【文章內(nèi)容簡介】 YW 第第 33頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理1．管理證書．管理證書 選擇 “開始 ”→“ 程序 ”→“ 管理工具 ”→“ 證書頒發(fā)機構(gòu) ”，即可打開如圖 “證書頒發(fā)機構(gòu) ”管理單元，通過該管理單元對證書頒發(fā)機構(gòu)進行管理和配置。 圖 “證書頒發(fā)機構(gòu) ”管理單元 SXTUINCYW 第第 34頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理2．配置策略模塊．配置策略模塊（ 1）從 “證書頒發(fā)機構(gòu) ”管理單元中選擇相應(yīng)的證書服務(wù)，單擊鼠標(biāo)右鍵，從快捷菜單中選擇 “屬性 ”，打開屬性設(shè)置對話框，切換到 “策略模塊”選項卡，鼠標(biāo)左鍵單擊“配置 ”按鈕，打開如圖。對于企業(yè) CA來說， “始終頒發(fā)證書 ”是惟一的選擇，根據(jù)用戶申請自動頒發(fā)證書。圖 設(shè)置頒發(fā)證書的默認操作 SXTUINCYW 第第 35頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理（ 2）切換到如圖 所示的 “ ”選項卡，可以添加或刪除用戶獲取證書吊銷列表和證書的 URL地址。企業(yè) CA的證書服務(wù)提供基于 Web和LDAP的訪問，這些URL地址可以是 HTTP、 LDAP或文件地址。其中 “%SERVERDNSNAME%”表示證書名稱。 圖 設(shè)置獲取證書吊銷列表和證書的位置 SXTUINCYW 第第 36頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理（ 3）回到證書服務(wù)屬性設(shè)置對話框，切換到 “退出模塊 ”，鼠標(biāo)左鍵單擊 “配置 ”按鈕，打開如圖 的對話框，選中 “允許在 ActiveDirectory中發(fā)行征書 ”復(fù)選框。 圖 設(shè)置證書發(fā)行 SXTUINCYW 第第 37頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理3．備份和還原證書頒發(fā)機構(gòu)．備份和還原證書頒發(fā)機構(gòu) u備份和還原操作的目的是保護證書頒發(fā)機構(gòu)及其可操作數(shù)據(jù)，以免因硬件或存儲媒體出現(xiàn)故障而導(dǎo)致數(shù)據(jù)丟失。通過使用證書頒發(fā)機構(gòu)管理單元可以備份和還原：公鑰、私鑰和 CA證書，證書數(shù)據(jù)庫，公鑰和私鑰使用 PKCS12的PFX格式備份或還原等類的信息。u證書頒發(fā)機構(gòu)提供了備份向?qū)Ш瓦€原向?qū)?。管理單元選擇相應(yīng)的證書服務(wù)，單擊鼠標(biāo)右鍵，從快捷菜單中選擇 “所有任務(wù) ”→“ 備份 CA”或 “還原 CA”，即可啟動向?qū)С绦颉? SXTUINCYW 第第 38頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理4．續(xù)訂．續(xù)訂 CA證書證書u由證書頒發(fā)機構(gòu)所頒發(fā)的每一份證書都具有有效期限。uCA的生存時間包括其所有 CA證書的過去和現(xiàn)在的有效期。 u證書服務(wù)強行實施的規(guī)則是， CA永遠不會頒發(fā)在超出自己證書的到期時間后有效的證書。因此，當(dāng) CA自身的證書達到它的有效期時，它頒發(fā)的所有證書也將到期。這樣，如果 CA因為某種目的沒有續(xù)訂，并且 CA的生存時間已到，則管理員確認當(dāng)前到期的 CA發(fā)出的所有證書不再作有效的安全憑據(jù)。 SXTUINCYW 第第 39頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理5．管理證書模板．管理證書模板u默認情況下，提供的證書模板有限，可根據(jù)需要添加，操作步驟如下。u（ 1）以管理員身份登錄到系統(tǒng)，打開 “證書頒發(fā)機構(gòu) ”管理單元。鼠標(biāo)左鍵單擊控制臺左側(cè)列表中的 “策略設(shè)置 ”，右側(cè)窗格中顯示已有的證書模板列表。如圖 示。 圖 查看現(xiàn)有證書模板 SXTUINCYW 第第 40頁頁 證書頒發(fā)機構(gòu)的配置和管理證書頒發(fā)機構(gòu)的配置和管理5．管理證書模板．管理證書模板u（ 2）在 “操作 ”菜單上選擇 “新建 ”→“ 要頒發(fā)的證書 ”，打開如圖 。從列表中選擇要使用的新證書模板，并單擊 “確定 ”按鈕。 