如何跨林申请证书

==环境信息==

PKI 环境在ZZ.com, z.com为信任林域

CA02为颁发CA，DC03为z.com域控

==搭建步骤==

1、打开zz.com的AD用户和计算机，给予需要申请证书的用户以及DC允许身份验证的权限

同样在信任域中要给予CA 在DC上的允许身份验证的权限

2、在颁发CA上以管理员身份打开CMD运行下述命令certutil -setreg Policy\EditFlags +EDITF_ENABLELDAPREFERRALS, and press ENTER.

3、在信任域中将CA添加到 Cert Publishers组里面

4、重新启动CA服务

5、将ROOT CA的证书以及颁发CA的证书复制到信任域DC上，然后在信任域DC上运行下述命令将证书发布到域中

certutil -dspublish -f "C:\CA01_ZZ Root CA.crt" RootCA

certutil -dspublish -f "C:\CA02.zz.com_zz Issuing CA.crt" NTAuthCA

certutil -dspublish -f "C:\CA02.zz.com_zz Issuing CA.crt" SubCA

gpupdate /force

6、由于跨域申请证书只能使用网页进行申请，可以在信任域中打开设置的网页证书申请页面http://<issuing ca name>/certsrv  进行证书申请

需注意如下几点：

1、网页申请证书只能使用IE浏览器

2、网页申请证书需要将证书申请网址添加到信任站点

3、网页申请计算机证书时其证书模板的使用者名称需勾选在请求中提供不然无法显示出证书模板，用户证书不需要进行此操作