Two Tier PKI Tasarımı Bölüm-2

Subordinate CA İçin CAPolicy.inf Dosyasının Oluşturulması

Subordinate CA kurulumu öncesinde, sertifika otoritesinin çalışma süresi, anahtar uzunluğu ve politika bilgilerini tanımlayan CAPolicy.inf dosyasını hazırlamamız gerekir. Bu dosya, CA kurulumu sırasında otomatik olarak okunur ve belirlediğimiz ayarların kalıcı olarak uygulanmasını sağlar.

1. Not Defteri’ni açın.
2. Aşağıdaki içeriği kopyalayın ve yapıştırın.
3. Dosyayı C:\Windows\CAPolicy.inf yoluna kaydedin.

Not: Dosya uzantısının .inf olduğundan ve kayıt konumunun doğru olduğundan emin olun.

[Version]
Signature="$Windows NT$"
[PolicyStatementExtension]
Policies=InternalPolicy
[InternalPolicy]
OID= 1.2.3.4.1455.67.89.5
Notice="This CA is governed by the internal PKI policy of cozumpark"
URL=https://pki.cozumpark.com/cps.html
[Certsrv_Server]
RenewalKeyLength=4096
RenewalValidityPeriod=Years
RenewalValidityPeriodUnits=10
LoadDefaultTemplates=0
AlternateSignatureAlgorithm=0

Root CA Sertifikasının DC Üzerinde Yayınlanması

İlk olarak Root CA üzerinden aşağıdaki konumu takip ederek sertifikaları DC üzerine kopyalıyoruz.

 C:\Windows\System32\CertSrv\CertEnroll

certutil -f -dspublish “A:\PKIROOT_cozumpark-PKIROOT.crt” RootCA

certutil -f -dspublish “A:\cozumpark-PKIROOT-CA.crl” BURAYA ROOT CA'NIN DNS İSMİNİ YAZIYORUZ

Daha sonra aynı sertifikaları subordinate sunucu olan PKIES1 sunucusu üzerine kopyalayıp aşağıdaki komutları kullanarak import ediyoruz.

Daha sonra PKIES1.cozumpark.com_cozumpark-PKIES1-CA.crt ve cozumpark-PKIES1-CA.crl dosyalarını pkiro sunucusunun C:\CertEnroll klasörüne kopyalıyoruz.

Subordinate CA Kurulumu

Subordinate CA’nın çalışabilmesi için, üst otorite olan Root CA tarafından imzalanmış bir CA sertifikasına ihtiyacı vardır. Bu nedenle, kurulum sırasında bir sertifika talebi dosyası (CSR) oluşturulur ve Root CA’ya iletilir.

1. Certificate Request ekranında Save a certificate request to file on the target machine seçeneğini işaretleyin.
2. Sertifika talep dosyasının kaydedileceği konumu onaylayın veya ihtiyacınıza göre değiştirin.
3. Next butonuna tıklayarak ilerleyin.

Bu işlem tamamlandığında, belirtilen dizinde .req uzantılı bir dosya oluşturulur. Bu dosya Root CA’ya iletilerek imzalanmalı, ardından Subordinate CA üzerinde yüklenmelidir.

Root CA Üzerinde Sertifika Talebinin Onaylanması
Subordinate CA tarafından oluşturulan sertifika talep dosyası (.req), Root CA’ya yüklenir ve burada onaylanarak imzalanmış CA sertifikası oluşturulur.

1. Root CA üzerinde Certification Authority konsolunu açın.
2. Sol menüden Pending Requests klasörünü seçin. Burada Subordinate CA’dan gelen talebi göreceksiniz.
3. İlgili talebi sağ tıklayın, All Tasks > Issue seçeneğini tıklayın.
4. Talep onaylandığında, sertifika Issued Certificates klasöründe görünecektir.

Bu işlem sonrasında imzalanan sertifika dışa aktarılır ve Subordinate CA’ya geri yüklenir.

Sonrasında ROOT CA’de aşağıdaki komutu çalıştırıun

Subordinate CA Sertifikasının Root CA’dan Alınması ve Yüklenmesi

Root CA üzerinde sertifika talebini onayladıktan sonra, imzalanan sertifikayı Subordinate CA’ya geri yüklememiz gerekir.