圖 選擇證書模板 SXTUINCYW 第第 41頁頁 證書申請和注冊證書申請和注冊u證書注冊是請求、接收和安裝證書的過程。無論是用戶、計算機還是服務(wù)，要想利用證書，必須首先從證書服務(wù)器獲得有效的證書?？梢酝ㄟ^： ① 組策略自動請求證書， ② 使用證書申請向?qū)В?③ 瀏覽器獲得證書等 3種方式獲取證書。 1.通過組策略自動請求證書通過組策略自動請求證書 u在活動目錄域環(huán)境中，通過使用公鑰策略中的自動證書設(shè)置，活動目錄域或組織單位的計算機成員可以向 Windows2023企業(yè)證書服務(wù)器自動請求證書，這樣就不用為每臺計算機注冊與計算機相關(guān)的證書。只有運行 Windows2023或WindowsXP的域成員計算機能夠自動請求證書。 u配置自動證書注冊的關(guān)鍵是在組策略創(chuàng)建自動證書請求。 SXTUINCYW 第第 42頁頁 證書申請和注冊證書申請和注冊2.使用使用 MMC手工申請證書手工申請證書 符合下列條件才能使用證書申請向?qū)?。?1） ActiveDirectory環(huán)境。（ 2）客戶端計算機運行 Windows2023或 WindowsXP，并且加入到域作為域成員。（ 3）證書頒發(fā)機構(gòu)必須是 Windows2023企業(yè) CA。證書申請向?qū)褂没?MMC（管理控制臺）的證書管理單元，能夠直接從企業(yè) CA獲取證書。在使用證書管理單元之前，必須將其添加到 MMC控制臺。 SXTUINCYW 第第 43頁頁 證書申請和注冊證書申請和注冊3．使用．使用 Web 瀏覽器申請證書瀏覽器申請證書使用 Web瀏覽器申請證書是一種更通用，自定義功能更強的方法。遇到以下情況之一時，一般采用這種方法。① 受理申請的證書頒發(fā)機構(gòu)為 Windows2023獨立 CA，或者是通過 Inter提供證書服務(wù)的第三方證書服務(wù)器。② 客戶端計算機運行 Windows操作系統(tǒng)，如 Macintosh（Apple機）、 Linux等。③ 客戶端計算機運行 Windows98/Me/NT。④ 客戶端計算機運行 Windows2023/XP，但不是域成員，或不能訪問域控制器。⑤ 客戶端計算機需要通過 NAT服務(wù)器來訪問證書服務(wù)器。 SXTUINCYW 第第 44頁頁 證書申請和注冊證書申請和注冊下面以使用 IE瀏覽器申請證書 Windows2023企業(yè) CA為例，說明操作過程。 （ 1）打開 IE瀏覽器，在地址欄中輸入證書頒發(fā)機構(gòu)的 URL地址。對于集成到 IIS的證書服務(wù)，其地址為“srv”。默認情況下，將出現(xiàn) “輸入網(wǎng)絡(luò)密碼 ”對話框，要求使用 Web瀏覽器的證書申請者提供用戶名和密碼。驗證通過后，將出現(xiàn)如圖 的對話框。 圖 基于 Web的證書申請頁面 SXTUINCYW 第第 45頁頁 證書申請和注冊證書申請和注冊（ 2）選擇 “申請證書 ”。鼠標(biāo)左鍵單擊 “下一步 ”按鈕，出現(xiàn) “選擇申請類型 ”界面，這里選擇 “高級申請 ”單選鈕。如圖。 圖 選擇證書申請類型 SXTUINCYW 第第 46頁頁 證書申請和注冊證書申請和注冊（ 3）選擇高級證書申請方式。鼠標(biāo)左鍵單擊 “下一步 ”按鈕，出現(xiàn) “高級證書申請”界面，如圖。共有 3個選項，這里選擇第 1個選項，以表格形式提交申請。 圖 高級證書申請方式 SXTUINCYW 第第 47頁頁 證書申請和注冊證書申請和注冊（ 4）填寫申請表單。鼠標(biāo)左鍵單擊 “下一步 ”按鈕，出現(xiàn) “填寫申請表單 ”界面，如圖 。在 “證書模板 ”下拉列表中選擇所需的證書類型。其他要注意的選項填寫如下。 ① “CSP”（加密服務(wù)提供程序）。 MicrosoftBaseCryptographicProvider② “密鑰用法 ”。簽名或者兩者。③ “密鑰大小 ”。 512。如果 CSP選擇 “MicrosoftEnhancedCryptographicProvider”，則可以選擇較大的密鑰值。但是，注冊申請可能會失敗，因為Windows2023的版本可能沒有安裝 StrongCryptographyPack（加固密碼系統(tǒng)組件）。④ “創(chuàng)建新密鑰對 ”。選中該選項。⑤ “使用本地機器保存 ”。對于計算機身份驗證應(yīng)選中該復(fù)選框。 SXTUINCYW 第第 48頁頁 證書申請和注冊證書申請和注冊（ 5）安裝此證書。鼠標(biāo)左鍵單擊 “提交”（由于企業(yè)證書服務(wù)器自動頒發(fā)證書，因此用戶會立即收到證書已發(fā)布的通知信息）如圖。鼠標(biāo)左鍵單擊 “安裝此證書”，即開始安裝，證書已經(jīng)成功安裝提示，如