證書頒發機構(CA:Certification Authority)_AD CS 的CA種類(Active Directory Certificate Service)

證書頒發機構(CA:Certification Authority)

CA信任-兩種類不同用途的證書

1.用於建立信任關係的證書

2.用於建立通訊過程中資料加密、簽名，確保資料安全的證書

使用者或網站之間使用到的公鑰與私鑰是如何生成的?

a.在申請證書時，需要輸入姓名、地址、email等資訊，這些資料會發送到

一個稱作CSP的程序(Cryptographic Service Provider)。

CSP是微軟公司的使用者在windows平台上提供第三方加密模組的介面標準。

此程序已經被安裝在申請者的電腦內。

b.CSP會自動建立一對密鑰(一公一私)。CSP會將私鑰儲存到申請者的電腦

註冊表中，然後將證書申請資料與公鑰一併發送給CA，CA檢查這些資料無誤後，

會利用CA自己的私鑰將鑰發放的證書進行簽名，然後發放此證書。

申請者收到證書後，將證書安裝到其電腦內。

c.證書內包含了證書頒發的對象、證書有效期、頒發此憑證的CA與CA的數位簽名。

以及申請者的相關資訊(姓名、地址、email)和公鑰資訊。

AD CS 的CA種類(Active Directory Certificate Service)

1.企業根CA(Enterprise Root CA)

1-1.需要AD環境，可安裝到Domain控制器或是Domain成員伺服器上

1-2.頒發證書的對象僅限Domain用戶

1-3.主要工作應該是用來頒發證書給從屬CA，發放證書的具體工作交給從屬CA來負責。

2.企業從屬CA(Enterprise Subordinate CA)

2-1.也需要AD環境

2-2.適合用來證書的具體管理與發放工作

2-3.從屬CA必須向其Parent CA取得證書後，才能正常運作。

2-4.從屬CA也可頒發證書給下一層的從屬CA

3.獨立根CA(Standalone Root CA)

3-1.類似企業根CA，差別在於不需要AD環境

3-2.扮演獨立根CA角色的電腦可以是獨立的伺服器、成員伺服器或Domain控制器

3-3.無論是否為Domain用戶皆可向獨立根CA申請證書。

4.獨立從屬CA(Standalone Subordinate CA)

4-1.類似企業從屬CA，差別在於不需要AD環境

4-2.扮演獨立從屬CA角色的電腦可以是獨立的伺服器、成員伺服器或Domain控制器

4-3.無論是否為Domain用戶皆可向獨立從屬CA申請證書。

Ref:

https://www.sysadmins.lv/blog-en/certificate-chaining-engine-how-this-works.aspx

https://www.vkernel.ro/blog/install-certification-authority-in-windows-server-2008-r2

Windows AD 與 Certificate Service 安裝筆記

https://blog.darkthread.net/blog/setup-ad-n-ca/

第25個冬天