Aby móc wystawiać certyfikaty cyfrowe i zarządzać nimi w ramach infrastruktury klucza publicznego, należy na serwerze Windows zainstalować rolę
A. Active Directory Federation Service.
B. usługi certyfikatów Active Directory.
C. usługi LDS w usłudze Active Directory.
D. usługi domenowe Active Directory.
Rola potrzebna do wystawiania i zarządzania certyfikatami cyfrowymi w środowisku Windows Server to usługi certyfikatów Active Directory, czyli AD CS. To właśnie ta rola pozwala zbudować wewnętrzny urząd certyfikacji CA w ramach infrastruktury klucza publicznego PKI. W praktyce oznacza to możliwość wydawania certyfikatów X.509 dla użytkowników, komputerów, serwerów WWW, usług VPN, sieci Wi-Fi 802.1X, szyfrowania poczty czy podpisywania kodu. Moim zdaniem to jedna z tych usług, które na początku wydają się trochę „administracyjne i nudne”, ale bez niej trudno dobrze zabezpieczyć większą sieć firmową. AD CS pozwala też zarządzać szablonami certyfikatów, odnowieniami, listami unieważnień CRL oraz publikacją informacji o zaufaniu. Zgodnie z dobrymi praktykami branżowymi główny urząd certyfikacji, zwłaszcza Root CA, powinien być mocno chroniony, a czasem nawet odłączony od sieci, natomiast certyfikaty robocze wydaje podrzędny urząd CA. Ważne jest również ustawienie odpowiednich okresów ważności certyfikatów, kontroli dostępu do szablonów i procedur unieważniania. Dzięki temu certyfikaty nie są tylko „plikiem z kłódką”, ale realnym mechanizmem potwierdzania tożsamości i szyfrowania komunikacji.
W tym pytaniu łatwo pomylić kilka usług Active Directory, bo ich nazwy są podobne i wszystkie kojarzą się z serwerem Windows oraz infrastrukturą firmową. Active Directory Federation Services, czyli AD FS, nie służy do wystawiania certyfikatów jako urząd certyfikacji. Ta rola jest używana głównie do federacji tożsamości, logowania jednokrotnego SSO i przekazywania zaufania między różnymi organizacjami lub aplikacjami, na przykład przy integracji z usługami chmurowymi. Certyfikaty mogą tam występować technicznie, ale raczej jako element zabezpieczenia komunikacji i podpisywania tokenów, a nie jako pełne zarządzanie PKI. Usługi domenowe Active Directory, czyli AD DS, odpowiadają za domenę, konta użytkowników, grupy, komputery, zasady grupy GPO i uwierzytelnianie w sieci. To fundament wielu środowisk Windows, ale samo AD DS nie tworzy urzędu certyfikacji. Częsty błąd polega na myśleniu, że skoro certyfikaty są używane w domenie, to wystarczy zainstalować domenę. No właśnie nie wystarczy. Active Directory Lightweight Directory Services, czyli AD LDS, to lżejsza usługa katalogowa dla aplikacji, bez pełnej domeny i typowych mechanizmów logowania domenowego. Ona też nie jest przeznaczona do wydawania certyfikatów X.509, obsługi CRL czy szablonów certyfikatów. Do takich zadań potrzebne są usługi certyfikatów Active Directory, czyli AD CS. To one realizują funkcje CA, współpracują z domeną i umożliwiają centralne zarządzanie certyfikatami zgodnie z praktykami bezpieczeństwa.