1. Root CA üzerinde sertifikayı dışa aktarma
   
   • Pending Requests adımında onaylanan sertifika, komut satırından aşağıdaki şekilde alınır:
     certreq -retrieve 2 “PKIES1.cozumpark.com_cozumpark-PKIES1-CA.crt”
   • Bu işlem sonunda .crt uzantılı imzalı sertifika dosyası oluşturulur.
     
2. Subordinate CA üzerinde sertifikayı yükleme
   
   • Certification Authority konsolunu açın.
   • Sol panelde CA adına sağ tıklayın, All Tasks > Install CA Certificat seçeneğini seçin.
   • Root CA’dan aldığınız .crt dosyasını göstererek yüklemeyi tamamlayın.

Bu adımlar tamamlandığında Subordinate CA servisi başlatılır ve sertifika dağıtımına hazır hale gelir.

CRL ve Sertifika Geçerlilik Sürelerinin Yapılandırılması

Subordinate CA üzerinde CRL (Certificate Revocation List) ve sertifika geçerlilik süreleri, kuruluş politikalarına uygun olarak ayarlanmalıdır. Aşağıdaki komutlar ile bu süreleri belirleyebilirsiniz:

Certutil -setreg CA\CRLPeriodUnits 1
Certutil -setreg CA\CRLPeriod "Weeks"
Certutil -setreg CA\CRLDeltaPeriodUnits 1
Certutil -setreg CA\CRLDeltaPeriod "Days"
Certutil -setreg CA\CRLOverlapPeriodUnits 12
Certutil -setreg CA\CRLOverlapPeriod "Hours"
Certutil -setreg CA\ValidityPeriodUnits 5
Certutil -setreg CA\ValidityPeriod "Years"

CA Denetim Politikalarının Yapılandırılması

PKI altyapısında güvenlik ve olay takibi sağlamak için, CA sunucusunda hem yerel güvenlik politikaları hem de CA’ya özel denetim filtreleri yapılandırılmalıdır.

1. Yerel Güvenlik Politikası Üzerinden Nesne Erişim Denetimi
   • Local Security Policy konsolunu açın.
   • Security Settings > Local Policies > Audit Policy yolunu izleyin.
   • Audit object access seçeneğini Success ve Failure olarak işaretleyin.
   • Bu ayar, sertifika ve anahtar depolarına yapılan tüm erişim girişimlerini loglamaya başlar.

CA Audit Filter Ayarının Yapılandırılması

• Komut isteminde aşağıdaki komutu çalıştırın

CRL ve AIA Yayınlama Noktalarının Yapılandırılması

PKI altyapısında sertifika zincirinin doğrulanabilmesi için, CA sertifikaları ve CRL’ler (Certificate Revocation List) erişilebilir konumlarda yayınlanmalıdır. Bunun için AIA (Authority Information Access) ve CDP (CRL Distribution Point) adresleri tanımlanır.

1. AIA (CA Sertifika Yayınlama Noktaları) Ayarlarının Yapılması

certutil -setreg CA\CACertPublicationURLs “1:C:\Windows\system32\CertSrv\CertEnroll\%1_%3%4.crt\n2:ldap:///CN=%7,CN=AIA,CN=Public Key Services,CN=Services,%6%11\n2:http://pki.canped.net/CertEnroll/%1_%3%4.crt”

CA Sertifikasının Yayın Noktasına Kopyalanması

Bu adım, CA sertifikasını belirlenen paylaşım dizinine kopyalayarak yayınlamayı sağlar.

copy “c:\Windows\System32\certsrv\certenroll\CA02 EncryptionConsulting.com_ EncryptionConsulting Issuing CA.crt” \\srv1.EncryptionConsulting.com\c$\certenroll\

