Déployer des certificats utilisateurs au sein d'un Active Directory

Cet article vise à vous accompagner dans le déploiement de certificats permettant la mise en place d'une authentification forte

Installation du rôle AD Certificate Services

1. Installer le rôle "Service de certificats Active Directory" sur un de vos serveurs. Il est important de noter qu'un serveur disposant de ce rôle doit être considéré comme particulièrement sensible et doit disposer d'un niveau de protection et surveillance similaire à celui d'un contrôleur de domaine.
   

Suivre les instructions de configuration de l'autorité de certification en fonction des besoins de votre entreprise.

Création d'un nouveau modèle de certificats

1. Ouvrir le gestionnaire de Certificats (certsrv) et le dossier "Modèles de certificats"
   
2. Faire un clic droit sur le dossier "Modèles de certificats", "Gérer" puis un clic droit sur "Utilisateur" et sélectionner finalement "Dupliquer le modèle".
   
   

   

3. Changer le nom du nouveau modèle ainsi créé par "Utilisateur v2"
   

   

4. Dans l'onglet "Securité" activer les droits "Lecture", "Inscrire" et "Inscription automatique" pour les utilisateurs du domaine.
   
5. Si nécessaire, la stratégie d'application de ce nouveau modèle peut être modifiée. Dans la plupart des cas ces certificats permettront l'authentification des utilisateurs, vérifiez donc que la stratégie d'application contient "Authentificaton du client". Vous pouvez supprimer les autres stratégies d'application si vous le souhaitez.
   
6. Dans l'onglet "Traitement de la demande", décochez l'option "Autoriser l'exportation de la clé privée"
   
7. Valider la création de ce nouveau modèle
8. Retourner sur la fenêtre de l'autorité de certification (certsrv) et faire un clic droit sur "Modèle de certificats" puis "Nouveau" et enfin "Modèle de certificat à délivrer"
   
9. Sélectionnez le modèle nouvellement créé et cliquez sur Ok
10. Le nouveau modèle doit désormais apparaitre dans la fenêtre courante
    

Activer l'inscription automatique des utilisateurs du domaine à ce certificat

 

1. Connectez-vous sur un contrôleur de domaine et ouvrez l'outil de Gestion de stratégie de groupe. Ouvrez le domaine pour lequel vous souhaitez activer l'inscription automatique puis le dossier "Objets de stratégie de groupe". Faites un clic droit sur "Default Domain Policy" puis cliquez sur "Modifier'.
2. Allez dans "Configuration utilisateur" -> "Strategie" -> "Paramètres Windows" -> "Paramètre de sécurité" -> "Stratégies de clé publique" puis cliquez sur "Client des services de certificats - Inscription automatique"
   
3. Sélectionnez "Activé" pour l'option "Modèle de configuration" et cochez les deux premières cases "Renouveler les certificats expirés [...]" et "Mettre à jour les certificats [...]" puis cliquez sur "Ok"
   
4. Il vous suffit alors de cliquer sur "Ok" et de fermer la GPO en question.
5. Depuis une session d'un utilisateur du domaine, tapez "gpudate /force" et attendez l'application de votre GPO. Un certificat devrait alors apparaitre dans votre magasin de certificat. Le cas contraire utilisez la commande "gpresult /r" pour vous assurez que la GPO est bien appliquée. Dans l'image ci-dessous c'est le certificat de l'utilisateur "Administrateur" qui est visible.