第四章 安装和配置证书服务.docx
- 文档编号:28208810
- 上传时间:2023-07-09
- 格式:DOCX
- 页数:12
- 大小:284.79KB
第四章 安装和配置证书服务.docx
《第四章 安装和配置证书服务.docx》由会员分享,可在线阅读,更多相关《第四章 安装和配置证书服务.docx(12页珍藏版)》请在冰豆网上搜索。
第四章安装和配置证书服务
第4章安装和配置证书服务
⏹公钥基础结构概述
⏹证书颁发机构
⏹安装和配置WINS
⏹本章复习
4.1公钥基础结构概述
计算机网络已不再是用户只要在网络上就能证实其身份的封闭系统。
在这个信息互连的时代,一个单位的网络可能包括内部网、Internet站点和外部网—所有这些都有可能被一些XX的个人访问,他们会蓄意盗阅或更改该单位的数字信息财产。
有许多潜在的机会可XX访问网络上的信息。
个人可以尝试监视或更改类似于电子邮件、电子商务和文件传输这样的信息流。
您的单位可能与合作伙伴在限定的范围和时间内进行项目合作,有些雇员您虽然一无所知,但却必须给他们一定的权限访问您的部分信息资源。
如果您的用户为了访问不同安全系统需要记住许多密码,他们可能选择一些防护性较差或很普通的密码,以便于记忆。
这不仅给黑客提供一个容易破解的密码,而且还能使他们能够访问众多安全系统和存储数据。
系统管理员如何才能确信访问信息的人的标识,以及给定该标识,如何控制哪个人有权访问哪些信息?
此外,系统管理员如何才能轻松并安全地跨全单位地分发和管理标识凭据?
这些问题都可以通过规划良好的公钥基础结构来解决。
公钥基础结构(PKI—PublicKeyInfrastructure)是通过使用公钥加密对参与电子交易的每一方的有效性进行验证和身份验证的数字证书、证书颁发机构(CA)和其他注册机构(RA)。
尽管PKI的各种标准正被作为电子商务的必需元素来广泛实现,但它们仍在发展。
WindowsServer 2003家族的功能可以帮助您的单位实现公钥基础结构,包括:
●证书证书基本上是颁发机构所颁发的证明证书持有人的身份的数字声明。
证书将公钥与拥有相应私钥的个人、计算机或服务绑在一起。
证书由各种公钥安全服务和提供身份验证的应用程序、数据完整性和通过网络的安全通讯(例如Internet)使用。
●证书服务在WindowsServer 2003StandardEdition、WindowsServer 2003EnterpriseEdition和WindowsServer 2003DatacenterEdition上,证书服务是用于创建和管理证书颁发机构(CA)的组件。
●证书模板证书是由CA根据证书申请中提供的信息和证书模板中包含的设置来颁发的。
证书模板是针对接收到的证书申请应用的规则和设置的集合。
对于企业CA可以颁发的每一种类型的证书,都必须配置证书模板。
●证书自动注册自动注册允许管理员配置受领人,以便自动注册证书、检索颁发的证书,以及延长过期的证书,而不需要受领人进行交互。
●Web注册页面这些是证书服务的单独组件。
这些网页是安装CA时默认安装的,并允许证书申请者使用Web浏览器递交证书申请。
●智能卡支持Windows支持通过智能卡上的证书进行登录,以及使用智能卡来存储证书和私钥。
智能卡可以用于进行Web身份验证、发送安全的电子邮件、无线网络和其他与公钥加密相关的活动中。
●公钥策略在Windows中可以使用组策略自动给受领人分发证书,建立公共可信的证书颁发机构,以及为EFS(加密文件系统)管理恢复策略。
4.2证书颁发机构
证书颁发机构(CA—CertificationAuthority)也称为认证中心,是由证书服务创建和管理的组件。
CA负责提供和指派加密密钥、解密密钥和身份验证,以建立和确定证件持有者的身份。
CA通过发放证书来分布密钥,如果证书不再有效,CA会吊销证书,并发布由证书核对者使用的证书吊销列表(CRL)。
4.2.1证书的层次结构
证书的层次结构是一种信任模型。
在这种模型中,通过在CA之间建立父/子关系,从而创建了证书路径。
证书层次结构提供了可伸缩性,管理简便性,以及与日益增长的商业性CA和其他CA产品的一致性。
证书层次结构最简单的形式是由单个CA组成的。
然而,一般来说,层次结构包含多个带有清楚定义的父子关系的CA。
在这种模型中,下级子证书颁发机构由它们的父CA颁发的证书认证,父CA颁发的证书将证书颁发机构的公钥绑定到它的标识中。
层次结构的顶级CA称为根颁发机构或根CA。
根CA的子CA称为从属证书颁发机构(CA)。
在大多数的机构中,为了根CA的安全,只将其用于向其他CA,及下层CA颁发证书。
而下层CA是针对特定的用途发放证书,例如安全电子邮件、基于WEB的身份验证、或者智能卡身份验证等。
