本节提供有关以下项目的说明：
使用 Microsoft 网络设备注册服务 (NDES) 配置 Microsoft 企业证书颁发机构 (CA)
创建根 CA 服务器
根 CA 服务器是任何组织中的主要 CA 服务器，并且是 PKI 基础设施的顶部。根 CA 对从属 CA 服务器进行身份验证。此服务器通常保持脱机模式，以防止任何入侵并保护私钥。
要配置根 CA 服务器，请执行以下操作：
确保根 CA 服务器已安装。如需更多信息，请参阅安装根 CA 服务器。
配置“证书分发点”和“颁发机构信息访问”设置。如需更多信息，请参阅配置证书分发点和颁发机构信息访问设置。
配置 CRL 可访问性。如需更多信息，请参阅配置 CRL 可访问性。
从“服务器管理器”，单击管理 > 添加角色和特性。
单击服务器角色，选择 Active Directory 证书服务及其所有特性，然后单击下一步。
从 AD CS 角色服务部分，选择证书颁发机构，然后单击下一步 > 安装。
安装后，单击配置目标服务器上的 Active Directory 证书服务。
从角色服务部分，选择证书颁发机构 >下一步 。
从设置类型部分，选择独立 CA，然后单击下一步。
从 CA 类型部分，选择根 CA，然后单击下一步。
选择创建一个新的私钥，然后单击下一步。
从选择译电员提供程序菜单中，选择 RSA#Microsoft 软件密钥存储提供程序。
从密钥长度菜单中，选择 4096。
在哈希算法列表中，选择 SHA512，然后单击下一步。
在此 CA 的常用名字段中，键入托管服务器名称。
在可分辨名称后缀字段中，键入域组件。
机器完全合格域名 (FQDN)：
常用名 (CN)：
可分辨名称后缀：
单击下一步。
指定有效期，然后单击下一步。
不要更改数据库位置窗口中的任何内容。
完成安装。
在以下部署场景中，所有权限都基于在域控制器中发布的证书模板上设置的权限。发送到 CA 的证书请求基于证书模板。
对于此设置，请确保您具有以下条件：
托管从属 CA 的机器
托管 NDES 服务的机器
域控制器
在域控制器中创建以下用户：
服务管理员
命名为 SCEPAdmin
必须是本地管理和企业管理组的成员
必须在触发 NDES 角色安装时在本地登录
具有证书模板的注册权限
在 CA 上具有添加模板权限
服务帐户
命名为 SCEPSvc
必须是本地 IIS_IUSRS 组的成员
必须是一个域用户，并在已配置模板上具有读和注册权限
在 CA 上具有请求权限
从属 CA 服务器是中间 CA 服务器，并且始终处于联机状态。它通常处理证书的管理。
要配置从属 CA 服务器，请执行以下操作：
确保从属 CA 服务器已安装。如需更多信息，请参阅安装从属 CA 服务器。
配置“证书分发点”和“颁发机构信息访问”设置。如需更多信息，请参阅配置证书分发点和颁发机构信息访问设置。
配置 CRL 可访问性。如需更多信息，请参阅配置 CRL 可访问性。
从服务器，以 CAAdmin 域用户身份登录。
从“服务器管理器”，单击管理 > 添加角色和特性。
单击服务器角色，选择 Active Directory 证书服务及其所有特性，然后单击下一步。
从 AD CS 角色服务部分，选择证书颁发机构和证书颁发机构 Web 注册，然后单击下一步。
从 Web 服务器角色 (IIS) 角色服务部分，保留默认设置。
安装后，单击配置目标服务器上的 Active Directory 证书服务。
从角色服务部分，选择证书颁发机构和证书颁发机构 Web 注册，然后单击下一步。
从设置类型部分，选择企业 CA，然后单击下一步。
从 CA 类型部分，选择从属 CA，然后单击下一步。
选择创建一个新的私钥，然后单击下一步。
从选择译电员提供程序菜单中，选择 RSA#Microsoft 软件密钥存储提供程序。
从密钥长度菜单中，选择 4096。
在哈希算法列表中，选择 SHA512，然后单击下一步。
在此 CA 的常用名字段中，键入主机服务器名称。
在可分辨名称后缀字段中，键入域组件。
机器完全合格域名 (FQDN)：
常用名 (CN)：
可分辨名称后缀：
在证书请求对话框中，保存请求文件，然后单击下一步。
不要更改数据库位置窗口中的任何内容。
完成安装。
签署根 CA 的 CA 请求，然后以 PKCS7 格式导出签名证书。
从从属 CA，打开证书颁发机构。
从左侧面板，用鼠标右键单击 CA，然后单击所有任务 > 安装 CA 证书。
选择签名证书，然后启动 CA 服务。
从“服务器管理器”，单击工具 > 证书颁发机构。
从左侧面板，用鼠标右键单击 CA，然后单击属性 > 扩展。
在选择扩展菜单中，选择 CRL 分发点 (CDP)。
在证书吊销列表中，选择 C:\Windows\system32\ 条目，然后执行以下操作：
