Аутентификация по смарт-картам

[goris Профиль]

Пытаюсь настроить аутентификацию в домене по eToken.

У них на сайте нашел документик, в котором описывается процесс внедрения этой технологии.

Поставил в домене CA в режиме предприятия. У него в политики добавил три новых шаблона сертификата: Smartcard User, Enrollment Agent, Exchange User.

Что еще для счастья надо?

Пытаюсь запросить с рабочей станции пользователя новый сертификат.

Делаю это через оснастку - мою CA вообще не видно.
Пытаюсь через веб-интерфейс - на выбор не предлагается требуемого шаблона - Smartcard User, а предлагаются только User, Exchange User и Basic EFS.

Пытаюсь запросить Exchange User, заливаю сертификат на токен, пытаюсь с него залогиниться - вставляю, ввожу пин-код, а он мне пишет "требуемый контейнер не найден".

Help!

[Harry33 Профиль СайтICQ]

goris
Там много разных радостей, в частности исаользовать обратимое шифрование и т.п.

[goris Профиль]

Harry33
Очень информативно...
Шифрование еще как обратимое. ГОСТовые алгоритмы. Криптопровайдер CryptoPro. Дело не в этом явно.

А что, неужели никто не разворачивал у себя подобную систему?!

[Harry33 Профиль СайтICQ]

goris
Ты уж извени, но я не разворачивал, поэтому практического совета дать не могу, только теория.

[goris Профиль]

Harry33
А жаль...

Тут кстати еще одна проблемка возникла... Может вы знаете, в чем дело.

В виндовом хелпе прописано, как выставлять разрешения к шаблонам сертификатов.
Надо открыть оснастку "Active Directory Sites and Services", включить View -> Show Services Node, открыть раздел Services-> Public Key Services -> Certificate Templates, выбрать требуемый шаблон, окрыть его Properties, и там должна быть вкладка "Security".
НО ЕЕ НЕТ ДАЖЕ С ПРАВАМИ ДОМЕН-АДМИНА И ПОЛНЫМ ДОСТУПОМ КО ВСЕМ ОБЪЕКТАМ ЭТОГО РАЗДЕЛА!!!

В чем может быть дело?.. Есть какие-то догадки?

[biruk Профиль]

может ты не enterprise admin ?

[goris Профиль]

Он самый....

Вообще права самые наивысшие в домене...

Может надо членом какой-нибудь другой хитрой группы стать?

[Harry33 Профиль СайтICQ]

Подожди.. так вопрос в использовании сертификатов ?
1. В групповых политиках что настраивал или не настраивал в разделе Windows Setting /SecuritySetting/Public Key Policy?
2. Что присутствует в разделах TrustedRoot и Automatic Certificate Request?

[goris Профиль]

В политиках ничего не настраивал, кроме того что добавил в Trusted Root свой CA...

[Harry33 Профиль СайтICQ]

goris
Ок
В оснастке самого сервера сертификатов необходимо добавить типы сертификатов выдаваемых сервером. В групповых политиках необходимо прорисовать правила выдачи сертификатов того или иного типа.
В общем давай сначала.
1. Установил сервер сертификатов.
2. Создал в процессе установки корневой сертификат.
3. Установил на сервер дополнительные шаблоны сертификатов.
4. Разрешил серверу через оснастку CA выдавать требуемые типы сертификатов.
5. Определил на сервере и в ГП порядок выдачи указанных типов сертификатов.
6. Пришел на CA через WEB и попытался получить сертификат указанного типа...

Теперь вопрос, Что из этого получилось, что нет?