| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung Nächste ÜberarbeitungBeide Seiten der Revision |
| de:dfnpki:faq:ts-betrieb [2018/05/30 16:00] – Heike Ausserfeld | de:dfnpki:faq:ts-betrieb [2018/05/31 13:55] – Heike Ausserfeld |
|---|
| * Beraten von Nutzern | * Beraten von Nutzern |
| |
| Eine ausführliche Darstellung dieser Punkte findet sich in Kapitel 2 des Dokuments "Aufgaben des Teilnehmerservice (TS) in der DFN-PKI im Sicherheitsniveau Global". | Eine ausführliche Darstellung dieser Punkte findet sich in **Kapitel 2** des Dokuments [[https://www.pki.dfn.de/fileadmin/PKI/anleitungen/Aufgaben-TS-DFN-PKI.pdf|"Aufgaben des Teilnehmerservice (TS) in der DFN-PKI im Sicherheitsniveau Global"]]. |
| |
| ====1.2 Was ist eine handlungsberechtigte Person?==== | ====1.2 Was ist eine handlungsberechtigte Person?==== |
| |
| Das Einrichten eines TS umfasst im Wesentlichen folgende Aufgaben: | Das Einrichten eines TS umfasst im Wesentlichen folgende Aufgaben: |
| * Benennen der TS-Mitarbeiter (Formular F-TS-MA) | * Benennen der TS-Mitarbeiter [[https://www.pki.dfn.de/fileadmin/PKI/F-TS-Mitarbeiter.pdf|(Formular F-TS-MA)]] |
| * Schaffung der räumlichen und technischen Voraussetzungen | * Schaffung der räumlichen und technischen Voraussetzungen |
| * Bezug der persönlichen TS-Mitarbeiterzertifikate | * Bezug der persönlichen TS-Mitarbeiterzertifikate |
| * Verwendung der RA-Oberfläche (Java- oder Webbasiert) | * Verwendung der [[https://www.pki.dfn.de/die-cas-im-dfn/ra-oberflaeche/|RA-Oberfläche]] (Java- oder Webbasiert) |
| * Regelmäßige Überprüfung der Aktualität der Liste der TS-Mitarbeiter | * Regelmäßige Überprüfung der Aktualität der Liste der TS-Mitarbeiter |
| * Regelmäßiges Erstellen und Archivieren eines Schulungsbogens | * Regelmäßiges Erstellen und Archivieren eines Schulungsbogens |
| * Abmeldung von ausgeschiedenen TS-Mitarbeitern bei der DFN-PCA | * Abmeldung von ausgeschiedenen TS-Mitarbeitern bei der DFN-PCA |
| |
| Eine ausführliche Darstellung dieser Punkte findet sich in Kapitel 3 des Dokuments "Aufgaben des Teilnehmerservice (TS) in der DFN-PKI im Sicherheitsniveau Global". | Eine ausführliche Darstellung dieser Punkte findet sich in **Kapitel 3** des Dokuments [[https://www.pki.dfn.de/fileadmin/PKI/anleitungen/Aufgaben-TS-DFN-PKI.pdf|"Aufgaben des Teilnehmerservice (TS) in der DFN-PKI im Sicherheitsniveau Global"]]. |
| |
| ====1.4 Wie muss die regelmäßige Selbstschulung der TS-Mitarbeiter durchgeführt werden?==== | ====1.4 Wie muss die regelmäßige Selbstschulung der TS-Mitarbeiter durchgeführt werden?==== |
| * Archivierung der Antragsformulare | * Archivierung der Antragsformulare |
| |
| Eine ausführliche Darstellung dieser Punkte findet sich in Kapitel 4 des Dokuments "Aufgaben des Teilnehmerservice (TS) in der DFN-PKI im Sicherheitsniveau Global". | Eine ausführliche Darstellung dieser Punkte findet sich in **Kapitel 4** des Dokuments [[https://www.pki.dfn.de/fileadmin/PKI/anleitungen/Aufgaben-TS-DFN-PKI.pdf|"Aufgaben des Teilnehmerservice (TS) in der DFN-PKI im Sicherheitsniveau Global"]]. |
| |
| ====1.7 Was passiert mit nicht bearbeiteten Zertifikatanträgen?==== | ====1.7 Was passiert mit nicht bearbeiteten Zertifikatanträgen?==== |
| Sperranträge sind hiervon nicht betroffen. | Sperranträge sind hiervon nicht betroffen. |
