Windows Server 2003CA_證書服務(wù)器配置

1、Windows CA 證書服務(wù)器配置(一) Microsoft 證書服務(wù)安裝安裝準(zhǔn)備：插入Windows Server 2003 系統(tǒng)安裝光盤添加IIS組件：點擊確定，安裝完畢后，查看IIS管理器，如下：添加證書服務(wù)組件：如果您的機(jī)器沒有安裝活動目錄，在勾選以上證書服務(wù)時，將彈出如下窗口：由于我們將要安裝的是獨立CA，所以不需要安裝活動目錄，點擊是，窗口跳向如下：默認(rèn)情況下，用自定義設(shè)置生成密鑰對和CA證書沒有勾選，我們勾選之后點擊下一步可以進(jìn)行密鑰算法的選擇：Microsoft 證書服務(wù)的默認(rèn)CSP為：Microsoft Strong Cryptographic Provider，默認(rèn)散列算

2、法：SHA-1，密鑰長度：2048您可以根據(jù)需要做相應(yīng)的選擇，這里我們使用默認(rèn)。點擊下一步：填寫CA的公用名稱（以AAAAA為例），其他信息（如郵件、單位、部門等）可在可分辨名稱后綴中添加，有效期限默認(rèn)為5年（可根據(jù)需要作相應(yīng)改動，此處默認(rèn)）。點擊下一步：點擊下一步進(jìn)入組件的安裝，安裝過程中可能彈出如下窗口：單擊是，繼續(xù)安裝，可能再彈出如下窗口：由于安裝證書服務(wù)的時候系統(tǒng)會自動在IIS中（這也是為什么必須先安裝IIS的原因）添加證書申請服務(wù)，該服務(wù)系統(tǒng)用ASP寫就，所以必須為IIS啟用ASP功能，點擊是繼續(xù)安裝：完成證書服務(wù)的安裝。開始 管理工具 證書頒發(fā)機(jī)構(gòu)，打開如下窗口：我們已經(jīng)為服務(wù)器成

3、功配置完公用名為AAAAA的獨立根CA，Web服務(wù)器和客戶端可以通過訪問該服務(wù)器的IIS證書申請服務(wù)申請相關(guān)證書。此時該服務(wù)器（CA）的IIS下多出以下幾項：我們可以通過在瀏覽器中輸入以下網(wǎng)址進(jìn)行數(shù)字證書的申請：http:/hostname/certsrv或http:/hostip/certsrv申請界面如下：Windows CA 證書服務(wù)器配置(二) 申請數(shù)字證書在IE地址欄中輸入證書服務(wù)系統(tǒng)的地址，進(jìn)入服務(wù)主頁：點擊申請一個證書進(jìn)入申請頁面：如果證書用作客戶端身份認(rèn)證，則可點擊Web瀏覽器證書或高級證書申請，一般用戶申請Web瀏覽器證書即可，高級證書申請里有更多選項，也就有很多專業(yè)術(shù)語，高

4、級用戶也可點擊進(jìn)入進(jìn)行申請。這里我們以點擊申請Web瀏覽器證書為例：申請Web瀏覽器證書，姓名是必填項，其他項目可不填，但由于CA服務(wù)器的管理員是根據(jù)申請人的詳細(xì)信息決定是否頒發(fā)的，所以請盡量多填，并且填寫真實信息，因為CA管理員會驗證申請人的真實信息，然后進(jìn)行頒發(fā)。需注意的一點是，國家（地區(qū)）需用國際代碼填寫，CN代表中國。如果想查看更多選項，請點擊更多選項：在更多選項里，默認(rèn)的CSP為Microsoft Enhanced Cryptographic Provider v1.0，選擇其他CSP不會對認(rèn)證產(chǎn)生影響。默認(rèn)情況下啟用強(qiáng)私鑰保護(hù)并沒有勾選上，建議將它勾選上，點擊提交后就會讓申請人設(shè)置

