Microsoft AZ-801: Encryptie, Certificaten en PKI — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Encryptie en public key infrastructure (PKI) vormen de vertrouwensbasis van een hybride omgeving die op Windows Server is gericht. Beheerders moeten in staat zijn om data-at-rest te beveiligen met BitLocker en EFS, een enterprise PKI op te zetten en te beheren met AD CS en een Online Responder, de levenscyclus van certificaten te automatiseren via templates en auto-enrollment, en cloud-native certificaatbeheer te integreren via Azure Key Vault. De volgende secties beschrijven de architectuur, vereisten, implementatiepatronen en operationele controles die consistent voorkomen in reële hybride Windows Server-omgevingen.

BitLocker en EFS op Windows Server

BitLocker Drive Encryption beveiligt volumes met een combinatie van de TPM en ‘key protectors’. TPM 2.0 is de huidige aanbevolen basislijn; TPM 1.2 wordt nog steeds ondersteund, maar TPM 2.0 met UEFI en Secure Boot zorgt voor een sterkere koppeling van de opstartketen aan de TPM Platform Configuration Registers (PCR’s). Voor servers is het aan te raden een TPM+PIN te vereisen op volumes met het besturingssysteem om een online factor toe te voegen, wat cold-boot- en offline-aanvallen mitigeert. Configureer dit via Group Policy onder BitLocker Drive Encryption (Require additional authentication at startup; Allow enhanced PINs for startup). Waar geen TPM aanwezig is, is een USB-opstartsleutel mogelijk, maar dit is operationeel inferieur en minder veilig.

Beheer van herstelsleutels is verplicht. In AD DS-omgevingen, deponeer herstelinformatie in computerobjecten (msFVE-RecoveryInformation) via Group Policy (Choose how BitLocker-protected operating system drives can be recovered; Back up recovery passwords and key packages to AD DS). In scenario’s met Azure AD-joined apparaten worden herstelsleutels gedeponeerd in het Azure AD-deviceobject en zijn ze vindbaar voor geautoriseerde beheerders in de ‘Devices’-blade; Intune-beleidsregels kunnen deponering in Azure AD vereisen. Valideer de deponering voordat encryptie op grote schaal wordt ingeschakeld.

Network Unlock elimineert de handmatige invoer van een PIN voor domain-joined servers in beveiligde datacentersubnetten tijdens onbeheerde herstarts. Vereisten zijn onder meer door TPM beveiligde OS-volumes, UEFI-firmware, bekabelde connectiviteit zonder 802.1X-poortcontrole in de pre-bootfase, bereikbaarheid van DHCP-broadcasts, en een Windows Deployment Services-server met de Network Unlock-feature en een serverauthenticatiecertificaat dat is uitgegeven door een enterprise CA via de Network Unlock-template. Configureer de BitLocker GPO’s om Network Unlock in te schakelen en zorg ervoor dat de OCSP/CRL van de CA bereikbaar is voor de WDS-server. Network Unlock is niet van toepassing op mobiele of draadloze hosts.

Pre-provisioning versnelt grootschalige implementaties door de gebruikte schijfruimte al tijdens de imaging-fase in Windows PE te versleutelen. Gebruik in task sequences van MDT/Configuration Manager de stap ‘Pre-provision BitLocker’ (manage-bde -on C: -used -skiphardwaretest) om de encryptie te starten voordat het volledige besturingssysteem wordt geïmplementeerd; schakel over naar volledige bescherming na de domain join en de toepassing van het beleid.

Beheer BitLocker centraal met Microsoft Endpoint Manager. Intune (MDM) dwingt stille encryptie af met alleen-TPM-protectors voor Azure AD-joined apparaten en deponeert sleutels in Azure AD; het vereisen van een opstart-PIN maakt stille encryptie onmogelijk en vereist gebruikersinteractie. Gebruik voor domain-joined servers en gemengde omgevingen Configuration Manager BitLocker Management (de opvolger van MBAM) voor compliancerapportage, deponering, portalen en sleutelrotatie. Ontwerp altijd met het oog op auditeerbare deponering en koppeling aan de eigenaar.