| |
| 8. Was ist bei einer Namensänderung einer Einrichtung/Organisation zu tun? | ====1.8 Was ist bei einer Namensänderung einer Einrichtung/Organisation zu tun?==== |
| Neu ausgestellte Zertifikate müssen im Organisationsattribut (O-Attribut) im Zertifikatnamen (subjectDN) den zum Ausstellungszeitpunkt aktuellen offiziellen Namen des DFN-PKI-Teilnehmers enthalten - CP Abschnitte 3.1.1 und 3.1.2. Daher ist es wichtig, dass die DFN-PCA bei einer Namensänderung Ihrer Einrichtung/Organisation darüber informiert wird und am besten gleich ein objektiver Beleg für den neuen Namen beigebracht wird. | |
| |
| Ist Ihre Einrichtung/Organisation z.B. eine GmbH, ein eingetragener Verein oder anderweitig im Handels-, Vereins-, Partnerschafts- oder Genossenschaftsregister eingetragen, so nennen Sie uns bitte unter Angabe des eingetragenen geänderten Namens das zuständige Registergericht und die zugehörige Registerart und -nummer, siehe https://www.handelsregister.de. Ist Ihre Einrichtung/Organisation eine Stiftung, so belegen Sie den neuen Namen bitte z.B. mit der den neuen Namen festlegenden Stiftungssatzung oder dem/der in Kraft getretenen Gesetz/Verordnung mit der Namensänderung. Wird der neue Name Ihrer Einrichtung/Organisation anderweitig durch Gesetz oder Verordnung bestimmt (z.B. oft zu finden bei Stiftungen öffentlichen Rechts, Bundes- und Landesanstalten, Universitätskliniken, Hochschulen, Großforschungseinrichtungen, etc), so belegen Sie den Namen bitte mit dem entsprechenden Auszug aus dem/der in Kraft getretenen Gesetz/Verordnung. Im Falle von Hochschulen, die sich ihren Namen durch ihre Grundordnung selbständig geben, belegen Sie den Namen bitte durch den entsprechenden Auszug aus der in Kraft getretenen Grundordnung. Trifft keiner der o.a. Fälle zu, so belegen Sie uns den neuen Namen Ihrer Einrichtung/Organisation bitte durch andere aussagekräftige Dokumente, die durch objektive Dritte bestätigt sind. | Neu ausgestellte Zertifikate müssen im Organisationsattribut (O-Attribut) im Zertifikatnamen (subjectDN) den zum Ausstellungszeitpunkt aktuellen offiziellen Namen des DFN-PKI-Teilnehmers enthalten - [[https://www.pki.dfn.de/fileadmin/PKI/DFN-PKI_CP.pdf|CP Abschnitte 3.1.1 und 3.1.2]]. Daher ist es wichtig, dass die DFN-PCA bei einer Namensänderung Ihrer Einrichtung/Organisation darüber informiert wird und am besten gleich ein objektiver Beleg für den neuen Namen beigebracht wird. |
| |
| Geschieht die Umbenennung auf Grund von Zusammenlegung, Aufkauf, Ausgründung, Abspaltung, Umfirmierung (o.ä.) von Einrichtungen/Organisationen oder deren Teilen, so ist im Einzelfall zu prüfen, ob der alte Name vom Rechtsnachfolger noch weiter genutzt werden kann oder wie der neue Name auszusehen hat. | Ist Ihre Einrichtung/Organisation z.B. eine GmbH, ein eingetragener Verein oder anderweitig im Handels-, Vereins-, Partnerschafts- oder Genossenschaftsregister eingetragen, so nennen Sie uns bitte unter Angabe des eingetragenen geänderten Namens das zuständige Registergericht und die zugehörige Registerart und -nummer, siehe https://www.handelsregister.de. Ist Ihre Einrichtung/Organisation eine Stiftung, so belegen Sie den neuen Namen bitte z.B. mit der den neuen Namen festlegenden Stiftungssatzung oder dem/der in Kraft getretenen Gesetz/Verordnung