bonjour la liste,
présentation: je gère l'infrastructure d'une PME (4 sites, 200 personnes) dont le métier est le développement/paramétrage de gros logiciels/boite à outils style gestion de données techniques. L'infra est à base de Windows clients (postes utilisateurs, VMs), de Windows serveurs, de linux/CentOS, de serveurs ESX, de pfSense, un peu de CISCO, ... un mix assez classique.
Je me suis déjà un peu frotté aux PKI, à travers l'utilisation de OpenVPN (PKI dédiée) ou de réseaux Wifi paramétrés en WPA/802.11x (authentification via Radius + PKI dédiée).
J'envisage de monter une "vraie" PKI interne pour gérer des certificats utilisateurs, qui serviraient pour un peu tout: connexion VPN, Wifi, signature électronique, etc.
Je ne pense pas (pour l'instant) faire de l'authentification forte, genre en stockant le certificat dans une puce cryptographique.
Si j'ai bien compris, La quincallerie m$ autour de Active Directory (millésime 2003) permet un gestion automatisée de certificats utilisateurs (création, révocation). Certificats, autorité de certification (primaire ou secondaire(s)) sont stocké dans l'AD. Il vaut mieux utiliser un Windows 2008 (juste membre AD) pour signer automatiquement les certificats utilisateurs (plutot qu'un controlleur AD sous Windows 2003). Les outils AD permettent également de distribuer (push) ces certificats utilisateurs dans les profiles utilisateurs Windows (stockage dans le certificate store de l'utilisateur), même si profile local (non-itinérant). Dans notre cas, on a plusieurs controlleurs AD en réplication inter-sites.
Du coup, pleins de questions, comme par exemple:
- des personnes ici ont déjà déployé ce genre de configurations ?
- Ce genre de configuration fonctionne correctement, la distribution des cert via l'AD est fiable ?
- soucis éventuels liés aux réplications AD ?
- Comment fournissez-vous les listes de revocation des certificats ? via une URL HTTP et/ou le protocole OCSP ?
- des recommendations sur des noms de professionels pour se faire accompagner dans une telle démarche ?
Merci d'avance pour vos retours !
Pierre Bourgin