当然,下层CA以可向其它的、更下层的CA发放证书。
4.2.2选择CA模型
在实现证书服务时,你必须做出的第一个选择就是决定采用哪种CA模型。
在你安装证书服务时,你可以从以下四个CA模型中选择一种:
●企业根CA。
●企业从属CA。
●独立根CA。
●独立从属CA。
每一种模型都有不同的特征和性能。
如果已知在你的PKI中的角色,你就可以根据企业对CA的具体要求,来选择你想使用的模型。
4.2.2.1企业CA
企业CA有企业根CA和企业从属CA两种模型,其中企业根CA在证书层次结构中是顶级CA。
如果你只对企业内部的用户和计算机发放证书,你就应该建立一个企业CA。
通常,企业根CA只对企业从属CA颁发证书。
而企业从属CA在机构内颁发证书,但它不是最可信任的CA。
企业CA可以针对特定目的颁发证书,例如,数字签名、使用S/MIME(安全/多用途Internet邮件扩展)的安全电子邮件、使用安全套接字层(SSL)或传输层安全性(TLS)验证安全的Web服务器、使用智能卡登录到WindowsServer 2003家族域等。
为了安装企业CA,你必须具有下列条件:
●活动目录企业CA需要ActiveDirectory目录服务。
当您安装企业根CA时,它使用组策略将它的证书传播给受信任的根证书颁发机构的证书存储区,供域中的所有用户和计算机使用。
●域名系统(DNS)服务活动目录需要DNS进行服务的定位和域名的解析。
●对DNS、活动目录和CA服务器的管理特权你必须是域管理员,或是对ActiveDirectory具有写权限的管理员,才能安装企业根CA。
4.2.2.2独立CA
独立CA有独立根CA和独立从属CA两种模型,其中独立根CA在证书层次结构中是顶级CA。
独立存在的根CA可以是,也可以不是某个域的成员,它不依赖于活动目录。
独立CA最初是为了用作CA层次结构中的受信任的脱机根CA,或者是为了在涉及Extranet和Internet时使用。
此外,如果想对CA使用自定义的策略模块,您需要先安装独立CA然后再用您自定义的策略模块替代独立策略模块。
4.3安装和配置证书服务
4.3.1企业背景
你的公司要求业务伙伴跨越Internet,访问NorthwindTraders的产品规范数据库。
你必须确保这些信息传输的机密性。
为了确保跨越Internet进行通信的计算机之间网络数据流的安全性,你将利用证书加密这些计算机之间的IP网络数据流。
NorthwindTraders的PKI结构规范要求有独立存在的根CA和独立存在的下层CA。
你必须安装所要求的CA。
你还必须确保跨越Internet相互进行通信的所有计算机都有合法的证书,以便这些计算机之间的所有IP网络数据流都可以被加密。
你将使用两台运行WindowsServer2003EnterpriseEdition版本的计算机分别作为独立根CA和独立从属CA服务器(在这里我们将它他的计算机名和IP地址分别设为:
HOSTA192.168.0.1;HOSTB192.168.0.100)。
4.3.2配置步骤
●创建一个独立根CA
●创建一个独立从属CA
●请求一个计算机证书
4.3.2.1创建一个独立根CA
1、确保在HOSTA和HOSTB上的IIS配置正确(IIS的配置将在后面章节中讲述)。
2、以管理员身份登录到HOSTA,在“控制面板”上双击“添加/删除程序”,在其后出现的对话框中单击“添加/删除Windows组件”。
3、在“Windows组件”向导中,选择“证书服务”复选框,在“Microsoft证书服务”消息框中,击“是”,然后单击“下一步”按钮。
4、在“证书颁发机构类型”中,选中“独立根CA”,单击“下一步”,进入“CA类型”选择页面,选择“独立根CA”。
5、在CA识别信息中输入CA的公用名称:
NorthwindCA,其余采用默认设置。
6、单击“下一步”,进入“数据存储位置”页中,将“证书数据库”的位置放到一个NTFS分区中。
单击“下一步”,在弹出的对话框中单击“确定”以停止“Internet信息服务”。
7、在出现“所需文件”对话框,浏览找到Windows2000的安装目录I386,找到相应的安装源文件,然后单击“确定”按钮继续进行安装,当完成配置后,单击“完成”按钮。
然后关闭所有打开的窗口。
4.3.2.2创建一个独立从属CA
1、以管理员身份登录到HOSTB,启动InternetExplorer浏览器,在“地址”框中输入http:
//192.168.0.1/certsrv,然按回车键。
2、在“欢迎”页中,单击“下载一个CA证书,证书链或CRL”,然后单击“下一步”,点击“安装此CA证书链”,在弹出的对话框中均单击“是”,完成证书链的安装。