CRL (Sertifika İptal Listesi) Yayınlama Noktalarının Yapılandırılması

certutil -setreg CA\CRLPublicationURLs "65:C:\Windows\system32\CertSrv\CertEnroll\%3%8%9.crl\n79:ldap:///CN=%7%8,CN=%2,CN=CDP,CN=Public Key Services,CN=Services,%6%10\n6:http://pki.cozumpark.com/CertEnroll/%3%8%9.crl\n65:\\pkior.cozumpark.com\CertEnroll\%3%8%9.crl"

net stop certsvc && net start certsvc
certutil -crl

OCSP (Online Responder) Rolünün Yüklenmesi

PKI altyapısında istemcilerin sertifika iptal durumunu hızlı bir şekilde sorgulayabilmeleri için OCSP (Online Certificate Status Protocol) servisi kullanılır. Bu servis, CRL dosyaları yerine anlık sorgulama ile iptal bilgisini döndürerek özellikle büyük yapılarda performans avantajı sağlar.

OCSP URL’sinin Subordinate CA Üzerindeki AIA Uzantısına Eklenmesi

Subordinate CA kurulumu tamamlandıktan sonra, istemcilerin sertifika iptal sorgularını hızlı bir şekilde yapabilmesi için Authority Information Access (AIA) uzantısına OCSP URL’si eklenmelidir. Bu ayar, Subordinate CA tarafından dağıtılan sertifikalarda OCSP bilgisinin otomatik olarak yer almasını sağlar.

1. Subordinate CA yönetim konsolunu açın, CA adına sağ tıklayın ve Properties menüsünü seçin.
2. Extensions sekmesine geçin.
3. Select extension menüsünden Authority Information Access (AIA) seçeneğini seçin.
4. Add butonuna tıklayın.
5. Location alanına OCSP sunucu adresini girin (örnek: http://pki.cozumpark.com/ocsp).
6. OK ile kaydedin ve değişikliklerin aktif olması için Certificate Services servisini yeniden başlatın.

Bu adım ile Subordinate CA’nın yayımladığı tüm sertifikalar, iptal durum kontrolünü OCSP üzerinden yapabilecek şekilde yapılandırılmış olur.

OCSP hizmetinin çalışabilmesi için, Online Responder sunucusunun sertifika otoritesi tarafından imzalanmış bir OCSP Response Signing sertifikasına sahip olması gerekir. Bu işlem Subordinate CA üzerinde yapılır.

1. Subordinate CA yönetim konsolunda Certificate Templates bölümünde OCSP Response Signing şablonunu bulun.
2. Şablon üzerinde sağ tıklayın, Properties menüsünü açın.
3. Security sekmesine gelin ve OCSP sunucusunun bilgisayar hesabını (ör. PKIOR) ekleyin.
4. Bu hesap için Enroll ve Autoenroll izinlerini verin.
5. Değişiklikleri kaydedin.

Bu işlem tamamlandığında, OCSP sunucusu Subordinate CA’dan otomatik olarak geçerli bir OCSP Response Signing sertifikası alabilecek ve istemcilerin sertifika iptal sorgularına yanıt verebilecektir.

Subordinate CA ile Entegre OCSP Revocation Configuration Oluşturulması

OCSP servisi kurulduktan ve OCSP Response Signing sertifikası alındıktan sonra, Online Responder üzerinde Subordinate CA ile entegre çalışacak bir Revocation Configuration tanımlaması yapılmalıdır. Bu işlem OCSP sunucusunda gerçekleştirilir ancak yapılandırma Subordinate CA’nın CRL ve AIA bilgilerini kullanır.

1. Online Responder konsolunu açın.
2. Revocation Configuration bölümüne sağ tıklayın ve Add Revocation Configuration seçeneğini seçin.
3. Açılan sihirbazda aşağıdaki adımları izleyin:
   • Yapılandırma için bir ad belirleyin.
   • Subordinate CA’nın sertifikasını seçin.
   • Daha önce verilen OCSP Response Signing sertifikasını imzalama sertifikası olarak atayın.
   • Revocation provider olarak Subordinate CA’nın CRL dağıtım noktalarını yapılandırın.
4. Finish ile sihirbazı tamamlayın.

Bu adım tamamlandığında OCSP servisi, Subordinate CA tarafından yayımlanan sertifikaların iptal durumunu anlık olarak doğrulamak için çalışır hale gelir.