EFS is encryptie per bestand, gekoppeld aan EFS-certificaten van de gebruiker. Per bestand wordt een ‘file encryption key’ (FEK) gegenereerd en versleuteld met de publieke EFS-sleutel van de gebruiker. Bij afwezigheid van een enterprise CA geeft Windows een self-signed EFS-certificaat uit, wat herstel en centraal beheer belemmert. Geef in enterprise-implementaties EFS-certificaten uit vanuit AD CS met behulp van de ‘Basic EFS’-template, en wijs Data Recovery Agents (DRA’s) aan via GPO (Public Key Policies, Encrypting File System) om de herstelbaarheid van door gebruikers versleutelde bestanden te garanderen. De command-line tool ‘cipher’ blijft essentieel: ‘cipher /e’ en ‘/d’ versleutelen of ontsleutelen; ‘cipher /r’ genereert DRA-sleutelparen; ‘cipher /u’ werkt versleutelde bestanden bij zodat ze het huidige EFS-certificaat gebruiken. Gebruik BitLocker voor beveiliging op volumeniveau en EFS alleen wanneer scheiding per gebruiker of per bestand vereist is, waarbij men moet beseffen dat EFS een gebruikersaanmelding en de beschikbaarheid van certificaten vereist.

AD CS Hiërarchie en Online Responder

Een veerkrachtige enterprise PKI maakt gebruik van een gelaagde CA-hiërarchie. De offline root-CA is het vertrouwensanker en moet fysiek en logisch geïsoleerd zijn. Deze wordt alleen ingeschakeld om aanvragen van onderliggende CA’s te ondertekenen en CRL’s te publiceren. Gebruik een lange geldigheidsduur (bijvoorbeeld 10-20 jaar), grote RSA-sleutelgroottes (minimaal 4096 waar mogelijk) en publiceer CDP/AIA naar hoogbeschikbare, pad-consistente URL’s. Geef nooit end-entity-certificaten uit vanaf de root-CA.

Onderliggende (issuing) CA’s zijn domein-gekoppeld, online en hebben een korte levensduur (bijvoorbeeld 3-5 jaar) met beperkt sleutelgebruik en EKU’s. Ze geven computer-, gebruikers- en servicecertificaten uit en publiceren frequent CRL’s met overlap om uitval tijdens publicatievertragingen te voorkomen. Geef de voorkeur aan private sleutels op issuing CA’s die door een HSM worden beschermd om het risico op sleutelexfiltratie te verminderen. Configureer op het register of op beleid gebaseerde beperkingen voor templates en uitgifte om ’least privilege’ af te dwingen.

Intrekkingscontrole (revocation checking) moet snel en betrouwbaar zijn. Een Online Responder (OCSP) vermindert de latentie voor clients door statusvragen per certificaat te beantwoorden in plaats van volledige CRL’s te downloaden. Installeer de Online Responder-roldienst, schrijf responders in voor een OCSP Response Signing-certificaat via een speciaal v3-template en configureer een Revocation Configuration die verwijst naar de issuing CA en diens CRL’s met behulp van de Microsoft CRL-based Revocation Provider. Zorg ervoor dat de CA een OCSP-URL opneemt in de Authority Information Access-extensie, zodat clients weten waar ze de query moeten uitvoeren.

Voor schaalbaarheid en veerkracht, implementeer een OCSP-array. Wijs een array-controller aan om intrekkingsconfiguraties te repliceren naar de member-responders. Gebruik load-balancing voor de array met Windows NLB of een externe load balancer met een health probe die de responsiviteit van OCSP en de geldigheid van de signing-certificaten controleert. Gebruik korte levensduren voor OCSP signing-certificaten en configureer automatische vernieuwing via autoenrollment om de blootstelling aan risico’s te minimaliseren. Monitor de actualiteit van de CRL en de levensduur van de OCSP-cache om verouderde antwoorden te voorkomen.

Templates, Autoenrollment, Key Archival en Credential Roaming

Certificaattemplates bepalen de beperkingen voor aanvragen, de onderwerpnaam (subject name), sleutelgebruik (key usages) en uitgiftevereisten. Versie 2-templates (geïntroduceerd met Windows Server 2003 Enterprise) maken aanpassingen mogelijk en ondersteunen autoenrollment met op CSP gebaseerde sleutels. Versie 3-templates (Windows Server 2008 en later) voegen ondersteuning toe voor CNG, ECC en Suite B-algoritmen. Kies v3 als je CNG/ECC nodig hebt; kies v2 voor maximale compatibiliteit met oudere systemen (legacy). Koppel templates aan een enkele set van issuing CA’s om de ‘blast radius’ te beperken.

Autoenrollment maakt van de certificaatlevenscyclus een beleidsgestuurd, geautomatiseerd proces. Configureer Group Policy onder Computer Configuration of User Configuration, Windows Settings, Security Settings, Public Key Policies, Certificate Services Client – Auto-Enrollment. Activeer het met de opties ‘Renew expired certificates’, ‘Update certificates that use certificate templates’ en ‘Remove revoked/expired certificates’. Autoenrollment vereist template-permissies: principals moeten ‘Read’ en ‘Autoenroll’ hebben; ‘Enroll’ is alleen voldoende voor handmatige inschrijving. Beperk het bereik (scope) met beveiligingsgroepen om onverwachte uitgifte van certificaten te voorkomen en het volume te beheersen.

