Существует ли инструмент для централизованного управления сертификатами?

Question

[partisan42]

Доброго дня.
Имеется такая сеть.
Около 100 рабочих мест, везде Win10. Все компы в домене AD. На 90% компов стоит КриптоПРО. С помощью этого КриптоПРО на компах стоят сертификаты (хранятся в реестре).
И тут руководство поставило задачу, провести аудит, у кого, какой сертификат стоит, и лишить пользователей возможности устанавливать сертификаты себе самостоятельно.
Был ли у кого подобный опыт? Есть ли какая нибудь возможность поставить себе что то типа КриптоПРО Управление сетью (название условно), и управлять этим вопросом централизованно, а не бегать к каждому компу?

Comments

[Василий Банников]

Может проще тогда все сертификаты поставить на сервер и пусть все через него работают?

[partisan42]

Василий Банников, Вариант хороший, но получается тогда мне всех на работу на сервере терминалов придётся переводить, а там мощей столько нет:(

[Василий Банников]

partisan42, можно не терминальный сервер делать, а только определённый софт. + его ещё и автоматизировать можно.
Для чего у вас сертификаты используются?

Answer 1

[Дмитрий]

https://www.cryptopro.ru/products/dss
Программно-аппаратный комплекс КриптоПро DSS 2.0 предназначен для централизованного, защищенного хранения закрытых ключей пользователей, а также для удаленного выполнения операций по созданию электронной подписи (ЭП) с использованием ПАКМ КриптоПро HSM.

Answer 2

[CityCat4]

Ну, я бы начал с поиска - нет ли у самого криптопро такого решения. Средства централизованной выдачи сертификатов в винде есть - это доменная оснастка Управление сертификатами, но это именно внутренний CA, а не внешний.
Придется наверное лабать что-то на vbs/ps потом запускать через политики при входе юзера

Answer 3

[Владимир]

Пусть старшие товарищи поправят, но современная российская нормативка по СКЗИ решительно осуждает практику "на компах стоят сертификаты (хранятся в реестре)". Это в теории.
На практике, я видел 3 варианта:
1. Платная https://kit-journal.ru/sign_skzi
2. Бесплатная https://imbasoft.ru/viewtopic.php?t=5
3. Бесплатная но брошенная программа https://sedkazna.ru/forum.html?view=topic&catid=8&id=30 Но вроде как автор за разумное вознаграждение готов возродить и допилить.