## Создание учётной записи пользователя user-AdminCA в домене Study.su
> [!note] Примечание
> Данная учётная запись должна обладать правами “Администратора предприятия” в домене и “Администратора компьютера” на локальном компьютере, на котором устанавливается роль центра сертификации.
### Настройка на компьютере SERVER-AD
1. Откройте **”Диспетчер серверов”** -> **”Средства”** (в правом верхнем углу) -> **”Центр администрирования Active Directory”**.
2. В левой части окна в дереве консоли раскройте узел `Study (локальный)`, выделите запись `Users (пользователи)`. С правой стороны окна в панели **”Задачи”** в подпанели **”Users”** выберите **”Создать”** -> **”Пользователь”**.
3. Введите `user-AdminCA` в полях **”Полное имя”** и **”Вход пользователя”** (поля помечены индикатором обязательного заполнения).
4. Введите `QWErt12345` в полях **”Пароль”** и **”Подтверждение пароля”**.
5. Установите переключатель **”Другие параметры пароля”** (справа), а затем установите флажки **”Запретить смену пароля пользователю”** и **”Срок действия пароля не ограничен”**.
6. Нажмите кнопку **”ОК”**.
7. В папке **”Users”** правой кнопкой мыши выделите `user-AdminCA`, выберите **”Добавить в группу”**. В появившемся окне введите `адм`, нажмите клавишу **”Enter”** и выберите группу **”Администраторы предприятия”**, нажмите **”ОК”**.
8. В папке **”Users”** правой кнопкой мыши нажмите на `user-AdminCA` и выберите пункт меню **”Свойства”**. Выберите вкладку **”Членство в группах”**, выделите группу **”Администраторы предприятия”**. Нажмите **”Задать основную группу”**, затем **”ОК”**.
### Настройка на компьютере SERVER-CA
9. Нажмите клавишу **”Windows”** на клавиатуре, выберите **”Панель управления”** -> **”Учётные записи пользователей”** -> **”Предоставление другим пользователям доступа к компьютеру”**, нажмите **”Добавить”**. Введите имя `user-AdminCA` и домен `Study.su`, щёлкните **”Далее”**. Отметьте флажком роль **”Администратор”** и нажмите **”Далее”**, затем **”Готово”**.
10. Завершите текущий сеанс: нажмите клавишу **”Windows”** на клавиатуре, откроется интерфейс начального экрана с указанием текущей учётной записи в правом верхнем углу. Нажмите на учётную запись и выберите **”Выйти”**. Для применения изменений необходимо выполнить вход под учётной записью `user-AdminCA`.
## Установка службы сертификации на SERVER-CA и роли веб-сервера
Выполнение данной части лабораторной работы осуществляется на виртуальной машине `SERVER-CA` под учётной записью `user-AdminCA`.
### Подготовка конфигурационного файла политики центра сертификации
1. Откройте приложение **”Блокнот”**, создайте новый файл и введите следующую конфигурацию:
“`ini
[Version]
Signature=”$Windows NT$”
[certsrv_server]
renewalkeylength=2048
RenewalValidityPeriodUnits=10
RenewalValidityPeriod=years
CRLPeriodUnits=2
CRLPeriod=days
CRLDeltaPeriodUnits=12
CRLDeltaPeriod=hours
LoadDefaultTemplates=0
[BasicConstraintsExtension]
pathlength=0
critical=true
“`
2. Выберите пункт меню **”Файл”** -> **”Сохранить как”**. Измените значение поля **”Тип файла”** на **”Все файлы”** и сохраните файл под именем `CAPolicy.inf` на **”Рабочий стол”**, затем скопируйте файл в директорию установки операционной системы `C:\Windows`.
### Установка ролей служб сертификации
3. В окне **”Диспетчера серверов”** в меню **”Управление”** выберите ссылку **”Добавить роли и компоненты”**.
4. На странице **”Перед началом работы”** диалогового окна **”Мастер добавления ролей и компонентов”** нажмите кнопку **”Далее”**.
5. Выберите **”Установка ролей и компонентов”** и нажмите кнопку **”Далее”**.