Subordinate CA Sertifikasının Domain Ortamında Yaygınlaştırılması

Subordinate CA kurulumu tamamlandıktan sonra, istemcilerin bu CA tarafından imzalanan sertifikalara güvenebilmesi için CA sertifikasının domain ortamındaki tüm istemcilere dağıtılması gerekir.

1. Subordinate CA Sertifikasının Dışa Aktarılması
   • Subordinate CA üzerinde aşağıdaki komutu çalıştırarak CA sertifikasını dışarı aktarır

certutil -config “pkiro.cozumpark.com\cozumpark-PKIES1-CA”
 -ca.cert cozumpark-PKIES1-CA.cer

Subordinate CA, kök sertifika otoritesinin altında çalıştığı için, istemcilerde bu CA’nın sertifikası Intermediate Certification Authorities deposuna eklenmelidir. Bu işlem de Group Policy üzerinden yapılır.

1. Group Policy Management Console (GPMC) uygulamasını açın.
2. Default Domain Policy veya özel olarak oluşturduğunuz bir GPO’yu düzenleyin.
3. Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies yolunu izleyin.
4. Intermediate Certification Authorities klasörüne sağ tıklayın, Import seçeneğini seçin.
5. Certificate Import Wizard ile Subordinate CA sertifika dosyasını (.cer) yükleyin.

OCSP Yapılandırmasının Doğrulanması

OCSP yapılandırması tamamlandıktan sonra, Online Responder konsolundan yapılandırmanın doğru çalışıp çalışmadığını kontrol etmek gerekir. Bu doğrulama, Subordinate CA tarafından yayımlanan sertifikaların iptal durumunu sorgulamak için kritik öneme sahiptir.

1. Online Responder yönetim konsolunu açın.
2. Revocation Configuration altında ilgili yapılandırma adını (ör. cozumpark-PKIES1-CA) seçin.
3. Revocation Configuration Status bölümünde:
   • Signing Certificate durumunun OK olduğundan,
   • Revocation Provider Status bölümünde hata olmadığından emin olun.
4. Alt kısımda görülen CA Certificate ve AIA Locations alanlarının durumları OK olmalıdır.

Kurulum ve yapılandırma tamamlandıktan sonra, PKI altyapısının genel durumunu kontrol etmek için PKIView.msc (Enterprise PKI) aracı kullanılabilir. Bu araç, CA sertifikalarının, CRL/CDP, AIA ve OCSP yayın noktalarının erişilebilirliğini ve güncelliğini merkezi olarak gösterir.

1. PKIView.msc aracını çalıştırın.
2. Listede Subordinate CA ve bağlı olduğu Root CA görüntülenecektir.
3. Status sütununda tüm bileşenlerin OK olarak görünmesi gerekir. Özellikle:
   • CA Certificate – CA sertifikasının geçerli olduğunu gösterir.
   • AIA Locations – Sertifika erişim noktalarının (LDAP ve HTTP) çalıştığını gösterir.
   • CDP Locations – CRL erişim noktalarının (LDAP ve HTTP) erişilebilir olduğunu gösterir.
   • Delta CRL Locations – Delta CRL güncellemelerinin çalıştığını gösterir (varsa).
   • OCSP Location – OCSP hizmetinin çalıştığını ve sorgulara yanıt verebildiğini gösterir.

Bu ekranda tüm satırların OK olması, hem Root CA hem de Subordinate CA için iptal kontrol mekanizmalarının (CRL ve OCSP) sorunsuz çalıştığını doğrular.

Bu makalede, iki katmanlı (Two-Tier) PKI altyapısının planlanması, kurulumu ve yapılandırılması adım adım ele alındı. Root CA ve Subordinate CA rolleri, güvenlik politikaları, CRL/AIA yayını, OCSP entegrasyonu, sertifika dağıtımı ve altyapının doğrulanması gibi kritik konular ayrıntılı olarak incelendi.

Bu yapı, kurum içi ve dışı güvenli iletişim, kimlik doğrulama, imzalama ve şifreleme süreçlerinde güçlü bir temel oluşturur. Düzenli izleme, periyodik bakım ve güvenlik güncellemeleriyle desteklendiğinde, uzun yıllar boyunca sorunsuz bir şekilde çalışabilir.