33、深入了解Windows Server 2008 Active Directory证书服务

深入了解Windows Server 2008 Active Directory证书服务

1. 关键工具与服务概述

在Windows Server 2008中，有两个重要的工具和服务与Active Directory证书服务（AD CS）密切相关：
- Enterprise PKI (PKIView) ：这是一个新的MMC管理单元，它能帮助我们监控和排查PKI层次结构中多个证书颁发机构（CA）的问题，让我们一眼就能了解各个CA的状态。
- Network Device Enrollment Service (NDES) ：它允许网络设备（如路由器和交换机）上的软件从运行AD CS的服务器申请X.509证书。

2. 证书颁发机构类型和层次结构

Windows Server 2008提供了两种类型的CA：
| CA类型 | 特点 | 安装位置 |
| ---- | ---- | ---- |
| 企业CA（Enterprise CA） | 与Active Directory域服务（AD DS）集成，将证书存储在AD DS中 | 运行Windows Server 2008企业版的域控制器 |
| 独立CA（Standalone CA） | 维护一个独立的证书数据库，不与AD DS集成 | 成员服务器或独立服务器 |

PKI可以由两层或三层的CA服务器层次结构组成，其中包含三种不同的CA角色：
- 根CA（Root CA） ：位于每个CA层次结构的顶部，可以是组织自己运营的根CA，也