CA服務(wù)器配置原理與圖解過程

1、CA（證書頒發(fā)機(jī)構(gòu)）配置概述圖解過程一CA（證書頒發(fā)機(jī)構(gòu)）配置概述由于現(xiàn)在安全問題日益嚴(yán)重，為了保證數(shù)據(jù)傳輸?shù)臋C(jī)密性，交易者雙方身份的確定性等問題，我們需要采用一種安全機(jī)制來實(shí)現(xiàn)這些功能，在這里我們來探討以下PKI體系中的“證書”，也就是如何來構(gòu)建一個(gè)CA的環(huán)境來保證安全性。 CA（證書頒發(fā)機(jī)構(gòu)）主要負(fù)責(zé)證書的頒發(fā)、管理以及歸檔和吊銷，我們可以把證書認(rèn)為是我們開車需要使用的駕駛執(zhí)照。證書內(nèi)包含了擁有證書者的姓名、地址、電子郵件帳號(hào)、公鑰、證書有效期、發(fā)放證書的CA、CA的數(shù)字簽名等信息。證書主要有三大功能：加密、簽名、身份驗(yàn)證。這里不在具體闡述加密相關(guān)知識(shí)，這里主要討論如何來實(shí)現(xiàn)CA的環(huán)境。

2、CA的架構(gòu)是一種層次結(jié)構(gòu)的部署模式，分為“根CA”和“從屬CA”：“根CA”位于此架構(gòu)中的最上層，一般它是被用來發(fā)放證書給其他的CA（從屬CA）。在windows系統(tǒng)中，我們可以構(gòu)建4種CA：企業(yè)根CA和企業(yè)從屬CA（這兩種CA只能在域環(huán)境中）；獨(dú)立根CA和獨(dú)立從屬CA。 安裝CA：通過控制面板-添加刪除程序-添加刪除windows組件-證書服務(wù)，在安裝過程中選擇安裝的CA類型，再這里我們選擇獨(dú)立根CA，輸入CA名稱以及設(shè)置有效期限，完成向?qū)Ъ纯伞＃ㄔ谶@里注意：安裝證書服務(wù)前先安裝IIS） 申請證書：CA服務(wù)裝好以后就可以直接申請證書了，申請證書有兩種方法：通過MMC控制臺(tái)（此方法只適用于企業(yè)

3、根CA和企業(yè)從屬CA）和通過WEB瀏覽器。在這里我們只能選擇WEB瀏覽器的方式，找到一臺(tái)客戶端計(jì)算機(jī)，在IE瀏覽器中輸入urlhttp:/ca/url服務(wù)器的IP地址或者計(jì)算機(jī)名/certsrv即可。然后選擇申請新證書，選擇證書的類型，輸入正確的信息，即可獲得證書。 使用證書：我們可以自己架設(shè)一個(gè)最簡單的POP3服務(wù)器，來實(shí)現(xiàn)郵件服務(wù)。現(xiàn)在假設(shè)lily要向lucy發(fā)送一封加密和簽名電子郵件，在lily這邊的outlook中選擇工具-帳戶-郵件，選擇lily的帳戶，再單擊屬性-安全，選擇證書就可以了。在lucy處做同樣的操作。二證書服務(wù)器圖解過程試驗(yàn)拓?fù)洌涸囼?yàn)內(nèi)容以及拓?fù)湔f明：試驗(yàn)內(nèi)容：獨(dú)立根C

4、A服務(wù)器與獨(dú)立從屬CA服務(wù)器搭建以及客戶端證書申請?jiān)囼?yàn)拓?fù)湔f明：圖中server1擔(dān)任獨(dú)立根CA服務(wù)器，server2擔(dān)任獨(dú)立從屬CA服務(wù)器，另外三臺(tái)客戶機(jī)，分別為client1、client2和client3.試驗(yàn)配置過程：第一步：構(gòu)建獨(dú)立根CA服務(wù)器，我需要先安裝IIS（證書服務(wù)安裝過程中會(huì)在IIS的默認(rèn)網(wǎng)站中寫入虛擬目錄，如果沒有IIS的話，無法通過web瀏覽器的方式申請證書），然后再安裝證書服務(wù)，配置過程如下：安裝完成后，如圖：證書服務(wù)的安裝過程：安裝完成后，客戶端即可申請證書，由于是獨(dú)立根CA，而且我們不是域環(huán)境，所以我們只能通過web瀏覽器申請證書：http:/CA服務(wù)器的ip地址或者計(jì)算機(jī)名/certsrv，如圖：再由CA服務(wù)器的管理員手工頒發(fā)證書，打開證