管理公钥基础结构

以 Enterprise PKI Admins 成员的身份登录。

在证书模板管理 OU 中，创建名为 Manage CertTemplateName Template（其中 CertTemplateName 为要管理的证书模板的名称）的域全局安全组。

将“证书模板”管理单元加载到 Microsoft 管理控制台 (MMC)。

打开所需模板的属性，然后单击“安全”选项卡。

添加 Manage CertTemplateName Template 组，然后为其授予“写入”权限。

以 Enterprise PKI Admins 成员的身份登录，然后打开 Microsoft Active Directory 用户和计算机管理控制台。

在证书模板注册 OU 中，创建名称如下的域全局安全组：

Enroll CertTemplateName Certificate

Autoenroll CertTemplateName Certificate（如果需要）

将“证书模板”管理单元加载到 MMC。

打开模板属性以编辑安全性。

添加 Enroll CertTemplateName Certificate 组，并为其授予“读取”和“注册”权限。

添加 Autoenroll CertTemplateName Certificate 组，并为其授予“读取”、“注册”和“自动注册”权限。

在 Active Directory 用户和计算机管理控制台中，找到与要注册的证书类型相对应的证书模板注册安全组（或用于自动注册证书的自动注册组）。您必须作为对此组具有“修改成员身份”权限的用户进行登录。

向选定模板安全组中添加用户、计算机或安全组。

在 Active Directory 用户和计算机管理控制台中，找到与要禁用的证书类型相对应的证书模板注册（或自动注册）安全组。您必须作为对此组具有“修改成员身份”权限的用户进行登录。

从模板安全组中删除用户、计算机或安全组。

注意：对于要禁用的每个证书用户，还必须吊销该用户的证书。

以 Certificate Managers 成员的身份登录，然后在“证书颁发机构”数据库（在证书颁发机构 MMC 中）中找到该用户的现有证书。要找到证书，请从证书颁发机构 (CA) 的“颁发的证书”文件夹中单击“查看”菜单，然后单击“筛选器”选项。

单击证书，然后从“任务”菜单中单击“吊销”。

选择适当的吊销原因代码。如果吊销原因不属于预定义的原因代码之一，请选择“未指定”。

注意：只有“证书保留”原因允许在以后恢复证书。所有其他原因都将导致证书被永久禁用。但是，不要为了恢复证书（几率极低）而使用“证书保留”代码。仅在您真正需要临时挂起证书时才应使用此代码。

以 Certificate Managers 成员的身份登录到颁发 CA。（可以重新回到证书颁发机构 MMC 来远程执行此任务。）

打开证书颁发机构 MMC，然后打开“请求”文件夹。

要查看文件夹中任何请求的详细信息，请右键单击该请求，然后单击“查看”菜单中的“查看属性/扩展”。

注意：“属性”选项卡中显示了作为请求的一部分接收的请求属性，“扩展”选项卡中则显示了将在证书中使用的证书扩展。每个扩展条目表明该扩展是包含在请求中、是服务器提供的值，还是由 CA 策略模块定义的。（最后一条原因通常表明该扩展是在证书模板中定义的扩展。）

根据组织策略，您可能还希望通过个人、电话、电子邮件或类似方式获取有关该请求的某些其他信息。

如果您认为该请求有效，可以右键单击该请求，然后单击“任务”子菜单中的“颁发”来批准该请求。如果您认为请求无效，可以单击同一菜单中的“拒绝”来拒绝该请求。

以本地 Administrators 组成员的身份登录到根 CA。

如果您需要更改密钥大小，必须编辑在 %systemroot% 目录中存储的 CAPolicy.inf 文件。将 RenewalKeyLength 的值更改为所需大小（位）。在以下示例中，此值为 8,192。

[Certsrv_Server]
RenewalKeyLength=8192

注意：显示 8,192 位的密钥大小只是为了说明如何更改密钥大小。使用此密钥大小时应格外谨慎。虽然证书服务最高支持 16,384 位的密钥大小，但有些应用程序和系统在到根 CA 的证书链中的任何证书中都不支持大于 2,048 位的密钥大小。

