如何将Windows配置为SCEP服务器并在Cisco ASA 注册

How to configure Windows as a SCEP server & Cisco ASA enrollment

文章原文：https://www.whitewinterwolf.com/posts/2017/10/05/how-to-configure-windows-as-a-scep-server-cisco-asa-enrollment/#_

翻译如下：
SCEP是包括Microsoft和Cisco在内的多家制造商支持的协议，旨在使证书发行更加容易，尤其是在大规模环境中。

它分几个步骤进行：

1. 该SCEP服务器产生一次性密码（“注册质询密码”），客户端获取到注册质询密码后，客户端生成密钥对，并将证书签名请求与一次性密码一起发送到SCEP服务器。
2. 该SCEP服务器验证客户端证书数据使得现有的签名证书给客户端。
3. 客户端定期轮询SCEP服务器，直到其签名证书可用为止。然后，客户端可以获取签名证书并进行安装

在这里，我们将Windows Server设置为SCEP服务器，并使用Cisco ASA作为SCEP 客户端。

上面的拓扑使用Windows 2016，但是任何其他Windows服务器都可以。本操作方法涵盖Windows 2016和2008，虽然两者之间存在一些差异。
这里介绍了选择合适的Windows版本。

Windows（SCEP 服务器）

Microsoft网站提供了有关Active Directory证书服务和网络设备注册服务的更多文档 。

配置IP地址和主机名
有关IP地址和主机名配置的更多详细信息，请参见 此处。

安装Windows证书服务
打开服务器管理器（最近的Windows Server在打开新会话时会自动打开它，否则，您可以在任务栏中或在“ 开始” 菜单下的“ 管理工具”中找到它）。

在“ 角色”部分中，点击添加角色。选择“ Active Directory证书服务” 角色。

当要求选择其他角色服务时：

1. 在最新的Windows版本上，选择“ 证书颁发机构”，“ 网络设备注册服务”和“ 联机响应程序” 服务：

2. 在较旧的Windows版本上，目前仅安装证书颁发机构，我们稍后将安装其余的证书：


在较新的Windows上，可以直接从“ 添加角色” 向导中添加已安装角色的服务 。

在较新的Windows上，服务配置是一个单独的步骤。在服务器管理器的顶部栏上，您应该看到一个警告标志（➀），单击它，然后在“ 配置Active Directory证书服务”链接（➁）上。

您必须首先配置证书颁发机构，然后返回到角色服务配置屏幕以配置 网络设备注册服务和联机响应程序服务，这是第二步。

如果安装正确，则将询问您要使用的服务帐户，选择使用内置应用程序池标识。

然后，再按一下Next，Next，Next，Configure和SCEP服务器，并准备好处理请求。

管理SCEP 服务器

默认情况下，SCEP服务器应在所有接口上侦听端口80。

要访问它，请打开Internet Explorer并访问 http://localhost/certsrv/mscep/mscep.dll：

链接应建议您访问http://localhost/certsrv/mscep_admin/以生成新的注册密码。访问此页面需要管理员密码：

现在执行certsrv.msc（在新的Windows版本中，执行工具已移至Windows系统组下方 ）：

在“ 待处理的请求” 部分中提供了待验证的待处理证书：右键单击它们以颁发已签名的证书。

思科ASA（SCEP 客户端）

配置IP地址和HTTPS 服务器
可以在此处找到有关如何配置ASA IP地址和HTTPS服务器（ASDM必需 ）的详细信息。
所有即将进行的配置都使用ASDM GUI完成。

导入SCEP服务器CA 证书
进入“ 配置” >“ 设备管理” >“ 证书管理” >“ CA证书”，然后单击“ 添加”并填写SCEP服务器信息以下载服务器的CA 证书。

创建一个新的密钥对并将请求提交到服务器

进入“ 配置” >“ 设备管理” >“ 证书管理” >“ 身份证书”，然后单击“ 添加”。

单击“ 新建…”按钮创建一个新的密钥对，然后单击“ 高级…” 按钮以在“ 注册模式”和“ SCEP挑战密码” 选项卡下方填充SCEP服务器信息：

单击添加证书以将请求发送到SCEP服务器，您将收到类似以下的消息：

在SCEP服务器端，ASA证书应显示在“ 待处理的请求”中。右键单击它，然后选择“ 颁发”任务以颁发已签名的证书。

ASA会定期拉动 SCEP服务器，您可能需要等待一两分钟，然后才能获取签名的证书并将其安装在 ASA上。

单击刷新按钮以查看ASA的证书是否已正确注册。现在它将显示SCEP服务器为颁发者和有效的到期日期：

该ASA现在已经被Windows’签订了专用证书CA。