5、證書的安全級別，如果不將安全級別設(shè)置為高級并用口令進(jìn)行保護(hù)，則只要機(jī)器上裝有該證書，任何人都可以用它作為認(rèn)證，所以建議將證書設(shè)置為高級安全級別，用口令進(jìn)行保護(hù)。以下將作相應(yīng)操作，點擊提交：單擊是：單擊設(shè)置安全級別：將安全級別設(shè)置為高，單擊下一步后會彈出口令設(shè)置窗口：輸入口令，對證書進(jìn)行加密，并記住密碼，因為在以后調(diào)用該證書的時候，瀏覽器會彈出輸入密碼的窗口。單擊完成：單擊確定，瀏覽器頁面跳向如下：到這一步，申請人已經(jīng)向CA服務(wù)器發(fā)送證書信息，并等待CA管理員對其進(jìn)行核對，然后決定是否要頒發(fā)，如果CA管理員核對信息后決定頒發(fā)此證書，則申請人在其頒發(fā)之后再次訪問該系統(tǒng)：點擊查看掛起的證書申請狀態(tài)：

6、該頁面證明CA管理員已經(jīng)頒發(fā)了申請人的證書，點擊進(jìn)入證書安裝頁面：點擊安裝此證書：您應(yīng)該已經(jīng)信任CA機(jī)構(gòu)，所以請單擊是：您已經(jīng)成功安裝數(shù)字證書。如果要找回您剛才安裝的數(shù)字證書，請單擊瀏覽器上的：工具 Internet選項 內(nèi)容 證書，彈出如下窗口：此時您已經(jīng)發(fā)現(xiàn)，在證書個人存儲區(qū)內(nèi)已經(jīng)安裝了您剛剛申請并成功安裝的證書。單擊查看：這就是您的數(shù)字證書了。Windows CA 證書服務(wù)器配置(三) CA 證書頒發(fā)開始 管理工具 證書頒發(fā)機(jī)構(gòu)：在掛起的申請里已經(jīng)存在申請掛起等待頒發(fā)的證書（如圖ID=2）。右鍵點擊掛起的證書 所有任務(wù) 頒發(fā)：剛才的掛起證書已經(jīng)存入頒發(fā)的證書存儲區(qū)。此時，申請人若在登陸證

7、書申請系統(tǒng)，并查看掛起，就會獲取相應(yīng)的證書。Windows CA 證書服務(wù)器配置（四） Web 服務(wù)器配置（1）安裝好IIS，并將其打開（這里用默認(rèn)網(wǎng)站為例）右鍵點擊默認(rèn)網(wǎng)站 屬性：選擇目錄安全性選項卡：圖中查看證書為灰色不可用，說明我們還未為默認(rèn)網(wǎng)站配置數(shù)字證書。單擊服務(wù)器證書，彈出如下窗口：單擊下一步：由于之前并為配置過數(shù)字證書，所以應(yīng)選擇新建證書。如果以前配置過數(shù)字證書，并且數(shù)字證書仍然可用，則選擇分配現(xiàn)有證書即可。單擊下一步：單擊下一步：名稱可以根據(jù)需要更改，不影響證書的使用。位長默認(rèn)為1024，一般已經(jīng)足夠安全，數(shù)值越大就越安全，但是數(shù)值越大系統(tǒng)的處理速度就會越慢。直接單擊下一步：單

8、位、部門請?zhí)顚懻鎸嵅⒛軌虮蛔C實的信息，因為CA管理員會根據(jù)這些信息進(jìn)行審核。單擊下一步：這一步很關(guān)鍵。公用名稱不能隨便更改，只能是該網(wǎng)站的DNS，如果尚未申請DNS則可以用IP地址代替。默認(rèn)情況下是服務(wù)器的計算機(jī)名，但這種情況只適合于企業(yè)機(jī)構(gòu)（AD管理），我們要配置的是獨立機(jī)構(gòu)，所以公用名只能是DNS或IP地址。單擊下一步：這些信息也將是CA管理員的審核對象。單擊下一步：至此，數(shù)字證書的信息已經(jīng)填寫完畢，這一步將這些信息以Base64編碼的形式保存在本地，Web管理員可以用編碼到CA證書申請系統(tǒng)進(jìn)行證書的申請。單擊下一步：以上就是數(shù)字證書的本地信息，CA管理員將對其進(jìn)行審核，并決定是否頒發(fā)。單