3、在“控制面板”上双击“添加/删除程序”,在其后出现的对话框中单击“添加/删除Windows组件”。
5、在“Windows组件”向导中,选择“证书服务”复选框,在“Microsoft证书服务”消息框中,击“是”,然后单击“下一步”按钮。
6、在“CA类型”中,选中“独立从属CA”,单击“下一步”。
7、在CA识别信息中输入CA的公用名称:
NorthwindSUBCA,其余采用默认设置。
8、单击“下一步”,进入“数据存储位置”页中,将“证书数据库”的位置放到一个NTFS分区中。
单击“下一步”按钮。
9、进入“CA证书请求”页,在“计算机名称”框中键入HOSTA,然后按TAB键,单击“下一步”按钮。
10、中“Microsoft证书服务”对话框中,单击“确定”以停止“Internet信息服务”。
11、在“所需文件”对话框,浏览找到Windows2000的安装目录I386,找到相应的安装源文件,然后单击“确定”按钮继续进行安装。
12、阅读“Microsoft证书服务”在完成过程中的消息文本,单击“确定”,当完成这里的配置过程后,单击“完成”按钮,然后关闭所有打开的窗口。
13、在从属CA的计算机HSOTB上打开IE,在地址栏中输入http:
//192.168.0.1/CertSrv/。
14、选中“查看挂起的证书申请状态”单击“下一步”,选中颁发的证书,单击“安装此证书”。
3、在“管理工具”中打开“证书颁发机构”,鼠标右击“证书服务器”,从“所有任务”中单击“安装CA证书”在弹出的对话框中单击“取消”。
4、在“计算机名”填入父CA的IP地址或者计算机名,单击父CA,可以看见开始做好的那台计算机上的CA的名字,单击“确定”,下层CA就可以正常启动了。
4.3.2.3申请一个证书
1、在网络中任一台工作站(如HOSTC)登录,打开IE浏览器,在地址栏中输入http:
//192.168.0.100/CertSrv/,然后回车。
2、在页面选中“申请一个证书”,单击“下一步”。
选中“高级证书申请”,单击“下一步”。
3、选中“创建并向此CA提交一个申请。
”单击“下一步”。
4、在“识别信息”的空格里填入相关信息。
在“需要的证书类型中”选中“服务器身份验证证书”,选中“标记密钥可导出”和“将证书保存在本地计算机存储中”中前面的复选框,然后单击“提交”。
5、弹出一个消息框,提示你等待一段时间后会收到发放的证书。
4.3.2.3证书的颁发和安装
1、以管理员身份登录到HOSTB,打开“证书颁发机构”在“挂起的申请”中用鼠标右击待颁发的证书,从“所有任务”颁发该刚申请的“服务器身份验证证书”。
2、登录到HOSTC,在IE浏览器的地址栏中输入“http:
//192.168.0.100/CertSrv/”,然后回车。
3、在主页选中“查看挂起的证书申请状态”,单击“下一步”,可以看到我们的申请的证书列表。
4、单击“服务器身份验证证书”,在弹出的对话框中点击“安装此证书”,即将在客户端申请的证书成功的安装到了客户机上。
4.3.2.4确认证书已成功发放到客户机上
1、以管理员身份登录到HOSTC,单击“开始”选中“运行”填入“mmc”,然后回车。
2、单击“控制台”,选中“添加/删除管理单元”。
单击“添加”选中“证书”,然后单击“添加”。
3、选中“计算机帐户”单击“下一步”,选中“本地计算机”单击“完成”。
点击“关闭”,单击“确定”。
4、在控制台中展开证书,看看是否有你刚才申请的证书。
4.3.3练习思考
1、PKI能执行哪些功能?
2、为了安装企业CA,需要具备什么条件?
3、请求证书的方法有哪些?
各种方法被哪些类型的CA所支持?
4、如何吊销一个证书?
5、如何维护一个证书服务器?
2.6本章复习
本章节详细介绍了证书的概念、工作原理及配置方法。
公钥基础结构(PKI)是通过使用公钥加密对参与电子交易的每一方的有效性进行验证和身份验证的数字证书、证书颁发机构(CA)和其他注册机构(RA)。
证书的层次结构是一种信任模型。
在这种模型中,通过在CA之间建立父/子关系,从而创建了证书路径。
在大多数的机构中,为了根CA的安全,只将其用于向其他CA,及下层CA颁发证书。
而下层CA是针对特定的用途发放证书。
在实现证书服务时,你必须做出的第一个选择就是决定采用哪种CA模型。
在你安装证书服务时,你可以从企业根CA、企业从属CA、独立根CA以及独立从属CA四个CA模型中选择一种。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 第四章 安装和配置证书服务 第四 安装 配置 证书 服务
![提示](https://static.bdocx.com/images/bang_tan.gif)