Übersicht über die Verfügbarkeit von Optionen bei Veränderung der Kompatibilitätseinstellungen einer Zertifikatvorlage

Seit den Verwaltungstools für die Zertifikatdienste in Windows Server 2012 kann man beim Konfigurieren einer Zertifikatvorlage die gewünschte Kompatibilität für die Zertifizierungsstelle und Zertifikatempfänger auswählen.

Nachfolgend eine Übersicht, welche Optionen jeweils verfügbar werden, wenn die Kompatibilitätseinstellungen für die Zertifizierungsstelle und/oder die Zertifikatempfänger verändert werden.

Kompatibilitätseinstellungen für die Zertifizierungsstelle

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Von Windows Server 2003 auf Windows Server 2008

Cryptography / Use alternate signature format (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows Vista)
Cryptography / Key Storage Provider (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows Vista)

Von Windows Server 2008 auf Windows Server 2008 R2

Server / Do not store certificates and requests in the CA database
Server / Do not include revocation information in issued certificates
Extensions / Basic Constraints (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 7)

Von Windows Server 2008 R2 auf Windows Server 2012

Request Handling / Renew with the same key (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8)
Issuance Requirements / Allow key based renewal (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8)
Extensions / Enable requestor specified issuance policies (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8)

Von Windows Server 2012 auf Windows Server 2012 R2

Key Attestation / Required, if client is capable (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8.1)
Key Attestation / Required (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8.1)
Key Attestation / User credentials (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8.1)
Key Attestation / Hardware certificate (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8.1)
Key Attestation / Hardware key (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8.1)
Key Attestation / Perform attestation only (do not include issuance policies) (nur bei entsprechend eingestellter Client-Kompatibilität, mindestens Windows 8.1)

Von Windows Server 2012 R2 auf Windows Server 2016

Keine Veränderung

Kompatibilitätseinstellungen für die Zertifikatempfänger

Von Windows XP auf Windows Vista

Request Handling / For automatic renewal of smart card certificates, use the existing key if a new key cannot be created
Cryptography / Use alternate signature format (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2008)
Cryptography / Key Storage Provider (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2008)

Von Windows Vista auf Windows 7

Extensions / Basic Constraints (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2008 R2)

Von Windows 7 auf Windows 8

Subject Name / Use subject information from existing certificates for autoenrollment renewal request
Request Handling / Renew with the same key (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012)
Issuance Requirements / Allow key based renewal (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012)
Extensions / Enable requestor specified issuance policies (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012)

Von Windows 8 auf Windows 8.1

Key Attestation / Required, if client is capable (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012 R2)
Key Attestation / Required (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012 R2)
Key Attestation / User credentials (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012 R2)
Key Attestation / Hardware certificate (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012 R2)
Key Attestation / Hardware key (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012 R2)
Key Attestation / Perform attestation only (do not include issuance policies) (nur bei entsprechend eingestellter Server-Kompatibilität, mindestens Windows Server 2012 R2)

Von Windows 8.1 auf Windows 10

Keine Veränderung