實(shí)驗(yàn)3-應(yīng)用層安全技術(shù)-windows-server證書配置操作指南

WINDOWSSERVER2003證書配置目錄WINDOWSSERVER2003證書配置 1一、證書組件安裝 11.首先在服務(wù)器上安裝IIS組件,并配置WEB站點(diǎn): 22.使用IE瀏覽器輸入IP地址訪問本地站點(diǎn): 73.在服務(wù)器上安裝CA組件: 84.使用IIS查看默認(rèn)站點(diǎn)多出關(guān)于CA證書的列表: 185.證書頒發(fā)機(jī)構(gòu) 18二、客戶端安裝證書 201．申請(qǐng)數(shù)字證書 202.CA證書頒發(fā) 303.打開證書頒發(fā)機(jī)構(gòu)查看: 32三、在WEB服務(wù)器上設(shè)置SSL 321.生成證書申請(qǐng): 322.提交證書申請(qǐng): 433.頒發(fā)證書: 504.在使用WEB形式訪問證書申請(qǐng)頁面,并選擇下載證書: 545.在WEB服務(wù)器上安裝證書: 55四、練習(xí) 601.啟用安全通道(SSL): 602.使用HTTPS方式訪問站點(diǎn) 62一、證書組件安裝1.首先在服務(wù)器上安裝IIS組件,并配置WEB站點(diǎn):并配置WEB服務(wù)器:2.使用IE瀏覽器輸入IP地址訪問本地站點(diǎn):3.在服務(wù)器上安裝CA組件:因?yàn)闆]有AD(活動(dòng)目錄),所以只能創(chuàng)建獨(dú)立CA,又因?yàn)槭堑谝粋€(gè)CA,所以選擇獨(dú)立根CA,并選擇自定義安裝:配置"公鑰/私鑰對(duì)",保持默認(rèn)即可:設(shè)置CA名字和使用年限:選擇證書數(shù)據(jù)庫及其日志信息的位置:安裝證書時(shí)需要停止INTERNET信息服務(wù):起用ASP支持:完成CA的安裝:4.使用IIS查看默認(rèn)站點(diǎn)多出關(guān)于CA證書的列表:5.證書頒發(fā)機(jī)構(gòu)開始》》》管理工具》》》證書頒發(fā)機(jī)構(gòu)，打開如下窗口：我們已經(jīng)為服務(wù)器成功配置完公用名為AAAAA的獨(dú)立根CA，Web服務(wù)器和客戶端可以通過訪問該服務(wù)器的IIS證書申請(qǐng)服務(wù)申請(qǐng)相關(guān)證書。此時(shí)該服務(wù)器（CA）的IIS下多出以下幾項(xiàng)：我們可以通過在瀏覽器中輸入以下網(wǎng)址進(jìn)行數(shù)字證書的申請(qǐng)：http://hostname/certsrv或http://hostip/certsrv申請(qǐng)界面如下：二、客戶端安裝證書1．申請(qǐng)數(shù)字證書在IE地址欄中輸入證書服務(wù)系統(tǒng)的地址，進(jìn)入服務(wù)主頁：點(diǎn)擊‘申請(qǐng)一個(gè)證書’進(jìn)入申請(qǐng)頁面：如果證書用作客戶端身份認(rèn)證，則可點(diǎn)擊‘Web瀏覽器證書’或‘高級(jí)證書申請(qǐng)’，一般用戶申請(qǐng)‘Web瀏覽器證書’即可，‘高級(jí)證書申請(qǐng)’里有更多選項(xiàng)，也就有很多專業(yè)術(shù)語，高級(jí)用戶也可點(diǎn)擊進(jìn)入進(jìn)行申請(qǐng)。這里我們以點(diǎn)擊申請(qǐng)‘Web瀏覽器證書’為例：申請(qǐng)‘Web瀏覽器證書’，‘姓名’是必填項(xiàng)，其他項(xiàng)目可不填，但由于CA服務(wù)器的管理員是根據(jù)申請(qǐng)人的詳細(xì)信息決定是否頒發(fā)的，所以請(qǐng)盡量多填，并且填寫真實(shí)信息，因?yàn)镃A管理員會(huì)驗(yàn)證申請(qǐng)人的真實(shí)信息，然后進(jìn)行頒發(fā)。需注意的一點(diǎn)是，‘國家（地區(qū)）’需用國際代碼填寫，CN代表中國。如果想查看更多選項(xiàng)，請(qǐng)點(diǎn)擊‘更多選項(xiàng)’：在‘更多選項(xiàng)’里，默認(rèn)的CSP為MicrosoftEnhancedCryptographicProviderv1.0，選擇其他CSP不會(huì)對(duì)認(rèn)證產(chǎn)生影響。默認(rèn)情況下‘啟用強(qiáng)私鑰保護(hù)’并沒有勾選上，建議將它勾選上，點(diǎn)擊提交后就會(huì)讓申請(qǐng)人設(shè)置證書的安全級(jí)別，如果不將安全級(jí)別設(shè)置為高級(jí)并用口令進(jìn)行保護(hù)，則只要機(jī)器上裝有該證書，任何人都可以用它作為認(rèn)證，所以建議將證書設(shè)置為高級(jí)安全級(jí)別，用口令進(jìn)行保護(hù)。以下將作相應(yīng)操作，點(diǎn)擊‘提交’：單擊‘是’：單擊‘設(shè)置安全級(jí)別’：將安全級(jí)別設(shè)置為‘高’，單擊‘下一步’后會(huì)彈出口令設(shè)置窗口：輸入口令，對(duì)證書進(jìn)行加密，并記住密碼，因?yàn)樵谝院笳{(diào)用該證書的時(shí)候，瀏覽器會(huì)彈出輸入密碼的窗口。單擊‘完成’：單擊‘確定’，瀏覽器頁面跳向如下：到這一步，申請(qǐng)人已經(jīng)向CA服務(wù)器發(fā)送證書信息，并等待CA管理員對(duì)其進(jìn)行核對(duì)，然后決定是否要頒發(fā)，如果CA管理員核對(duì)信息后決定頒發(fā)此證書，則申請(qǐng)人在其頒發(fā)之后再次訪問該系統(tǒng)：點(diǎn)擊‘查看掛起的證書申請(qǐng)狀態(tài)’：該頁面證明CA管理員已經(jīng)頒發(fā)了申請(qǐng)人的證書，點(diǎn)擊進(jìn)入證書安裝頁面：（說明：管理員需在“證書頒發(fā)機(jī)構(gòu)”中頒發(fā)該證書。具體參考下一步。）點(diǎn)擊‘安裝此證書’：您應(yīng)該已經(jīng)信任CA機(jī)構(gòu)，所以請(qǐng)單擊‘是’：您已經(jīng)成功安裝數(shù)字證書。如果要找回您剛才安裝的數(shù)字證書，請(qǐng)單擊瀏覽器上的：工具》》》Internet選項(xiàng)》》》內(nèi)容》》》證書，彈出如下窗口：此時(shí)您已經(jīng)發(fā)現(xiàn)，在證書個(gè)人存儲(chǔ)區(qū)內(nèi)已經(jīng)安裝了您剛剛申請(qǐng)并成功安裝的證書。單擊‘查看’：這就是您的數(shù)字證書了。2.CA證書頒發(fā)開始》》》管理工具》》》證書頒發(fā)機(jī)構(gòu)：在‘掛起的申請(qǐng)’里已經(jīng)存在申請(qǐng)掛起等待頒發(fā)的證書（如圖ID=2）。右鍵點(diǎn)擊掛起的證書》》》所有任務(wù)》》》頒發(fā)：剛才的掛起證書已經(jīng)存入‘頒發(fā)的證書’存儲(chǔ)區(qū)。此時(shí)，申請(qǐng)人若在登陸證書申請(qǐng)系統(tǒng)，并查看掛起，就會(huì)獲取相應(yīng)的證書。3.打開證書頒發(fā)機(jī)構(gòu)查看:三、在WEB服務(wù)器端配置1.生成證書申請(qǐng):打開WEB服務(wù)器站點(diǎn)屬性:點(diǎn)擊"安全通信"中的"服務(wù)器證書"安裝證書:選擇"新建證書":2.提交證書申請(qǐng):使用IE瀏覽器打開本地WEB站點(diǎn)進(jìn)入證書申請(qǐng)頁面,如下:選擇申請(qǐng)證書