mit der Namensänderung. Wird der neue Name Ihrer Einrichtung/Organisation anderweitig durch Gesetz oder Verordnung bestimmt (z.B. oft zu finden bei Stiftungen öffentlichen Rechts, Bundes- und Landesanstalten, Universitätskliniken, Hochschulen, Großforschungseinrichtungen, etc), so belegen Sie den Namen bitte mit dem entsprechenden Auszug aus dem/der in Kraft getretenen Gesetz/Verordnung. Im Falle von Hochschulen, die sich ihren Namen durch ihre Grundordnung selbständig geben, belegen Sie den Namen bitte durch den entsprechenden Auszug aus der in Kraft getretenen Grundordnung. Trifft keiner der o.a. Fälle zu, so belegen Sie uns den neuen Namen Ihrer Einrichtung/Organisation bitte durch andere aussagekräftige Dokumente, die durch objektive Dritte bestätigt sind. |
| |
| Sobald die DFN-PCA den neuen Namen Ihrer Einrichtung anerkennt, wird die Konfiguration entsprechend angepasst. | Geschieht die Umbenennung auf Grund von Zusammenlegung, Aufkauf, Ausgründung, Abspaltung, Umfirmierung (o.ä.) von Einrichtungen/Organisationen oder deren Teilen, so ist im Einzelfall zu prüfen, ob der alte Name vom Rechtsnachfolger noch weiter genutzt werden kann oder wie der neue Name auszusehen hat. |
| |
| 2. Domainnamen und E-Mail-Adressen | Sobald die DFN-PCA den neuen Namen Ihrer Einrichtung anerkennt, wird die Konfiguration entsprechend angepasst. |
| |
| 1. Wie erfolgt die Prüfung der Domainnamen? | ====2. Domainnamen und E-Mail-Adressen==== |
| |
| Jeder Teilnehmer an der DFN-PKI kann Zertifikate nur für Domains ausstellen, für die der Domaininhaber oder der technische Ansprechpartner in einem E-Mail-Challenge-Response-Verfahren zugestimmt hat. Um dies technisch sicherzustellen, wird von der DFN-PCA für jeden Teilnehmerservice eine Liste ihrer zulässigen Domains vorgehalten. TS-Mitarbeiter haben die Möglichkeit, diese Liste einzusehen und zu bearbeiten, z.B. wenn eine Einrichtung eine neue Domain nutzt. Zertifikatanträge mit Domainnamen, die nicht auf dieser Liste stehen, werden bereits bei der Antragstellung mit einer Fehlermeldung abgewiesen. | ====2.1 Wie erfolgt die Prüfung der Domainnamen?==== |
| |
| Die Freischaltung von Domains ist für 825 Tage gültig. Danach muss der Teilnehmerservice die Freischaltung erneut anstossen. | Jeder Teilnehmer an der DFN-PKI kann Zertifikate nur für Domains ausstellen, für die der Domaininhaber oder der technische Ansprechpartner in einem E-Mail-Challenge-Response-Verfahren zugestimmt hat. Um dies technisch sicherzustellen, wird von der DFN-PCA für jeden Teilnehmerservice eine Liste ihrer zulässigen Domains vorgehalten. TS-Mitarbeiter haben die Möglichkeit, diese Liste einzusehen und zu bearbeiten, z.B. wenn eine Einrichtung eine neue Domain nutzt. Zertifikatanträge mit Domainnamen, die nicht auf dieser Liste stehen, werden bereits bei der Antragstellung mit einer Fehlermeldung abgewiesen. |
| |
| Eine ausführliche Beschreibung findet sich im Dokument "Prüfung von Domainnamen in der DFN-PKI . | Die Freischaltung von Domains ist für 825 Tage gültig. Danach muss der Teilnehmerservice die Freischaltung erneut anstossen. |
| |
| 2. Welche E-Mail-Adressen können in ein Zertifikat der DFN-PKI Global aufgenommen werden? | Eine ausführliche Beschreibung findet sich im Dokument [[https://www.pki.dfn.de/fileadmin/PKI/anleitungen/DFN-PKI-Namenspruefung.pdf|"Prüfung von Domainnamen in der DFN-PKI]]. |