Sleutelarchivering (key archival) beschermt data als een private sleutel verloren gaat. Activeer ‘Archive the subject’s encryption private key’ op het template voor certificaten die alleen voor versleuteling worden gebruikt (bijvoorbeeld EFS, S/MIME). Wijs Key Recovery Agents (KRA’s) aan door hen KRA-certificaten uit te geven via het ‘Key Recovery Agent’-template en configureer de CA om sleutels te archiveren. Herstel is beperkt tot archiveerbare sleuteltypes; traditioneel wordt RSA Key Exchange (legacy CSP) ondersteund, terwijl de archivering van private CNG/ECC-sleutels niet wordt ondersteund door AD CS key archival. Activeer geen archivering voor templates die alleen voor ondertekening (signing) worden gebruikt.

Credential Roaming synchroniseert gebruikerscertificaten, private sleutels en DPAPI-hoofdsleutels tussen domein-gekoppelde apparaten door ze op te slaan in AD. Activeer dit via Group Policy onder User Configuration, Administrative Templates, System, Credential Roaming en beperk het bereik tot vertrouwde gebruikers. Dit verbetert de gebruikerservaring voor EFS-, S/MIME- en client-authenticatiecertificaten op meerdere machines zonder roaming profiles. Valideer de ondersteuning van het directory-schema en plan de interactie met Windows Hello for Business en credential managers van derden om conflicten of duplicatie te voorkomen.

Levenscyclus van TLS/SSL en integratie met Azure Key Vault

Moderne TLS is afhankelijk van de juiste semantiek van certificaten. Neem altijd Server Authentication EKU op en geef de voorkeur aan SHA-256 of sterkere handtekeningen met ten minste 2048-bit RSA of geschikte ECC-curves. Subject Alternative Name (SAN) moet elke hostnaam vermelden die clients gebruiken; de verouderde Subject CN alleen is onvoldoende voor moderne clients. Wildcard-certificaten (*.contoso.com) vereenvoudigen implementaties met meerdere hosts in één DNS-zone, maar matchen niet met namen op meerdere niveaus (app.dev.contoso.com) of verschillende zones; evalueer zorgvuldig de risicoconcentratie wanneer private keys van wildcards breed worden geïmplementeerd. Geef voor behoeften over meerdere zones de voorkeur aan SAN-certificaten of meerdere gerichte certificaten.

Standaardiseer CSR’s met certreq of IIS, handhaaf beleid voor sleutelbeheer (key custody) en automatiseer de verlenging ruim voor de NotAfter-datum om gefaseerde uitrol en OCSP/CRL-propagatie mogelijk te maken. Op webservers die lid zijn van een domein kan autoenrollment met een Web Server v3-template de uitgifte en verlenging automatiseren; gebruik ‘subject name supply in the request’ met de juiste goedkeuringen. Pas serverconfiguraties toe die alleen TLS 1.2/1.3 toestaan, schakel ECDHE cipher suites in voor forward secrecy en verwijder verouderde SHA-1 en export-grade ciphers.

Azure Key Vault breidt de levenscyclus van certificaten uit naar de cloud. U kunt bestaande PFX/PEM-certificaten importeren, nieuwe genereren met een in Key Vault geïntegreerde certificaatautoriteit (bijvoorbeeld DigiCert) via een certificaatbeleid, en automatische rotatie instellen zodat Key Vault de verlenging aanvraagt en de nieuwste versie bijhoudt. Het certificaatobject omvat een Key Vault-sleutel en een secret, wat exporteerbare PFX-workflows of door HSM ondersteunde, niet-exporteerbare sleutels mogelijk maakt, afhankelijk van het beleid. Applicaties en services halen de huidige versies op via RBAC of toegangsbeleid en managed identities. Met Key Vault-referenties kunnen services zoals Azure App Service en Azure Functions certificaten en secrets ophalen via een verwijzing, zonder deze in de configuratie op te nemen. Gebruik voor Windows Server-workloads in Azure of hybride omgevingen de Azure Key Vault VM-extensie of aangepaste automatisering met managed identities om bijgewerkte certificaten op te halen, te installeren in de Windows certificate store en het herstarten van services te activeren. Dit zorgt voor ‘zero-touch’ verlengingen voor webservers, reverse proxies en application gateways.

