Windows OS [LAB 2] Triển Khai Active Directory Certificate Services Cho ManageEngine PAM360

Sau khi hoàn thành LAB 1 với việc xây dựng mô hình mạng, cấu hình Máy DC, cài đặt ManageEngine PAM360 và Join domain cho máy PAM360, bước tiếp theo là triển khai Active Directory Certificate Services.

Trong môi trường doanh nghiệp, PAM360 thường tích hợp với Active Directory thông qua LDAP hoặc LDAPS để xác thực người dùng và đồng bộ tài khoản. Nếu sử dụng LDAP thông thường, dữ liệu đăng nhập được truyền dưới dạng không mã hóa. Vì vậy, LDAPS sử dụng chứng chỉ số (SSL/TLS) để mã hóa toàn bộ quá trình giao tiếp, giúp tăng cường bảo mật.

Trong LAB này, mục tiêu là xây dựng một hệ thống CA nội bộ bằng AD CS để cấp phát chứng chỉ cho Domain Controller và các dịch vụ cần thiết, tạo nền tảng cho việc cấu hình LDAPS ở các LAB tiếp theo.

Mục tiêu​

• Hiểu kiến trúc của Active Directory Certificate Services (AD CS).
• Tìm hiểu vai trò của Enterprise CA.
• Cài đặt AD CS trên Windows Server.
• Cấu hình Enterprise Root CA.
• Cấp phát chứng chỉ cho Domain Controller.

Mô Hình


Hiện tại bài LAB 2, đang xoay quanh khu vực Management Zone.


I. Tổng quan về Active Directory Certificate Services (AD CS)

• Xác thực người dùng và máy tính.
• Mã hóa dữ liệu bằng SSL/TLS.
• Chữ ký số (Digital Signature).
• Mã hóa email (S/MIME).
• Xác thực thiết bị trong miền Active Directory.
• Cấu hình LDAPS cho Domain Controller.
• Cấp phát chứng chỉ cho VPN, IIS, RDP, Wi-Fi (802.1X), IPsec và nhiều dịch vụ khác.

• LDAP mặc định sử dụng cổng 389 và không mã hóa dữ liệu.
• Khi triển khai LDAPS (cổng 636), Domain Controller cần có chứng chỉ SSL/TLS do CA cấp.
• Website nội bộ sử dụng HTTPS cần chứng chỉ số.
• Máy chủ VPN cần chứng chỉ để xác thực người dùng.
• Người dùng có thể sử dụng Smart Card hoặc Certificate để đăng nhập Domain.

II. Vai trò của Enterprise Certificate Authority.
III. Cấu hình CA Root.
1.Cài đặt AD CS

Tick vào 2 Certi Auth cần thiết như trên ảnh
Màn Credentials → giữ nguyên tài khoản Enterprise Admin → Next.
Màn Role Services → tick Certification Authority và Certification Authority Web Enrollment → Next

Màn Setup Type → chọn Enterprise CA (vì đã có AD, cho phép cấp cert tự động qua domain) → Next.

Màn CA Type → chọn Root CA → Next.

Màn Private Key → chọn Create a new private key → Next.

Màn Cryptography → để mặc định (RSA, key length 2048, hash SHA256) → Next.
Màn CA Name → có thể đổi tên CA (vd SecurityLab-Root-CA) → Next.

Màn Validity Period → để mặc định (5 năm) → Next.

Màn CA Database → để đường dẫn mặc định → Next.
Màn Confirmation → bấm Configure.
Chờ xong → Close.

2.) Cấu hình SSL Certificate cho PAM360

Trong PAM360 console → Admin → General Settings → Connection → SSL Certification

Sau khi tạo xong Certificates -> Vào CSR chọn Cert vừa tạo -> Export ra 1 Folder bất kỳ ở Desktop -> Chuột phải vào Folder bật tính năng Share lên -> Sau đó ở máy DC ta dùng tổ hợp phím Window + R -> Gõ \\Tên máy PAM360 -> Đi Tới thư mục đã lưu Cert CSR -> Copy về máy DC

Trên máy DC -> Chạy Open With Notepad của file CSR vừa Copy về -> truy cập link http://hoa-ad.securityzone.lab/certsrv (http://tenmaydc.domain/certsrv) -> Copy hết đoạn mã Code


Sau khi chọn định dạng và Download Cert lưu vào Folder bất kỳ ở Window trên máy DC -> Nhấp chuột phải vào Folder chọn Share -> Ở máy PAM360 -> dùng tổ hợp Window + R -> Ghi \\Tên máy DC -> đi tới folder lưu giữ Cert đã được tạo -> Copy về máy PAM360

Vào Certificates -> CSR -> Import Cert -> Chọn Cert được lấy từ máy DC -> chọn Import.

Vào Certificates -> Certificates -> Keystore -> chọn KeyStore/JKS -> tải về.
Vào Admin -> Server Settings -> PAM360 Server -> Tìm tới upload KeyStore -> Nhập Keystore Password -> Save
Sau khi Save -> dùng tổ hợp phím Window + R -> Gõ Services.msc -> Tìm tới ManageEngine PAM360 -> Chuột phải chọn Restart

Truy cập lại Web nội bộ ta thấy không còn hiện cảnh báo Security

Kết Luận
- Qua LAB này, chúng ta đã triển khai thành công Active Directory Certificate Services (AD CS) trên Windows Server và cấu hình Enterprise Root Certification Authority (Enterprise Root CA) để xây dựng hạ tầng Public Key Infrastructure (PKI) trong môi trường Active Directory. Bên cạnh đó, Domain Controller đã được cấp phát chứng chỉ số, tạo tiền đề để triển khai dịch vụ LDAPS (LDAP over SSL/TLS), giúp mã hóa kết nối giữa Active Directory và các hệ thống khác. Đây là một bước quan trọng nhằm nâng cao tính bảo mật, đảm bảo quá trình xác thực và trao đổi dữ liệu được thực hiện an toàn trong môi trường doanh nghiệp.
- Cảm ơn các bạn đã dành thời gian theo dõi bài viết, Hy vọng LAB này sẽ giúp các bạn hiểu rõ hơn về Active Directory Certificate Services (AD CS) cũng như vai trò của Enterprise Root CA trong việc xây dựng hạ tầng PKI và chuẩn bị môi trường cho việc tích - hợp ManageEngine PAM360 với Active Directory. Nếu bài viết có thiếu sót hoặc cần bổ sung thêm nội dung, rất mong nhận được những ý kiến đóng góp từ cộng đồng để các LAB ngày càng hoàn thiện hơn.
Hẹn gặp lại các bạn trong LAB 3.