如果您需要更改 CA 证书的有效期或证书策略，也必须在开始此过程之前在 CAPolicy.inf 文件（位于 %systemroot% 中）中进行指定。

打开证书颁发机构管理控制台，然后从 CA 对象的“任务”菜单中单击“续订 CA 证书”。证书服务将警告您它需要终止 CA 执行此操作。

选择新密钥选项。证书服务将重新启动。

从 CA 属性中查看证书，并验证最新 CA 证书的“有效期自”日期为当前日期。

颁发 CRL，然后使用以下脚本命令将该 CRL 和新的 CA 证书复制到磁盘：

Cscript //job:getcacerts c:\MSSScripts\ca_operations.wsf
Cscript //job:getcrls c:\MSSScripts\ca_operations.wsf

将磁盘插入颁发 CA 中。（严格来讲，该服务器只需是安装了随此解决方案提供的 certutil.exe 和脚本的域成员 — 而不必是颁发 CA。）

以 Enterprise PKI Admins 组成员的身份登录，然后运行下列脚本：

Cscript //job: PublishCertstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishCRLstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCertstoIIS c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCRLstoIIS c:\MSSScripts\ca_operations.wsf

注意：虽然不必同时执行此操作，但最好同时续订所有从属 CA。（请参阅下一部分：续订颁发 CA 证书。）

备份根 CA 的证书和密钥。（请参阅“备份 CA 密钥和证书”。）

备份根 CA 的证书数据库和系统状态。（请参阅过程备份根 CA 数据库。）

以本地 Administrators 组成员的身份登录到颁发 CA。

如果您需要更改密钥大小，必须编辑在 %systemroot% 目录中存储的 CAPolicy.inf 文件。将 RenewalKeyLength 的值更改为所需大小（位）。

[Certsrv_Server]
RenewalKeyLength=4096

要点：如果您需要更改 CA 证书的有效期或证书策略，也必须在开始此过程之前在 CAPolicy.inf 文件（位于 %systemroot%中）中进行指定。

打开证书颁发机构管理控制台，然后从 CA 对象的“任务”菜单中单击“续订 CA 证书”。

选择新密钥选项。

当系统提示要将续订发送到某个 CA 时，单击“取消”将请求文件保存到磁盘。此时将重新启动证书服务。

将证书请求文件复制到磁盘。证书请求将在共享文件夹路径 (C:\CAConfig) 中生成和存储。将此文件 HQ-CA-02.woodgrovebank.com_Woodgrove Bank Issuing CA 1.req 复制到磁盘。（请使用您的 CA 详细信息代替斜体文本）。

