Instalación y configuración de entidad emisora de certificados en MS Windows Server 2012 R2

Hola a tod@s.

En este post vamos a ver como instalar y configurar una entidad emisora de certificados en MS Windows Server 2012 R2, esto nos va a permitir generar a nosotros mismos nuestros propios certificados, dándole seguridad a nuestras comunicaciones.

• Empezamos la configuración de nuestro servidor Active Directory Certificate Services (ADCS) asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Para empezar a instalar ADCS abrimos elAdministrador del servidor y nos vamos a Administrar>Agregar  roles y características:

• Se nos abre este asistente, clic en siguiente para continuar:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos el servidor y clic sobre siguiente:

• Ahora agregamos el rol de “Servicios de certificados de Active Directory”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este rol:

• Clic en siguiente para continuar:

• Todas las características que requiere nuestro servidor de certificados se seleccionan por defecto por lo que hacemos clic en siguiente:

• Nos muestra información sobre los servicios de certificados de Active Directory, clic en “siguiente”:

• En los servicios de rol seleccionamos “Inscripción web de entidad de certificación”, el servicio “Entidad de certificación” ya está seleccionado por defecto, clic en “siguiente”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este servicio de rol:

• Clic en siguiente para continuar:

• Nos muestra información sobre el rol de IIS (Internet Information Services), clic en siguiente para continuar:

• Lo dejamos todo por defecto, clic en “siguiente”:

• Nos muestra un resumen de todo lo seleccionado, marcamos el check para que reinicie el servidor cuando instale los roles que hemos seleccionado, clic sobre “Instalar”:

• Comienza con la instalación de toda la configuración elegida en los asistentes:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre “cerrar”:

• Ahora para configurar los Servicios de certificado de Active Directory, sobre el Administrador del servidor, en los warning, hacemos clic en “Configurar Servicios de certificado de Active Directory”:

• Se nos abre el siguiente asistente, dónde introducimos las credenciales del administrador del dominio:

• Seleccionamos “Entidad de certificación” e “Inscripción web de entidad de certificación”:

• El tipo de instalación elegida será Entidad de certificación empresarial, ya que vamos a trabajar sobre nuestro dominio:

• El tipo de CA será root:

• Seleccionamos la opción “Crear una clave privada nueva”:

• Seleccionamos los parámetros por defecto:

• Lo dejamos tal cuál está:

• En el período de validez, elegimos por ejemplo 20 años:

• Las ubicaciones de las bases de datos las dejamos por defecto:

• Nos muestra un resumen de todo lo configurado en el asistente, clic a “Configurar”:

• Como podemos ver todo ha finalizado correctamente, clic en “Cerrar”:

• Si todo está funcionando correctamente nos podremos conectar a nuestra entidad de certificación en la URL http://localhost/certsrv, dónde cargará la página principal:

• Ahora vamos a ejecutar el Administrador de Internet Information Services (IIS) y comprobamos que las conexiones por HTTPS no están habilitadas:

• Para habilitar las conexiones por HTTPS vamos a seguir estos pasos, en primer lugar nos abrimos una consola de Windows PowerShell y ejecutamos el comando, certtmpl.msc:

• Se nos abre la siguiente consola y sobre el panel de detalles seleccionamos “Servidor Web”, luego hacemos clic sobre “Plantilla duplicada”:

• Sobre la pestaña “Compatibilidad” lo dejamos por defecto:

• Sobre la pestaña “General” le damos un nombre a la plantilla y el período de validez le damos 5 años:

• Sobre la pestaña “Seguridad” agregamos la cuenta del servidor que tiene el rol de Entidad de certificación:

• En Tipos de objeto seleccionamos Equipos:

• Agregamos nuestro servidor de Entidad de certificación:

• Le asignamos los permisos necesarios:

• Sobre la pestaña “Nombre del sujeto” configuramos estas opciones:

• Sobre la pestaña “Criptografía” el tamaño mínimo de clave debe estar en el valor 2048, aplicamos y aceptamos:

• Cerramos la consola de Plantillas de certificado y abrimos la consola de Entidad de certificación en las Herramientas administrativas:

• Sobre la consola de Entidad de certificación hacemos un clic derecho de ratón sobre “Plantillas de certificado”, seleccionamos Nuevo>Plantilla de certificado que se va a emitir:

• Seleccionamos la nueva plantilla de certificado que configuramos anteriormente y clic en “Aceptar”:

• Nos abrimos una consola de Windows PowerShell y escribimos el comando mmc, en la nueva consola que se nos abre damos clic sobre Archivo y Agregar o quitar complemento:

• Seleccionamos certificados y agregamos:

• Se nos abre este asistente dónde vamos configurando las siguientes opciones:

• Aceptamos la configuración:

• Sobre la nueva consola que acabamos de configurar solicitamos un nuevo certificado:

• Se nos vuelve a abrir un nuevo asistente, dónde vamos configurando lo siguiente:

• Como podemos ver se ha inscrito correctamente, clic en “Finalizar”:

• Ahora nos abrimos el Administrador de IIS, y sobre Default web Site hacemos clic en Modificar sitio > Enlaces:

• Añadimos las conexiones HTTPS a través del puerto 443:

• Como podemos ver ya tenemos la nueva conexión por HTTPS agregada:

• Ya podemos acceder a nuestra entidad de certificación a través de HTTPS:

 

Saludos y espero que os resulte de ayuda 😉