选择将 CRL 发布到此位置。
清除将 Delta CRL 发布到此位置。
删除除 C:\Windows\system32\ 外的所有其他条目。
单击添加。
在位置字段中，添加 ，其中 是服务器的 IP 地址。
单击确定。
为创建的条目选择包括在已颁发证书的 CDP 扩展中。
在选择扩展菜单中，选择颁发机构信息访问 (AIA)。
删除除 C:\Windows\system32\ 外的所有其他条目。
单击添加。
在位置字段中，添加 ，其中 是服务器的 IP 地址。
单击确定。
为创建的条目选择包括在已颁发证书的 AIA 扩展中。
单击应用 > 确定。
从左侧面板，展开 CA，用鼠标右键单击已吊销证书，然后单击属性。
指定 CRL 发布间隔和发布 Delta CRL 发布间隔的值，然后单击应用 > 确定。
从左侧面板，用鼠标右键单击已吊销证书，单击所有任务，然后发布新 CRL。
从“IIS 管理器”，展开 CA，然后展开站点。
用鼠标右键单击默认 Web 站点，然后单击添加虚拟目录。
在别名字段中，键入 。
在物理路径字段中，键入 。
单击确定。
用鼠标右键单击 CertEnroll，然后单击编辑权限。
从安全选项卡，移除除系统外的所有写访问权限。
单击确定。
从服务器，以 SCEPAdmin 域用户身份登录。
从“服务器管理器”，单击管理 > 添加角色和特性。
单击服务器角色，选择 Active Directory 证书服务及其所有特性，然后单击下一步。
从 AD CS 角色服务部分，清除证书颁发机构。
选择网络设备注册服务及其所有特性，然后单击下一步。
从 Web 服务器角色 (IIS) 角色服务部分，保留默认设置。
安装后，单击配置目标服务器上的 Active Directory 证书服务。
从角色服务部分，选择网络设备注册服务，然后单击下一步。
选择 SCEPSvc 服务帐户。
从 NDES 的 CA 部分，选择 CA 名称或计算机名称，然后单击下一步。
从 RA 信息部分，指定信息，然后单击下一步。
从 NDES 的加密部分，执行以下操作：
选择适当的签名和加密密钥提供程序。
从密钥长度菜单中，选择与 CA 服务器相同的密钥长度。
单击下一步。
完成安装。
您现在可以作为 SCEPSvc 用户从 Web 浏览器访问 NDES 服务器。从 NDES 服务器，可以查看 CA 证书缩略图，注册质询密码，以及质询密码的有效期。
打开 Web 浏览器，然后键入 ，其中 是 NDES 服务器的 IP 地址。
从从属 CA (certserv)，打开证书颁发机构。
从左侧面板，展开 CA，用鼠标右键单击证书模板，然后单击管理。
在证书模板控制台中，创建 Web 服务器的副本。
从常规选项卡，键入 作为模板名称。
从安全选项卡，为 SCEPAdmin 和 SCEPSvc 用户赋予适当的权限。
从主题名称选项卡，选择在请求中提供。
从从属 CA (certserv)，打开证书颁发机构。
从扩展选项卡，选择应用程序策略 > 编辑。
单击添加 > 客户端身份验证 > 确定。
从左侧面板，展开 CA，用鼠标右键单击证书模板，然后单击新建 > 要发布的证书模板。
选择新创建的证书，然后单击确定。
您现在可以使用 CA Web 注册门户访问模板。
打开 Web 浏览器，然后键入 ，其中 是 CA 服务器的 IP 地址。
在证书模板菜单中，查看模板。
从您的计算机，启用注册表编辑器。
导览至 HKEY_LOCAL_MACHINE >SOFTWARE >Microsoft > Cryptography > MSCEP。
配置以下项目，然后将它们设置为 MVEWebServer：
EncryptionTemplate
GeneralPurposeTemplate
SignatureTemplate
向 SCEPSvc 用户授予 MSCEP 的完全权限。
从“IIS 管理器”，展开 CA，然后单击应用程序池。
从右侧面板，单击回收来重新启动 SCEP 应用程序池。
从“IIS 管理器”，展开 CA，然后展开站点 > 默认 Web 站点。
从右侧面板，单击重新启动。
从您的计算机，启用注册表编辑器。
导览至 HKEY_LOCAL_MACHINE > SOFTWARE > Microsoft > Cryptography > MSCEP。
将 EnforcePassword 设置为 。
从“IIS 管理器”，展开 CA，单击应用程序池，然后选择 SCEP。
从右侧面板，单击高级设置。
将加载用户配置文件设置为真，然后单击确定。
从右侧面板，单击回收来重新启动 SCEP 应用程序池。
从“IIS 管理器”，展开 CA，然后展开站点 > 默认 Web 站点。
从右侧面板，单击重新启动。
从 Web 浏览器打开 NDES 时，您现在只能查看 CA 缩略图。