Sie müssen eine interne PKI entwerfen, die die automatische Registrierung für Domänenbenutzer und -computer unterstützt und den Schutz des Vertrauensankers maximiert. Der Entwurf muss eine Offline-Stammzertifizierungsstelle umfassen und normale Registrierungsvorgänge von einer in die Domäne eingebundenen Zertifizierungsstelle ermöglichen. Welchen Bereitstellungsansatz sollten Sie implementieren?

Die Bereitstellung einer eigenständigen Offline-Stammzertifizierungsstelle, die ein untergeordnetes Unternehmens-CA-Zertifikat an eine in die Domäne eingebundene Unternehmens-CA ausstellt, ist der sicherste und flexibelste Ansatz. Die Offline-Stamm-CA maximiert den Schutz des Vertrauensankers, da sie nicht direkt für die Zertifikatausstellung verwendet wird und offline gehalten werden kann. Die untergeordnete Unternehmens-CA ermöglicht die automatische Registrierung für Domänenbenutzer und -computer. Die Veröffentlichung der Stamm-CA-CRL/AIA über HTTP stellt sicher, dass Clients die Gültigkeit der Zertifikate überprüfen können. Eine einzelne Online-Unternehmensstamm-CA wäre ein Single Point of Failure und ein höheres Sicherheitsrisiko. Die Verwendung einer öffentlichen CA als Gesamtstruktur-Stamm ist für interne PKI-Anforderungen nicht geeignet. Azure Key Vault ist keine vollständige PKI-Lösung für die Stamm-CA-Rolle. Zwei Online-Unternehmensstamm-CAs erhöhen die Redundanz, aber nicht den Schutz des Vertrauensankers in dem Maße wie eine Offline-Stamm-CA.