Работа автоматической подачи заявок
Всплывающие уведомления интерфейса пользователя
Для всех запросов, требующих взаимодействия с пользователем согласно шаблону сертификата, вызываются всплывающие уведомления интерфейса пользователя.
- Приблизительно в течение 60 секунд после входа в систему отображается всплывающие уведомления интерфейса пользователя. Если шаблоном сертификата никакое взаимодействие с пользователем не определено, то всплывающие уведомления интерфейса пользователя отображены не будут. Такая задержка вводится для ускорения времени отклика приложений и оболочки во время входа в систему и загрузки компьютера.
- Если же 60-ти секундная задержка нежелательна, то с согласия пользователя можно добавить следующий ключ в реестр:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Cryptography\AutoEnrollment\AEExpress
Не рекомендуется использовать данный ключ реестра при обычной работе. Его использование возможно лишь с одобрения пользователя.
Важно
Сертификаты компьютеров не поддерживают взаимодействие с пользователем, поэтому они не должны использоваться совместно с отложенными запросами.
- Всплывающие уведомления интерфейса пользователя ожидают, когда пользователь обратит на них внимание и активирует щелчком мыши. Учтите то, что приблизительно через 15 секунд всплывающее уведомление будет заменена значком сертификата, который можно будет активировать с помощью мыши в области уведомлений на панели задач.
- Если в течение 7 часов активация не будет выполнена, то всплывающее уведомление интерфейса пользователя исчезнет и процесс будет повторен при следующем входе в систему, перезагрузке компьютера или по истечении интервала обновления групповой политики, независимо от того, какое событие произойдет первым.
- Как только пользователь активирует всплывающее уведомление интерфейса пользователя, будет выполнена проверка хранилища "REQUEST" на наличие отложенных запросов.
Выдача шаблонов
Как только шаблон сертификата c надлежащей записью ACE будет перечислен, процесс автоматической подачи заявки начнет поиск в Active Directory центра сертификации предприятия, который бы мог выдать шаблон. При обнаружении более одного центра сертификации предприятия, клиент начинает их проверять в случайном порядке (с целью равномерного распределения нагрузки) до тех пор, пока не будет найден центр сертификации, готовый выдать сертификат.
Клиент связывается с центром сертификации с помощью интерфейса DCOM (DCOM – Distributed Component Object Model) и предоставляет контекст безопасности через DCOM для обеспечения запроса с проверкой подлинности. Модуль политики по умолчанию центра сертификации предприятия приводит профили сертификатов и безопасность подачи заявки в соответствие с тем, как это определено в шаблонах.
В случае если центр сертификации настроен так, чтобы откладывать запросы до тех пор, пока администратор или диспетчер сертификатов не проверят и не одобрят их, автоматическая подача заявки будет периодически запрашивать центр сертификации о наличии одобренных запросов во время каждого интервала обновления групповой политики. Автоматическая подача заявки также будет осуществлять повторную подачу заявки на шаблон в том случае, если установлен параметр Подать повторную заявку для всех владельцев сертификатов (Reenroll all certificate holders). Для получения дополнительной информации обратитесь к разделу "Обновление сертификатов" этой статьи.
Интерфейсы центра сертификации
Если используется центр сертификации, разработанный сторонним производителем (не Microsoft), то для того, чтобы принять запрос автоматической подачи заявки от клиента Windows XP, он должен эмулировать интерфейс ICertRequest2 так, как это определено в документации Platform SDK (Platform Software Development Kit).
Процесс автоматической подачи заявки использует следующие методы для подачи заявки и связи с центром сертификации предприятия:
- GetCAProperty
- Submit
- GetLastStatus
- GetRequestId
- GetFullResponseProperty
- GetCertificate
- Release
- RetrievePending
Описание данных методов можно найти в документации Platform SDK (Platform Software Development Kit) (EN).