選擇"高級(jí)證書申請(qǐng)":

在提交一個(gè)證書申請(qǐng)中選擇后者"BASE64編碼的證書申請(qǐng)":

此時(shí)彈出文本框讓輸入內(nèi)容:

找到之前保存的certreq.txt,打開并把其內(nèi)容全部復(fù)制到文本框中,然后提交:

完成以上步驟后證書被掛起:

3.頒發(fā)證書:打開證書頒發(fā)機(jī)構(gòu)工具,查看"掛器的申請(qǐng)",可以看到有剛才申請(qǐng)后被掛起的證書:

然后把掛起的證書選擇"頒發(fā)":

之后在"頒發(fā)的證書"中可以查看到該證書以被頒發(fā),表示證書此時(shí)已經(jīng)頒發(fā)了:

4.在使用WEB形式訪問證書申請(qǐng)頁面,并選擇下載證書:

選擇編碼類型為BASE64再下載證書,并保存在桌面上certnew.cer的文件:

5.在WEB服務(wù)器上安裝證書:再次打開IIS服務(wù)器找到站點(diǎn)屬性:,再次單擊"服務(wù)器證書",之后選擇處理被掛起的請(qǐng)求:

輸入包含CA響應(yīng)的文件的路徑和文件名(該文件剛才已經(jīng)下載到桌面上)

選擇SSL端口號(hào):

四、練習(xí)1.