CA服務(wù)器配置原理與圖解過(guò)程

1、CA（證書(shū)頒發(fā)機(jī)構(gòu)）配置概述圖解過(guò)程一CA（證書(shū)頒發(fā)機(jī)構(gòu)）配置概述由于現(xiàn)在安全問(wèn)題日益嚴(yán)重，為了保證數(shù)據(jù)傳輸?shù)臋C(jī)密性，交易者雙方身份的確定性等問(wèn)題，我們需要采用一種安全機(jī)制來(lái)實(shí)現(xiàn)這些功能，在這里我們來(lái)探討以下PKI體系中的“證書(shū)”，也就是如何來(lái)構(gòu)建一個(gè)CA的環(huán)境來(lái)保證安全性。 CA（證書(shū)頒發(fā)機(jī)構(gòu)）主要負(fù)責(zé)證書(shū)的頒發(fā)、管理以及歸檔和吊銷(xiāo)，我們可以把證書(shū)認(rèn)為是我們開(kāi)車(chē)需要使用的駕駛執(zhí)照。證書(shū)內(nèi)包含了擁有證書(shū)者的姓名、地址、電子郵件帳號(hào)、公鑰、證書(shū)有效期、發(fā)放證書(shū)的CA、CA的數(shù)字簽名等信息。證書(shū)主要有三大功能：加密、簽名、身份驗(yàn)證。這里不在具體闡述加密相關(guān)知識(shí)，這里主要討論如何來(lái)實(shí)現(xiàn)CA的環(huán)境。

2、CA的架構(gòu)是一種層次結(jié)構(gòu)的部署模式，分為“根CA”和“從屬CA”：“根CA”位于此架構(gòu)中的最上層，一般它是被用來(lái)發(fā)放證書(shū)給其他的CA（從屬CA）。在windows系統(tǒng)中，我們可以構(gòu)建4種CA：企業(yè)根CA和企業(yè)從屬CA（這兩種CA只能在域環(huán)境中）；獨(dú)立根CA和獨(dú)立從屬CA。 安裝CA：通過(guò)控制面板-添加刪除程序-添加刪除windows組件-證書(shū)服務(wù)，在安裝過(guò)程中選擇安裝的CA類(lèi)型，再這里我們選擇獨(dú)立根CA，輸入CA名稱(chēng)以及設(shè)置有效期限，完成向?qū)Ъ纯?。（在這里注意：安裝證書(shū)服務(wù)前先安裝IIS） 申請(qǐng)證書(shū)：CA服務(wù)裝好以后就可以直接申請(qǐng)證書(shū)了，申請(qǐng)證書(shū)有兩種方法：通過(guò)MMC控制臺(tái)（此方法只適用于企業(yè)

3、根CA和企業(yè)從屬CA）和通過(guò)WEB瀏覽器。在這里我們只能選擇WEB瀏覽器的方式，找到一臺(tái)客戶(hù)端計(jì)算機(jī)，在IE瀏覽器中輸入urlhttp:/ca/url服務(wù)器的IP地址或者計(jì)算機(jī)名/certsrv即可。然后選擇申請(qǐng)新證書(shū)，選擇證書(shū)的類(lèi)型，輸入正確的信息，即可獲得證書(shū)。 使用證書(shū)：我們可以自己架設(shè)一個(gè)最簡(jiǎn)單的POP3服務(wù)器，來(lái)實(shí)現(xiàn)郵件服務(wù)?，F(xiàn)在假設(shè)lily要向lucy發(fā)送一封加密和簽名電子郵件，在lily這邊的outlook中選擇工具-帳戶(hù)-郵件，選擇lily的帳戶(hù)，再單擊屬性-安全，選擇證書(shū)就可以了。在lucy處做同樣的操作。二證書(shū)服務(wù)器圖解過(guò)程試驗(yàn)拓?fù)洌涸囼?yàn)內(nèi)容以及拓?fù)湔f(shuō)明：試驗(yàn)內(nèi)容：獨(dú)立根C

4、A服務(wù)器與獨(dú)立從屬CA服務(wù)器搭建以及客戶(hù)端證書(shū)申請(qǐng)?jiān)囼?yàn)拓?fù)湔f(shuō)明：圖中server1擔(dān)任獨(dú)立根CA服務(wù)器，server2擔(dān)任獨(dú)立從屬CA服務(wù)器，另外三臺(tái)客戶(hù)機(jī)，分別為client1、client2和client3.試驗(yàn)配置過(guò)程：第一步：構(gòu)建獨(dú)立根CA服務(wù)器，我需要先安裝IIS（證書(shū)服務(wù)安裝過(guò)程中會(huì)在IIS的默認(rèn)網(wǎng)站中寫(xiě)入虛擬目錄，如果沒(méi)有IIS的話，無(wú)法通過(guò)web瀏覽器的方式申請(qǐng)證書(shū)），然后再安裝證書(shū)服務(wù)，配置過(guò)程如下：安裝完成后，如圖：證書(shū)服務(wù)的安裝過(guò)程：安裝完成后，客戶(hù)端即可申請(qǐng)證書(shū)，由于是獨(dú)立根CA，而且我們不是域環(huán)境，所以我們只能通過(guò)web瀏覽器申請(qǐng)證書(shū)：http:/CA服務(wù)器的ip地址或者計(jì)算機(jī)名/certsrv，如圖：再由CA服務(wù)器的管理員手工頒發(fā)證書(shū)，打開(kāi)證