| Hierfür gibt es zwei Möglichkeiten: | |
| |
| E-Mail-Adressen, die aus einer Domain auf der Liste der zugelassenen E-Mail-Domains stammen, sind immer möglich (Ansicht über die Java RA-Oberfläche, "Administration->Konfiguration E-Mail-Domains"). | ====2.2 Welche E-Mail-Adressen können in ein Zertifikat der DFN-PKI Global aufgenommen werden?==== |
| Andere E-Mail-Adressen können, je nach Konfiguration, ebenfalls enthalten sein. An diese werden immer Bestätigungs-E-Mails mit je einem Link versandt, der aufgerufen werden muss, bevor der Teilnehmerservice den Antrag genehmigen kann. | |
| |
| Ob das Verfahren der Bestätigungs-E-Mails für Ihre RA aktiviert ist, hängt von der Konfiguration ab und ist durch die DFN-PCA nach Absprache einstellbar. | Hierfür gibt es zwei Möglichkeiten: |
| |
| 3. Kann die Versendung von Bestätigungs-E-Mails abgeschaltet werden? | * E-Mail-Adressen, die aus einer Domain auf der Liste der zugelassenen E-Mail-Domains stammen, sind immer möglich (Ansicht über die Java RA-Oberfläche, "Administration->Konfiguration E-Mail-Domains"). |
| | * Andere E-Mail-Adressen können, je nach Konfiguration, ebenfalls enthalten sein. An diese werden immer Bestätigungs-E-Mails mit je einem Link versandt, der aufgerufen werden muss, bevor der Teilnehmerservice den Antrag genehmigen kann. |
| |
| Ja. Es kann für jede RA nach Absprache mit der DFN-PCA konfiguriert werden, dass ausschließlich die auf der Liste der E-Mail-Domains enthaltenen Adressen verwendet werden. | Ob das Verfahren der Bestätigungs-E-Mails für Ihre RA aktiviert ist, hängt von der Konfiguration ab und ist durch die DFN-PCA nach Absprache einstellbar. |
| |
| 4. Was muss vor der Genehmigung von Zertifikatanträgen in Bezug auf E-Mail-Adressen geprüft werden? | ==== 2.3 Kann die Versendung von Bestätigungs-E-Mails abgeschaltet werden?==== |
| Generell muss geprüft werden, ob die E-Mail-Adresse dem Antragssteller zugeordnet ist. Ist die E-Mail-Adresse aus der Domain der Einrichtung, lässt sich dies in der Regel durch einrichtungsinterne Adresslisten o.ä. feststellen. | |
| |
| Bei E-Mail-Adressen, die durch eine Bestätigungs-E-Mail geprüft wurden (in der RA-Oberfläche erkennbar am Text "Bestätigt durch Nutzer"), ist nichts weiter zu prüfen. | Ja. Es kann für jede RA nach Absprache mit der DFN-PCA konfiguriert werden dass ausschließlich die auf der Liste der E-Mail-Domains enthaltenen Adressen verwendet werden. |
| | |
| | ====2.4 Was muss vor der Genehmigung von Zertifikatanträgen in Bezug auf E-Mail-Adressen geprüft werden?==== |
| | |
| | Generell muss geprüft werden, ob die E-Mail-Adresse dem Antragssteller zugeordnet ist. Ist die E-Mail-Adresse aus der Domain der Einrichtung, lässt sich dies in der Regel durch einrichtungsinterne Adresslisten o.ä. feststellen. |
| | |
| | Bei E-Mail-Adressen, die durch eine Bestätigungs-E-Mail geprüft wurden (in der RA-Oberfläche erkennbar am Text "Bestätigt durch Nutzer"), ist nichts weiter zu prüfen. |
| |
| 5. Was ist zu tun, wenn ein Nutzer der/die Aufnahme seiner E-Mail-Adresse in das Zertifikat widersprochen/zurückgewiesen hat? | 5. Was ist zu tun, wenn ein Nutzer der/die Aufnahme seiner E-Mail-Adresse in das Zertifikat widersprochen/zurückgewiesen hat? |