将磁盘插入根 CA 中，然后以本地 Certificate Managers 组成员的身份登录。

在证书颁发机构管理控制台中，单击 CA “任务”菜单中的“提交一个新的申请”，然后提交从颁发 CA 传来的请求（在子 CA 请求磁盘上）。

根 CA 要求手动批准所有请求。在“挂起的请求”容器中找到该请求，验证“公用名称”字段中包含颁发 CA 的名称，然后批准（颁发）该请求。

在“颁发的证书”容器中找到新颁发的证书，然后打开该证书。

验证证书详细信息是正确的，然后单击“复制到文件”将证书导出到某个文件，并将该文件作为 PKCS#7 文件保存到磁盘上（以便重新传送给颁发 CA）。

使用同时属于 Enterprise PKI Admins 和本地 Administrators 组的帐户重新登录到颁发 CA，然后插入该磁盘。

在证书颁发机构管理控制台中，单击 CA “任务”菜单上的“安装证书”。从磁盘中安装颁发 CA 证书。此时将重新启动 CA。

从 CA 属性中查看证书，并验证最新 CA 证书的“有效期自”日期为当前日期。

将新的 CA 证书发布到 CDP Web 发布位置。（请参阅过程将颁发 CA 证书发布到 Web 服务器。）

备份颁发 CA 的证书和密钥。（请参阅过程备份 CA 密钥和证书。）

备份根 CA 的证书数据库和系统状态。（请参阅过程备份根 CA 数据库。）

备份颁发 CA 的证书数据库和系统状态。（请参阅过程配置颁发 CA 数据库备份。）应始终在每天的常规备份中执行此操作。

以 CA Admins 组成员的身份登录到根 CA。

颁发 CRL，然后使用以下脚本命令将该 CRL 和新的 CA 证书复制到磁盘：

Cscript //job:getcacerts c:\MSSScripts\ca_operations.wsf

Cscript //job:getcrls c:\MSSScripts\ca_operations.wsf

将磁盘插入颁发 CA 中。（严格来讲，该服务器不必是颁发 CA— 它只需是安装了 certutil.exe 和 MSS 脚本的域成员。）

以 Enterprise PKI Publishers 组成员的身份登录，然后运行下列脚本：

Cscript //job: PublishCertstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishCRLstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCertstoIIS c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCRLstoIIS c:\MSSScripts\ca_operations.wsf

以 CA Admins 成员的身份登录到 CA，然后加载证书颁发机构管理控制台。

在“吊销的证书”文件夹的“任务”菜单中单击“发布”，以发布新的 CRL。

选择“新的 CRL”，以便只为新的增量 CRL 颁发基 CRL 或增量 CRL。

以 Enterprise PKI Publishers 组成员的身份、或者使用对已发布的“Web 服务器”文件夹具有写入权限的帐户登录到颁发 CA。

如果 Web 服务器位于远程服务器上，请确保“Web 服务器”文件夹处于共享状态。记录共享文件夹的 UNC（通用命名约定）路径。

如果 Web 服务器与 CA 在同一台服务器上，应记录该文件夹的本地路径。

更新 C:\MSSScripts\PKIParams.vbs 中的 WWW_REMOTE_PUB_PATH 参数，使其与 Web 服务器文件夹的目标路径（默认为本地路径 C:\CAWWWPub）相匹配。

运行以下命令将 CA 证书发布到 Web 服务器：

Cscript //job:PublishIssCertsToIIS
C:\MSSScripts\CA_Operations.wsf

注意：出于打印考虑，本命令在显示时分为 2 行；输入时请将其合并为一行。

使用属于本地 Administrators 组的帐户登录到颁发 CA。

确保可以从此服务器访问“Web 服务器”文件夹（作为远程共享或本地路径）。

如果 Web 服务器位于远程服务器上，请为颁发 CA 计算机帐户授予对文件系统文件夹的“写入”权限（“修改”权限），以及对与已发布的“Web 服务器”文件夹相对应的共享的“写入”权限（“更改”权限）。如果 Web 服务器是目录林的成员，可以使用 Cert Publishers 组授予权限，这可确保所有 Enterprise CA 都具有将证书和 CRL 发布到此文件夹所需的权限。不必更改 Web 服务器权限。

通过运行以下命令，创建复制 CRL 的预定作业：

schtasks /create /tn "Publish CRLs" /tr "cscript.exe
//job:PublishIssCRLsToIIS \"C:\MSSScripts\CA_Operations.wsf\""
/sc Hourly /ru "System"

（出于打印考虑，本命令在显示时分为 3 行；输入时请将其合并为一行。）

创建一个用于存储临时备份文件的目录 — C:\CABackup — 并通过运行以下命令来确保该目录的安全：

cacls c:\CABackup /G system:F administrators:F "Backup Operators":C "CA Backup
Operators":C

（请注意，这是一个单行命令，在此处为了增强可读性而分行显示）

如果选择不同的文件夹用于存储备份文件，必须在 pkiparams.vbs 中更新相关设置。可以根据需要更改以下行中所显示的路径。

CONST SYSSTATE_BACKUP_PATH = "C:\CABackup"   'path used by NTBackup

注意：由于使用相同的脚本功能来备份脱机 CA 和联机 CA，因此，如果要对不同的 CA 使用不同的路径，必须单独创建多份脚本。

通过运行以下命令，将备份作业计划为每夜运行。此命令将作业设置为在每夜 2:00 A.M.运行。

SCHTASKS /Create /RU system /SC Daily /TN "CA Backup" /TR "cscript.exe
//job:BackupCADatabase \"C:\MSSScripts\ca_operations.wsf\"" /ST 02:00

注意：此命令以多行显示进行打印；作为单行输入。

另外，脚本名 C:\MSSScripts\ca_operations.wsf 两侧的反斜杠仅在路径名中存在空格时才需要使用。如果路径名中没有空格，则可以省略它们。

