90、公钥基础设施与远程访问策略全解析

公钥基础设施与远程访问策略全解析

1. 证书请求的高级选项与自动注册

1.1 证书请求高级选项

在证书请求的高级选项中，你可以选择“浏览域”来挑选想要发送请求的证书颁发机构（CA）。最后，向导会提示你为证书输入友好名称和描述。此外，还可以使用客户端机器上的Web浏览器来请求证书，但需注意，若采用此选项，CA上必须安装Internet信息服务（IIS）。

1.2 自动注册部署

Windows Server 2003公钥基础设施（PKI）的一大新特性是支持用户证书和计算机证书的自动注册，且此过程无需用户干预。不过，自动注册有严格要求：
- 仅Windows Server 2003客户端或Windows XP客户端可使用自动注册。
- 若要为版本2模板配置自动注册，需使用Windows Server 2003企业版或数据中心版。

在Active Directory中，可通过组策略配置自动注册。在“计算机配置”|“Windows设置”|“安全设置”|“公钥策略”中，有一个名为“自动证书请求设置”的组策略，其属性页可让你选择是否自动注册证书。同时，要确保在证书模板属性页的“请求处理”选项卡中选择“无需用户输入即可注册主体”选项。需注意，以下两种情况会导致自动注册失败：
- 在“颁发要求”选项卡中将“此授权签名数量”选项设置为大于1。
- 在“主题名称”选项卡中选择“在请求中提供”选项。

2. 基于角色的PKI管理

PKI管理可分配给不同的组或个人，微软定义了五种不同角色以方便管理：
| 角色 | 权限 | 职责 |
| — | — | —