9、擊下一步：單擊完成接下來就是到CA的證書申請系統(tǒng)申請服務(wù)器驗證證書。Windows CA 證書服務(wù)器配置（四） Web 服務(wù)器配置（2）打開如下網(wǎng)頁： 點擊申請一個證書： 點擊高級證書申請：使用base64編碼的CMC或PKCS#10文件提交一個證書申請，或使用base64編碼的PKCS#7文件續(xù)訂證書申請我們的用于申請的base64編碼保存在一個名為certreq.txt的請求文件中。將其打開 全選編碼，并將其復(fù)制，粘貼到： 點擊提交： 我們已經(jīng)向CA服務(wù)器發(fā)送證書請求信息，等待CA管理員對信息進(jìn)行審核并頒發(fā)證書。我們假設(shè)CA管理員審核證書信息后執(zhí)行了頒發(fā)。我們再次打開CA的證書申請系統(tǒng)：

10、點擊查看掛起的證書申請的狀態(tài)：點擊下載證書 我們等一下要用到的就是該保存到本地的.cer文件。（如果有需要也可以將證書鏈也下載，證書鏈里包含CA服務(wù)器的數(shù)字證書）我們再返回默認(rèn)網(wǎng)站 屬性 目錄安全性：單擊服務(wù)器證書進(jìn)行數(shù)字證書的安裝：選擇好剛才保存的.cer證書文件SSL的默認(rèn)端口是443。我們也可以設(shè)置能其他端口，但是設(shè)置成其他端口號時，用戶訪問的時候必須在URL中指定端口號。證書安裝成功，以上就是數(shù)字證書的所有信息單擊完成Windows CA 證書服務(wù)器配置（四） Web 服務(wù)器配置（3）我們已經(jīng)可以查看證書了。這就是我們安裝完成的證書。如圖中所示，Web服務(wù)器還不信任我們自己配置的證書頒

11、發(fā)機(jī)構(gòu)。沒關(guān)系，先到CA證書申請系統(tǒng)中下載CA根證書直接鍵入以上地址欄中的URL即可打開網(wǎng)頁，下載CA證書如果之前在下載證書的時候同時下載了證書鏈則可以不執(zhí)行此步操作，因為證書鏈里包含有CA證書。接下來我們要安裝CA的數(shù)字證書，安裝完成后Web服務(wù)器才會信任該CA機(jī)構(gòu)。開始 運行：運行打開mmc，單擊確定，打開如下窗口。此時在控制臺管理單元里什么都沒有，沒關(guān)系，文件 添加/刪除管理單元單擊添加找到證書的管理單元，單擊添加選擇計算機(jī)帳戶，單擊下一步單擊完成當(dāng)然我們還可以添加其他管理單元，但是我們現(xiàn)在還用不到，所以單擊關(guān)閉單擊確定我們已經(jīng)將證書（本地計算機(jī)）添加到控制臺。將其展開，展開受信任的根證

12、書頒發(fā)機(jī)構(gòu)此時我們自己配置根證書頒發(fā)機(jī)構(gòu)還不被計算機(jī)信任，所以我們必須導(dǎo)入證書頒發(fā)機(jī)構(gòu)的數(shù)字證書。右鍵證書導(dǎo)入證書選擇我們已經(jīng)保存的CA證書，單擊下一步：此時我們發(fā)現(xiàn)，CA證書已經(jīng)添加到相應(yīng)區(qū)域。我們再返回默認(rèn)網(wǎng)站 屬性 目錄安全性服務(wù)器已經(jīng)信任CA機(jī)構(gòu)了接下來可以建立SSL通道請求點擊編輯選擇要求安全通道，選擇要求客戶端證書（也可選擇其他選項，視具體情況而定）。確定Web服務(wù)器配置完畢。Windows CA 證書服務(wù)器配置（五） 客戶端訪問Web服務(wù)（終）在客戶端瀏覽器中輸入Web地址，打開網(wǎng)頁由于Web已經(jīng)配置成要求SSL通道，所以客戶訪問的時候不能再用http協(xié)議，而應(yīng)該用https協(xié)議修改成https協(xié)議后再次打開網(wǎng)頁，彈出證書選擇的窗口（我們默認(rèn)客戶端已經(jīng)安裝CA證書，如果客戶端尚未安裝CA證書，則在彈出此窗口之前會彈出一個警告窗口，單擊確定后就會彈出證書選擇窗口）客戶端尚未安裝數(shù)字證書，所以并沒有數(shù)字證書提供選擇，單擊確定后進(jìn)入錯誤頁面客戶端到CA申請數(shù)字證書并安裝完成后，再次訪問Web這一次就會有個人