PKI课程练习

在RootCA上安装独立根CA

域环境下安装子CA

选择CA申请文件保存路径

用记事本打开申请文件

高级证书申请

RootCA颁发证书

下载申请好的证书两种格式都下载

给子CA安装证书

CA故障:由于吊销服务器已脱机 ，吊销功能无法检查吊销

由于吊销服务器已脱机 ，吊销功能无法检查吊销。

吊销服务尝试启动，错误为RPC服务器未响应。

CMD运行：

certutil.exe -setreg CA\LogLevel 2

提示旧值

LogLevel REG_DWORD = 3

新值

LogLevel REG_DWORD = 2

完成之后CA正常启动。该CA为独立CA，从企业CA获取信息发布证书。

Net start certsrv 启用证书服务

Net stop certsrv 停用证书服务

Net pause certsrv 暂停证书服务

通过组策略信任证书颁发机构

刷新组策略 gpupdate /force

申请邮箱制定邮箱属性

申请用户证书

申请证书失败检测吊销服务器

当使用Windows Server 2008安装CA服务器，选择"独立从属CA"完成安装步骤后，无法启动证书服务，提示"由于吊销服务器已脱机 ，吊销功能无法检查吊销"错误。

解决方法是在CMD命令行下输入命令不验证吊销服务器(注意要在从属CA服务器停止时输入)：

certutil.exe -setreg ca\CRLFLags +CRLF_REVCHECK_IGNORE_OFFLINE (不检测)

执行之后再次启动从属CA服务器，成功。测试之后颁发、吊销、撤销吊销功能一切正常。

如果要再次开启验证吊销服务器，可以将+变成-：

certutil.exe -setreg ca\CRLFLags -CRLF_REVCHECK_IGNORE_OFFLINE （检测）

为邮箱配置证书进行签名和加密

导出用户数字证书

一并导出私钥

设置密码，恢复证书要用的

默认情况下，在安装 CA 的服务器上将在下列位置发布 CRL 和增量 CRL：

Systemroot\system32\CertSrv\CertEnroll\

如果 Active Directory 目录服务可用，它们也发布到 Active Directory。

使用命令行

打开 命令提示符。

键入：

certutil -crl

配置企业CA允许所有经过身份验证的用户自动申请证书 配置组策略为域用户自动颁发证书。

域环境配置EFS故障代理

导出代理密钥

转载于:https://blog.51cto.com/xzty1/1348685