Praktisch Probleemscenario

Adobe Inc. moet encryptie en PKI standaardiseren over twee on-premises datacenters en in Azure gehoste Windows Server-workloads. Ze vereisen onbeheerde herstarts van servers in datacenters, geautomatiseerde verlenging van webcertificaten, herstel van versleuteling per bestand en minimale frictie voor gebruikers.

Bouw een twee-laags PKI met een offline root CA en twee online issuing CA’s

Waarom: Een offline root CA creëert een ’trust anchor’ met hoge betrouwbaarheid, terwijl issuing CA’s met een korte levensduur de blootstelling beperken en hoge beschikbaarheid ondersteunen. De hiërarchie maakt scheiding van taken, schaalbare scoping van templates en veilige publicatie van CRL/AIA mogelijk.

Implementeer een OCSP Online Responder-array achter een load balancer

Waarom: OCSP geeft op schaal intrekkingsantwoorden met lage latentie voor web- en applicatieservers. Een array met load balancing en health checks voorkomt ‘single points of failure’ en zorgt ervoor dat clients een actuele status krijgen zonder grote CRL’s te hoeven downloaden.

Maak v3-certificaattemplates voor Web Server, OCSP Response Signing en Computer Authentication; v2-templates voor EFS en S/MIME met key archival

Waarom: v3 maakt CNG/ECC mogelijk voor moderne TLS en het ondertekenen door responders; v2 maximaliseert de clientcompatibiliteit voor EFS/S/MIME en ondersteunt key archival voor encryptiesleutels. Scoping van templates dwingt uitgifte volgens het ’least privilege’-principe af.

Schakel autoenrollment in via Group Policy en wijs Read/Autoenroll-rechten op templates toe aan afgebakende security groups

Waarom: Autoenrollment elimineert handmatige stappen, regelt verlengingen voor de vervaldatum en ruimt ingetrokken/verlopen certificaten op. Scoping via security groups voorkomt overmatige uitgifte en volgt het ’least privilege’-principe.

Implementeer BitLocker op alle servers met TPM+PIN voor OS-volumes; sla herstelsleutels op in AD DS (escrow)

Waarom: TPM+PIN verhoogt de weerstand tegen offline aanvallen; escrow in AD DS garandeert herstelbaarheid. Servers voldoen aan de uptime-doelstellingen en zorgen tegelijkertijd voor auditeerbaarheid van sleutelbeheer op compliance-niveau.

Configureer Network Unlock met WDS en de Network Unlock-feature in de subnets van het datacenter

Waarom: Onbeheerde herstarts na patching zonder lokale consoletoegang worden mogelijk gemaakt, terwijl de TPM+PIN-beveiligingscontroles buiten het datacenter behouden blijven. UEFI+TPM en bekabelde DHCP voldoen aan de technische vereisten.

Beheer de BitLocker-status met Configuration Manager BitLocker Management en rapportage

Waarom: Configuration Manager biedt volwassen dekking voor servers, compliance-dashboards en workflows voor selfservice/herstel, wat de operationele overhead in een gemengde on-premises en Azure-omgeving vermindert.

Geef EFS-certificaten uit via AD CS en configureer DRA’s via GPO; verplicht gebruikers om back-ups te maken van EFS-certificaten

Waarom: Centrale uitgifte plus DRA’s garanderen bedrijfscontinuïteit voor versleuteling op bestandsniveau. DRA-sleutels worden streng beheerd om misbruik te voorkomen, terwijl herstelopties behouden blijven.

Centraliseer TLS-certificaten voor internetgerichte workloads in Azure Key Vault met beheerde CA-integratie en automatische rotatie; distribueer naar Windows Server via automatisering met managed identities

Waarom: Key Vault neemt de verlenging uit handen, centraliseert secrets, ondersteunt versiebeheer en maakt een veilige, geautomatiseerde implementatie op servers mogelijk. Automatische rotatie elimineert het verlopen van certificaten en sluit aan bij ‘zero-touch’ operaties.

Schakel Credential Roaming in voor een afgebakende groep gebruikers die EFS en S/MIME op meerdere apparaten nodig hebben

Waarom: Credential Roaming synchroniseert certificaten en DPAPI-sleutels, zodat gebruikers kunnen ontsleutelen en ondertekenen op verschillende werkstations zonder handmatige export/import, wat de productiviteit verbetert en het aantal supporttickets vermindert.

← Azure Arc en Hybride Serverbeheer · Alle domeinen · Windows Server Update- en Patchbeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →