计算机网络操作系统（第二版）——Windows Server 2008配置与管理 张浩军 第13章 证书服务配置与管理.pptVIP

21世纪高等院校规划教材 本章学习目标 Windows Server 2008提供了公钥证书管理工具，使用该工具可以方便的产生、颁发和注销数字证书，架构企业自己的认证中心。本章介绍证书服务器的配置与管理，包括以下主要内容： 证书服务的基本概念 安装与配置证书服务器 客户端证书安装与使用 目 录 13.1 证书服务的基本概念 13.2 安装与配置证书服务 13.3 客户端申请和安装证书 13.1 证书服务的基本概念 公钥数字证书（又称为公钥证书、数字证书、Certificates）简称证书，是用于绑定实体身份和公钥信息的经过权威机构数字签名的声明，以文件的形式存在，证书将公钥与保存对应私钥的实体绑定在一起。 证书一般由可信的权威第三方CA中心（权威授权机构）颁发， CA 对其颁发的证书进行数字签名，以保证所颁发证书的完整性和可鉴别性。 CA可以为用户、计算机或服务等各类实体颁发证书。 13.1 证书服务的基本概念 公钥证书以公钥密码算法为基础。公钥密码算法基于复杂数学问题构建公钥和私钥的映射关系。 使用公钥加密数据（数据加密），只能使用对应的私钥解密（数据解密）。 13.1 证书服务的基本概念 广泛应用的证书格式基于国际电信联盟电信标准部门（ITU-T）建议的X.509v3 标准。 X.509 证书包括公钥和有关证书授予的人员或实体的信息、有关证书的有效期、用途等信息，以及有关颁发证书的CA的信息。 实体的主题（或主体，Subject）标示证书的持有者，证书的颁发者（Issuer）和签名者是CA。 13.1 证书服务的基本概念 证书只在证书颁发者对该证书指定的时间段内有效。每个证书包含“有效期从”和“有效期至”日期，这两个日期设置了证书有效期的界限。一旦超过证书的有效期，证书持有者必须重新请求证书。 如果因为某种原因，如证书主体私钥泄密、证书主体身份变更等，必须撤销证书的使用，颁发者可以吊销证书。每个颁发者（CA）维护一个证书吊销列表（CRL）。 13.1 证书服务的基本概念 IE浏览器，“工具”/“Internet选项”菜单，选择“内容”选项卡，单击“证书”按钮。对话框包括“个人”、“其他人”、“中级证书颁发机构”、“受信任的根证书颁发机构”等不同证书存储区域。 目 录 13.1 证书服务的基本概念 13.2 安装与配置证书服务 13.3 客户端申请和安装证书 13.2.1 安装证书服务 Windows Server 2008操作系统内置了证书服务角色，安装该角色可以构建自己的CA中心，适合中小企业构建自己的安全基础设施PKI应用。 步骤一、安装证书服务，单击“开始”/“程序”/“管理工具”/“服务器管理”，打开“服务器管理”窗口，选择“角色”选项，单击“添加角色”按钮，打开“添加角色”向导。在如图13-4所示的对话框中，选择“Active Directory证书服务”复选框，单击“下一步”继续。 13.2.1 安装证书服务 步骤二、在 “Active Directory证书服务简介”对话框中，给出了Windows Server 2008证书服务的基本介绍。单击“下一步”按钮，打开“选择角色服务”对话框，如图13-5所示。选择为Active Directory证书服务安装的角色服务，单击“下一步”继续。 步骤三、出现“安装类型”对话框，为证书服务选择安装类型，可以选择“企业CA”或者“独立CA”。若服务器不是域控制器，并且未加入域，则企业单选按钮为不可用状态。单击“下一步”继续。 13.2.1 安装证书服务 步骤四、在 “CA类型”对话框中，由于当前是第一次安装，并且是惟一的证书颁发机构，因此点选“根CA”选项，单击“下一步”继续。 步骤五、若要生成证书并颁发给客户端，CA必须有一个私钥。在“设置私钥”对话框中可以指定要新建私钥还是使用现有私钥。若是第一次安装CA，且当前没有私钥，可点选“新建私钥”选项；若不是第一次安装CA，为确保与先前颁发的证书的连续性，可点选“使用现有私钥”按钮，如图13-7所示。单击“下一步”继续。 13.2.1 安装证书服务 步骤六、在如图13-8所示“配置加密”对话框中进行加密服务提供程序的设置，选择散列算法（建议选用SHA-1）和密匙长度的设置。根据安全应用的需要可以选择512、1024或2048位密钥长度，密钥长度越高，CA证书的安全性越强，但是会增加完成签名操作所需要的时间。单击“下一步”继续。 步骤七、在如图13-9所示“配置CA名称”对话框中输入该CA的公用名称，本例中设置为Henan University of Technology，即CA的公用名称CN（Common Name）为Henan University of Technology