Active Directory Certificate Services (AD CS) ile Otomatik Sertifika Dağıtımı

Active Directory Certificate Services (AD CS), kurum içi sertifika altyapısı (PKI) oluşturmak için kullanılan Windows Server rolüdür. AD CS sayesinde kullanıcı, bilgisayar, cihaz veya servis sertifikaları otomatik olarak dağıtılabilir. Bu yapı, kimlik doğrulama, şifreleme ve imzalama işlemlerinin güvenli şekilde yönetilmesini sağlar.

AD CS Nedir ve Neden Kullanılır?

AD CS, dijital sertifikaları üretir, yönetir ve iptal eder. En yaygın kullanım alanları:

• 802.1X Wi-Fi veya VPN kimlik doğrulaması (EAP-TLS, PEAP).
• Web sunucusu (IIS/HTTPS) sertifikaları.
• Client/Server kimlik doğrulaması (RDP, IPsec, SMB signing).
• Otomatik şifreleme (EFS, S/MIME, BitLocker).

AD CS Rolleri

• Certificate Authority (CA): Sertifika üretimi ve yönetimi.
• Web Enrollment: Web arayüzüyle manuel sertifika talebi.
• Online Responder (OCSP): Sertifika geçerlilik sorgulama (CRL yerine daha hızlı).
• Certificate Enrollment Policy/Services: Otomatik sertifika kaydı (auto-enrollment).

Kurulum Öncesi Gereksinimler

• Windows Server 2019 veya 2022 (Domain Member).
• DNS ve AD DS yapılandırılmış olmalı.
• Güçlü bir hizmet hesabı (ör. svc-ca), Domain Admin haklarına sahip.

Adım 1 – AD CS Rolü Kurulumu

Install-WindowsFeature ADCS-Cert-Authority -IncludeManagementTools
Install-AdcsCertificationAuthority -CAType EnterpriseRootCA -CACommonName "CorpRootCA"

Kurulum sırasında “Enterprise CA” seçilirse AD entegrasyonu aktif hale gelir.

Adım 2 – Sertifika Şablonu (Template) Oluşturma

CA Konsolu → Certificate Templates → Sağ tıklayın → Manage → Var olan bir şablonu kopyalayın (ör. User veya Computer).

1. General: Yeni isim verin (ör. “Domain User AutoCert”).
2. Security: “Domain Users” veya “Domain Computers” için Enroll ve Autoenroll izinlerini verin.
3. Subject Name: “Build from Active Directory Information” seçili olmalı.
4. Extensions → Application Policies: Client Authentication, Server Authentication vb. ekleyin.

Adım 3 – Şablonu Yayınlama

CA Konsolu → Certificate Templates → New → Certificate Template to Issue
→ “Domain User AutoCert” şablonunu seçin.

Adım 4 – Group Policy ile Otomatik Dağıtım

Group Policy Management → Yeni GPO (ör. “AutoCert Distribution”) oluşturun
→ Computer Configuration → Policies → Windows Settings → Security Settings → Public Key Policies
→ Certificate Services Client – Auto-Enrollment → Enabled + Renew expired + Update.

Bu ayar, ilgili OU’daki bilgisayar veya kullanıcı hesaplarının oturum açtığında sertifikayı otomatik almasını sağlar.

Adım 5 – Sertifika Kaydı Testi

Kullanıcı veya bilgisayarda komut çalıştırın:

certutil -pulse
# veya GUI'de
mmc → Certificates (Current User) → Personal → Certificates

Yeni sertifika otomatik olarak görünüyorsa, Auto-Enrollment başarılı olmuştur.

Adım 6 – Sertifika Yenileme ve İptal

• Sertifika süresi dolmadan 30 gün önce otomatik yenilenir.
• İptal işlemleri: Certification Authority → Revoked Certificates → Revoke Certificate.
• CRL (Certificate Revocation List) düzenli olarak güncellenmelidir.

Adım 7 – OCSP (Online Responder) ile Hızlı Geçerlilik Kontrolü

OCSP sunucusu ekleyerek CRL kontrolünü hızlandırabilirsiniz:

Install-WindowsFeature ADCS-Online-Cert -IncludeManagementTools
Install-AdcsOnlineResponder

Sonrasında CA Konsolu → Revocation Configuration → Add → CA bağlantısını tanımlayın.

Adım 8 – İzleme ve Raporlama

• Event Viewer: Applications and Services Logs → Microsoft → Windows → CertificateServicesClient.
• certutil -view: Sertifika durumlarını listelemek için kullanılır.
• PowerShell: Get-Certificate -Template "Domain User AutoCert".

En İyi Uygulamalar

• Root CA çevrimdışı tutulmalı, sadece alt CA (Subordinate CA) aktif olmalı.
• Private key’leri HSM veya BitLocker ile koruyun.
• CA yedeklemelerini düzenli alın: certutil -backup.
• Auto-Enrollment yalnız güvenilen OU’lara uygulanmalı.
• İptal edilen sertifikalar için CRL yayın adresi (CDP) doğru olmalı.

Sonuç

Active Directory Certificate Services, kurum içinde otomatik, merkezi ve güvenli bir sertifika dağıtım altyapısı sağlar. GPO tabanlı auto-enrollment, yönetim yükünü azaltırken kimlik doğrulama ve veri güvenliğini artırır. HostLigo altyapısında çalışan Windows VDS sunucular üzerinde AD CS kullanarak güvenli ve ölçeklenebilir bir PKI mimarisi kurabilirsiniz.