配置公司服务器备份系统，以每晚将临时备份文件夹 (C:\CABackup) 的内容备份到可移动媒体。如果可能，可以设置预处理脚本，以查找备份脚本文件在运行时创建的锁定文件（BackupRunning.lck 文件存储在临时备份文件夹中）。如果该文件存在，则前面的备份已失败或还在运行。或者，使公司备份系统运行 CA 备份脚本作为预执行作业。

注意：
备份脚本 BackupCADatabase 将查找锁定文件，如果该文件存在，脚本将向应用程序日志中写入错误事件：

Source: CA Operations

Event ID: 30

Event Type: Error

CA 备份可能无法启动，因为前一个作业的锁定文件 C:\CABackup\BackupRunning.lck 仍然存在。可能表明前面的备份还在运行。

如果公司服务器备份系统本身不能执行预处理检查或执行脚本，请安排在系统状态备份启动后的某个合适时间启动服务器备份。要估计所允许的时间，请在已关闭证书服务的服务器上运行系统状态备份（同时启用“验证”）。（关闭 CA 将防止此测试备份的 CA 日志被截断。）这将备份约 500 兆字节 (MB) 的系统状态数据。记录此操作所花费的时间，然后计算 CA 数据库备份加上系统状态备份大概所需的时间：

Ttotal = TSysStateOnly x (500 + Nusers) + 500

如果单独的系统状态备份需要 10 分钟，则允许具有 3,000 个用户的 CA 的备份时间为 70 分钟（这是假定每个用户和计算机每年使用五个证书，并且存储 5 年）。这只是一个粗略的说明；再为其添加证书数据库的数量 — 1 千兆字节 (GB)/50,000 证书。

适当地存储备份媒体。

创建一个用于存储备份文件的目录 — C:\CABackup — 并通过运行以下命令来确保该目录的安全：

cacls c:\CABackup /G system:F administrators:F "Backup Operators":C "CA Backup
Operators":C

注意：出于打印考虑，本命令在显示时分为 2 行；输入时请将其合并为一行。

如果选择不同的文件夹来存储备份，必须在 pkiparams.vbs 中更新相关设置。可以根据需要更改以下行中所显示的路径。

CONST SYSSTATE_BACKUP_PATH = "C:\CABackup"   'path used by NTBackup

通过执行以下命令，将 CA 数据备份到临时文件中：

cscript //job:BackupCADatabase C:\MSSScripts\ca_operations.wsf

这将在以前选定的路径（默认路径为 C:\CABackup）中生成备份文件 (CABackup.bkf)。将此文件复制到可移动媒体，并正确存储此备份媒体。

运行以下命令：

cscript //job:BackupCAKeys c:\MMSScripts\ca_operations.wsf

在不同的磁盘上制作至少两份独立的备份（磁盘并不总是完全可靠）。清晰正确地标记磁盘并加注日期，因为可能要经过一段时间，才再次需要它们。

上一个脚本使用 certutil.exe 将 CA 密钥和证书导出到以下形式的 PKCS#12 (P12) 文件中：

A:\CAKeyBackup\CAComputerName\yymmdd_hhmm\CA Common Name.p12

在出现提示处输入密码。

要点：将此密码记录并存储在与密钥备份不同的位置上，但要同样安全。密码记录应该清楚地显示出它与哪个备份（磁盘标签、日期和 CA 名称）相关。可能要经过很多个月或很多年才需要这些密钥，任何人不太可能记住当时使用的密码。一定要销毁此密码的所有其他记录。不要使用管理人员已知的密码。

适当地存储磁盘。和 CA 数据库备份一样，给予这些密钥备份最安全的保护。将至少两份的证书和密钥备份存储在两个不同的安全位置（例如保险柜）。

将系统状态备份文件从备份媒体还原到 C:\CABackup 文件夹中。

运行 Windows“备份”实用程序，并在 C:\CABackup 中选择已还原的备份文件。您需要是在该计算机上具有备份和用户权限的组（例如 CA Backup Operators、Backup Operators 或 Administrators）的成员。