6. Выберите целевой сервер из пула серверов, в данном случае `SERVER-CA.study.su`. Нажмите кнопку **”Далее”**.
7. Установите флажок **”Службы сертификатов Active Directory”**, в появившемся окне выберите **”Добавить компоненты”**, нажмите кнопку **”Далее”**.
8. В секции **”Выбор компонентов”** нажмите кнопку **”Далее”**, ознакомьтесь с описанием **”Службы сертификатов Active Directory”**, нажмите **”Далее”**.
9. В секции **”Службы ролей”** диалогового окна **”Выбор служб ролей”** установите флажок **”Служба регистрации в центре сертификации через Интернет”** (в открывшемся окне нажмите **”Добавить компоненты”**) и убедитесь в наличии флажка на пункте **”Центр сертификации”**.
10. Нажмите **”Далее”** три раза. Установите флажок на пункте **”Автоматический перезапуск конечного сервера, если требуется”**, выберите **”Да, Установить”**, затем **”Закрыть”**.
11. Откройте **”Диспетчер серверов”**, секция **”Уведомления”**, и выберите **”Настроить службу сертификатов Active Directory”**.
12. В появившемся окне **”Конфигурация службы сертификатов Active Directory”** проверьте корректность введённых учётных данных. Учётная запись должна обладать правами **”Локального администратора компьютера”** и **”Администратора предприятия домена”**. В поле ввода пользователя введите значение в формате `Домен\Имя_пользователя`, например `study\user-AdminCA` или `study.su\user-AdminCA`, нажмите **”Далее”**.
13. Выберите роли для настройки: **”Центр сертификации”** и **”Служба регистрации в центре сертификации через Интернет”**, нажмите **”Далее”**.
14. Выберите пункт **”Центр сертификации предприятия”** и нажмите кнопку **”Далее”**.
> [!note] Примечание Если данный пункт отсутствует в списке выбора, учётная запись `user-AdminCA` не обладает необходимыми правами. Проверьте членство в группе “Администраторы предприятия”.
15. Выберите пункт **”Корневой центр сертификации”** и нажмите кнопку **”Далее”**.
16. Выберите пункт **”Создать новый закрытый ключ”** и нажмите кнопку **”Далее”**.
17. Ознакомьтесь со списком поставщиков служб шифрования. Оставьте параметры криптографии по умолчанию, нажмите кнопку **”Далее”**.
> [!tip] Подсказка В операционной системе Windows Server 2012 по умолчанию используется длина ключа 2048 бит.
18. Для подтверждения имени центра сертификации по умолчанию нажмите кнопку **”Далее”** в диалоговом окне **”Имя центра сертификации”**.
19. Нажимайте кнопку **”Далее”** до тех пор, пока не потребуется подтвердить все параметры конфигурации по умолчанию.
20. В диалоговом окне **”Подтверждение”** нажмите кнопку **”Настроить”**. Процесс настройки может занять несколько минут. После завершения нажмите **”Закрыть”**.
21. Откройте директорию `C:\Windows\System32\CertSrv\CertEnroll` для просмотра корневого сертификата и списков отозванных сертификатов.
22. После установки убедитесь в отсутствии шаблонов сертификатов. Для этого откройте **”Диспетчер серверов”** -> **”Средства”** -> **”Центр сертификации”**. Раскройте узел `study-SERVER-CA-CA`, выберите **”Шаблоны сертификатов”**, убедитесь, что список пуст (файл `CAPolicy.inf` подключён корректно). При обнаружении шаблонов удалите их.
23. Откройте диалоговое окно **”Выполнить”** (клавиши `Windows + R`), запустите приложение `pkiview.msc` для просмотра текущих конфигураций параметров **”Точка доступа к информации об издателе”** (AIA), **”Точка публикации списков отзыва”** (CDP), **”Точка публикации дельта-списков отзыва”** (DeltaCDP).
> [!note] Примечание Роль корневого центра сертификации не устанавливается на контроллер домена по соображениям распределения нагрузки и обеспечения безопасности.