Microsoft NDES: सुरक्षित डिवाइस प्रमाणीकरण और प्रमाणपत्र प्रबंधन

द्वारा

स्टीफन जे. बिगेलो, वरिष्ठ प्रौद्योगिकी संपादक

प्रकाशित: 28 फरवरी, 2017

Microsoft Network Device Enrollment Service (NDES) Windows Server 2008 R2 और बाद के Windows Server ऑपरेटिंग संस्करणों में एक सुरक्षा सुविधा है। NDES उन प्रमाणपत्रों को प्रदान और प्रबंधित करता है जिनका उपयोग ट्रैफिक को प्रमाणित करने और उन डिवाइस के साथ सुरक्षित नेटवर्क संचार लागू करने के लिए किया जाता है जिनके पास अन्यथा वैध डोमेन क्रेडेंशियल नहीं हो सकते हैं।

NDES Active Directory Certificate Services (AD CS) का एक कार्य है और Simple Certificate Enrollment Protocol (SCEP) पर आधारित है, जो डिवाइस को अन्य AD डोमेन क्रेडेंशियल के बिना किसी प्रमाणन प्राधिकरण (CA) से X.509 प्रमाणपत्र के संस्करण 3 का उपयोग करने के लिए नामांकित कर सकता है, आमतौर पर एक समर्पित CA सर्वर। एडमिनिस्ट्रेटर सार्वजनिक कुंजी वितरण, प्रमाणपत्र नामांकन, क्वेरी और निरसन का समर्थन करने के लिए NDES का उपयोग करते हैं। NDES डिवाइस के लिए वन-टाइम नामांकन पासवर्ड प्रदान करता है, डिवाइस नामांकन अनुरोधों को CA को अग्रेषित करता है, CA से नामांकित प्रमाणपत्र प्राप्त करता है और उन्हें डिवाइस को अग्रेषित करता है।

NDES का एक सामान्य उपयोग समर्पित नेटवर्क डिवाइस - जैसे राउटर, फायरवॉल और स्विच - को प्रमाणपत्र जारी करना है - जो आमतौर पर नेटवर्क ट्रैफिक को संभालने के लिए आंतरिक सॉफ्टवेयर चलाते हैं। हालांकि, इनमें से कुछ डिवाइस के पास Active Directory डोमेन के लिए पारंपरिक क्रेडेंशियल नहीं होते हैं, और एडमिनिस्ट्रेटर को प्रमाणीकरण के लिए NDES जैसी सेवा का उपयोग करना चाहिए।

NDES कॉन्फ़िगर करते समय, एक एडमिनिस्ट्रेटर पसंदीदा CA सर्वर भी निर्दिष्ट कर सकता है, पंजीकरण प्राधिकरण (RA) के लिए जानकारी सेट कर सकता है जिसका उपयोग प्रमाणपत्र बनाने के लिए किया जाता है और क्रिप्टोग्राफिक सेटिंग्स को कॉन्फ़िगर कर सकता है ताकि कुंजियों को संग्रहीत करने के लिए विभिन्न Cryptographic Service Providers का उपयोग किया जा सके या कुंजी की लंबाई बदली जा सके।

एक विशिष्ट नामांकन प्रक्रिया तब शुरू होती है जब वांछित डिवाइस के लिए एक सार्वजनिक-निजी कुंजी जोड़ी बनाई जाती है। NDES तब एडमिनिस्ट्रेटर को एक पासवर्ड देता है। एडमिनिस्ट्रेटर डिवाइस को पासवर्ड के साथ सेट कर सकता है और डिवाइस को संगठन के पब्लिक की इन्फ्रास्ट्रक्चर (PKI) पर भरोसा करने की अनुमति देता है। एडमिनिस्ट्रेटर तब डिवाइस को NDES को नामांकन अनुरोध भेजने की अनुमति देता है, जो अनुरोध को स्वीकार करता है और CA को अग्रेषित करता है। CA एक प्रमाणपत्र जारी करता है और इसे NDES को वापस करता है, और डिवाइस अंततः नामांकन पूरा करने के लिए NDES से जारी प्रमाणपत्र प्राप्त करेगा।

एक ठीक से नामांकित डिवाइस को CA द्वारा जारी एक निजी कुंजी और संबंधित प्रमाणपत्र प्राप्त होगा ताकि सुरक्षित नेटवर्क सत्र में एक विश्वसनीय इकाई बन सके। डिवाइस पर चलने वाला सॉफ्टवेयर तब उन क्रेडेंशियल का उपयोग करके नेटवर्क में अन्य डिवाइस के साथ सुरक्षित रूप से ट्रैफिक का आदान-प्रदान कर सकता है।

NDES कई अलग-अलग तत्वों को नियोजित करता है। डिवाइस या क्लाइंट भौतिक लक्ष्य डिवाइस है, जैसे राउटर या इंटेलिजेंट स्विच, जिसमें डोमेन क्रेडेंशियल की कमी होती है और जिसे प्रमाणपत्र की आवश्यकता होती है। सेवा NDES सर्वर है - और इसे पंजीकरण प्राधिकरण कहा जा सकता है। CA सर्वर प्रमाणपत्र सेवाएं चलाता है और क्लाइंट को प्रमाणपत्र जारी करता है। एक डोमेन कंट्रोलर Active Directory Domain Services (AD DS) को संभालता है, जो एक सर्वर भूमिका है जो प्रमाणपत्र टेम्पलेट संग्रहीत करती है और एंटरप्राइज डोमेन में प्रमाणपत्र नीतियों को लागू करती है।