安装和配置企业根 CA

安装和配置企业根 CA

现在需要以企业管理员的身份登录，例如以 Enterprise Admins 组和根域的 Domain Admins 组的成员帐户登录。

要求

•

凭据：必须以 Enterprise Admins 组和根域的 Domain Admins 组的成员帐户登录。

•

工具：Windows 组件向导。

•

此任务只能在运行 Windows Server 2003, Standard Edition、Windows Server 2003, Enterprise Edition 或 Windows Server 2003, Datacenter Edition 的服务器上完成。

•

安装和配置企业根 CA

1.

作为 Enterprise Admins 组和根域的 Domain Admins 组的成员登录。

2.

单击“开始”，再单击“控制面版”，再单击“添加和删除程序”，然后单击“添加 Windows 组件”。

3.

在“Windows 组件向导”中，选中“证书服务”复选框。然后会出现一个对话框，通知您在证书服务安装之后计算机不能被重新命名以及计算机不能加入域或从域中删除。单击“是”。

注意： 如果要使用证书服务的 Web 组件，应单击“应用服务器”（但不要选中它的复选框）以确保“IIS”复选框已选中，然后单击“详细信息”，选中“Internet 信息服务 (IIS)”，然后单击“确定”。

单击“下一步”

4.

在“CA 类型”页面上，选择“企业根 CA”，然后单击“下一步”。

screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" border=0>

注意： 私钥总是存储在本地服务器上，除非使用加密硬件设备。在公钥被存放在证书上的情况下，私钥被存储在设备上。公钥位于证书中。

5.

在“CA 信息标识”页面提供适于您的站点和组织的信息标识。

1.

在“此 CA 的公用名称”中，输入证书颁发机构的公用名称。

CA 名称（或公用名称）很重要，因为要用它来标识在 Active Directory 中创建的 CA 对象。

2.

在“有效期”中选择接受5年的默认选项，然后单击“下一步”，

其中“有效期”是 CA 有效的时间，即安全和管理之间的权衡。请记住，在每次根证书到期的时候，管理员必须更新所有信任关系，并要采取一些管理性步骤把 CA 转移到新的证书上。在大多数企业环境中，通常的时间期限是 5 年或更多，但是要符合正式的 IT 策略和程序。同时向您的律师咨询，以确保 CA 配置符合所有法律要求。screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" border=0>

6.

在“证书数据库设置”页面，单击“下一步”接受证书数据库的默认存储路径和证书数据库日志，然后确认“将配置信息存储在共享文件夹内”没有选中。

注意： 安装程序可能会给出“不能创建共享文件夹”的警告信息，这是预料中的，因为所有网络接口都已禁用。安全的做法是忽略这一警告，继续进行后面的操作。此外一定要将证书数据库和证书数据库日志存储在本地 NTFS 驱动器上。screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" border=0>

7.

如果 IIS 正在运行，将会有信息提示您停止该设备。单击“是”停止 IIS。必须在 Web 组件安装之前停止 IIS。

注意： 如果没有安装 IIS，则不会显示该消息，Web 注册也不可用，除非已安装 IIS。

然后，可选组件管理器将安装证书服务组件。如果需要 Windows Server 2003 安装媒体 (CD)，请将 Windows Server 2003 产品 CD 插到 CD 驱动器中。

8.

单击“确定”完成安装。单击“完成”关闭向导。

安装 CA 后，请将证书模板添加到 CA 中，并对 CA 进行配置以允许主题能够请求基于模板的证书。

注意：如果自己建议或者计划采用指南中的建议来加强组织内域控制器的安全性，需要修改域的组策略设置以启用证书服务。若要了解完成此项任务的更多信息，请在 Security Guidance Kit 中参考文档“Securing Windows Server 2003 Domain Controllers”（英文）。

验证 CA 安装

验证 CA 安装是否成功的最简单的方法是输入 net start ，看 CA 是否运行。

如要进一步验证或要处理中间出现的故障错误，还可以在 systemroot\certocm.log 中查看 CA 安装日志。

还可以采用以下的步骤

要求

•

凭据：必须以 Enterprise Admins 组和本地管理员组的成员帐户在运行 CA 的计算机上登录。

•

工具：CA 管理单元。

•

此任务只能在运行 Windows Server 2003, Standard Edition、Windows Server 2003, Enterprise Edition 或 Windows Server 2003, Datacenter Edition 的服务器上完成。