [cmdletbinding(
                   
                   SupportsShouldProcess = $True
                   
                   )]
    
    Param (
        [parameter(ValueFromPipeline = $True, ValueFromPipelineByPropertyName = $True)]
        [Alias('PSComputername', '__Server', 'IPAddress')]
        [string[]]$Computername = $env:COMPUTERNAME,
        [parameter(Mandatory = $True)]
        [string]$Certificate,
        [System.Security.Cryptography.X509Certificates.StoreName]$StoreName = 'My',
        [System.Security.Cryptography.X509Certificates.StoreLocation]$StoreLocation = 'LocalMachine'
    )
    
    Begin {
        
        $CertificateObject = New-Object  System.Security.Cryptography.X509Certificates.X509Certificate2
        
        $CertificateObject.Import($Certificate)
        
    }
    
    Process {
        
        ForEach ($Computer in $Computername) {
            
            Try {
                
                Write-Verbose  ("Connecting to {0}\{1}" -f "\\$($Computername)\$($StoreName)", $StoreLocation)
                
                $CertStore = New-Object System.Security.Cryptography.X509Certificates.X509Store -ArgumentList "\\$($Computername)\$($StoreName)", $StoreLocation
                
                $CertStore.Open('ReadWrite')
                
                If ($PSCmdlet.ShouldProcess("$($StoreName)\$($StoreLocation)", "Add  $Certificate")) {
                    
                    $CertStore.Add($CertificateObject)
                    
                }
            }
            Catch {
                
                Write-Warning  "$($Computer): $_"
            }
        }
    }
}
Write-Host "import Store $TrustFolder\"
foreach($Cert in (Get-ChildItem "$TrustFolder\*.cer" )){
    Write-Host "import $Cert"
    Import-Certificate -Certificate $Cert.FullName -StoreName Root -StoreLocation LocalMachine -Verbose
}
Write-Host "import Personal Wildcard"
certutil -f -importpfx -p "Uranos1234" "$ComputerFolder\UranLocal_Wildcard10y.pfx"
#Bind IIS
$cert = dir Cert:\LocalMachine\My | Where-Object { $_.subject -match 'CN=\*.uran.local' }
$strThumb = $cert.Thumbprint.ToString()
Write-Host "Trumbprint :" $strThumb
Write-Host "Bind on IIS, if installed"
$IIS = Get-service | Where-Object {$_.name -eq "W3SVC"}
if ($IIS) {
	Import-Module WebAdministration
	Push-Location IIS:\
	cd SslBindings
	New-webBinding -Name "Default Web Site" -IP "*" -Port 443 -Protocol https -HostHeader $("$ENV:COMPUTERNAME"+'.uran.local').toLower()
	get-item cert:\LocalMachine\MY\$strThumb | new-item 0.0.0.0!443
	Pop-Location
	Write-Host "Restart W3SVC"
	restart-Service W3SVC
}