单击“还原”。

重启系统。

验证每项任务都按预期执行。

测试结束时，清除测试服务器（或至少清除密钥）。

确保计算机已与网络断开，并作为本地 Administrators 组的成员登录，然后创建 TestCAKeys 本地用户帐户。

使用此帐户登录。

插入含有要测试的 CA 密钥备份的磁盘。

使用 Windows 资源管理器导航至 P12 密钥文件，双击“导入向导”。

出现提示时，输入密码，同时请不要选中复选框，以给予密钥高度保护或使它们可导出。

依次单击“将所有证书放入下列存储区”和“浏览”，然后选择“个人存储区”作为还原 CA 密钥的目标位置。

打开证书管理控制台，并浏览至个人存储区。找到已还原 CA 的 CA 证书，然后打开证书，检查您是否有对应的私钥。

获取正受测试的 CA 所颁发的 CRL 或证书。

根据您在上一步是选择 CRL 还是选择证书，运行下面其中一个相关的命令，用之前获取的文件名称替换 CRLFileName 或 CertFileName：

Certutil -sign CRLFileName.crl NewCRL.crl
Certutil -sign CertFileName.cer NewCertFile.cer

出现提示时，选择 CA 证书（上一个步骤中导入的）作为签名证书。

验证签名操作是否成功，输出是否类似以下内容：

C:\CAConfig>certutil -sign "Woodgrove Bank Issuing CA 1.crl"
"Woodgrove Bank Issuing CA 1xxs.crl"

ThisUpdate: 2/10/2003 10:52 PM

NextUpdate: 2/25/2003 3:11 PM

CRL Entries: 0

Signing certificate Subject:

CN=Woodgrove Bank Issuing CA 1

DC=woodgrovebank,DC=com

Output Length = 970

CertUtil: -sign command completed successfully.

作为本地 Administrators 组的成员登录，删除 TestCAKeys 帐户的用户配置文件（使用“我的计算机”中的“高级属性”）。

删除 TestCAKeys 帐户。

通过运行以下命令，安全地擦除磁盘的未分配区域，以永久删除密钥的痕迹：

Cipher /W:%AllUsersProfile%

作为 CA Auditors 和本地 Administrators 组的成员登录服务器（创建同时属于两组的帐户）。

通过依次单击“开始”、“所有程序”和“管理工具”，打开事件查看器。

单击“安全日志”文件夹。

右键单击它，然后单击“另存日志文件”。

将日志保存到临时文件。

复制到可移动媒体 (CD-RW)，然后删除临时文件。

确定要备份的模板名称。不必与模板显示名称相同。在模板的“常规”选项卡上查看模板属性（使用证书模板 MMC），可以看到“模板名”和“模板显示名”。

使用域用户帐户登录到域成员服务器或域控制器。

运行以下命令将模板详细信息保存到文件 templatename.ldif，用证书模板的名称替换 templatename，并用林的域名 (DN) 替换 DC=woodgrovebank,DC=com：

ldifde -f templatename.ldif -d "cn=templatename, cn=Certificate
Templates,cn=Public Key
Services,cn=Services,cn=Configuration,DC=woodgrovebank,DC=com"

（该命令为印刷方便而以多行显示；请将其作为单行命令输入。）

templatename.ldif 文件将被保存到当前目录中。请将 templatename.ldif 文件存储于安全位置。

检索通过步骤从 Active Directory 导出证书模板创建的已导出模板定义。

作为 Enterprise PKI Admins 登录域成员服务器或域控制器。

如果打算替换现有的模板，请备份不需要的模板（使用上面的步骤）。记下模板权限，然后删除此模板。

用“记事本”或类似的文本编辑器打开文件，查找以“objectGUID:”开始的行，其类似于以下内容（但冒号后面的字符有所不同）：

objectGUID:: b/pVt//+I0i9hp8aJ7IWRg==

删除该行，小心不要对文件做其他更改，然后保存文件。

运行以下命令，将模板从文件 templatename.ldif 导入到 Active Directory 中，用证书模板的名称替换 templatename：

ldifde -f templatename.ldif -i

打开证书模板管理单元并查看还原的模板，以验证该步骤是否起作用。

将您在步骤 3 中记录的权限或适合此模板的权限应用到还原的模板上。