Devo installare un PKI nella mia organizzazione. Lavoro in un ambiente Windows. Ho già impostato una CA offline. Ora devo installare una CA subordinata. Ho la scelta tra l'installazione della CA subordinata su un controller di dominio o su un server che esegue altri servizi (WSUS, ...). Mi piacerebbe sapere da un punto di vista della sicurezza qual è la mia migliore opzione e perché?
La risposta semplice, ignorando eventuali vincoli operativi?
Situazione 1: Se la sicurezza della CA è (1) RAFFINATA COME importante per la sicurezza come il controller di dominio (2) hai abbastanza capacità di riserva e (3) non hai bisogno di ridurre la sicurezza per la DC dando a qualcuno di speciale accedere alla CA o modificare le regole del firewall come risultato, quindi eseguirlo sul controller di dominio perché:
Seconda situazione: è MENO importante della CA. È per comodità da qualche parte, o test e i certificati non sono fondamentali per la sicurezza. Quindi eseguirlo su un server separato. Perché:
Situazione tre: è molto più importante della sicurezza DC. Ad esempio, stai gestendo una CA commerciale.
Leggi altre domande sui tag windows public-key-infrastructure certificate-authority