智能卡域登陆部署说明（集成iTrusCA）.doc

智能卡域登陆部署说明北京天威诚信电子商务服务有限公司2010年8月文档属性属性内容企业名称北京天威诚信电子商务服务有限公司部门名称项目实施部文档主题智能卡域登陆部署说明文档版本1.0文档日期2010年8月12日文档状态开启作者陈悦文档变更版本修订日期修订人描述1.02010-08-12陈悦目 录一、安装DNS和安装IIS4二、配置活动目录5三、安装证书服务15四、配置证书服务19五、申请注册代理证书23六、在iTrusCA2.0下申请智能卡证书到USBKey32七、配置活动目录信任iTrusCA2.4集成项说明32八、添加第三方CA到活动目录的NTAuth store32九、配置组策略，分发根证书到所有域成员35十、控制台本地计算机证书管理中导入信任根CA和中级CA39一、安装DNS和安装IIS控制面板-添加或删除程序-添加/删除Windows组件添加Windows组件勾选“网络服务”，点击“详细信息”；选择“域名系统(DNS)”，点击“确定”；添加Windows组件勾选“应用程序服务器”，点击“详细信息”；选择“Internet 信息服务(IIS)”以及其相关联组件，如下图；点击“确定”后，再点击“下一步”，完成DNS和IIS的安装。二、配置活动目录控制面板-管理工具-管理您的服务器管理您的服务器角色，点击“添加或删除角色”选择“域控制器 (Active Directory)”，点击“下一步”弹出“Active Directory安装向导”，点击“下一步”进行域控制器的配置；域控制器类型选择“新域的域控制器”，点击“下一步”；选择要创建的域的类型为“在新森林中的域”，点击“下一步”：为新域输入一个DNS名，点击“下一步”；输入新域NetBIOS名，点击“下一步”；指定AD数据库和日志文件夹，点击“下一步”；选择本服务器上安装配置DNS服务器，并设为本机首选DNS服务器，点击“下一步”；输入“目录服务器还原密码”，点击“下一步”；确认域控制器信息，点击“下一步”；AD安装完成，根据提示“重启计算机”，重启后显示下图；三、安装证书服务控制面板-添加或删除程序-添加/删除Windows组件；选择“证书服务”，点击“详细信息”；勾选“证书服务CA”和“证书服务Web注册支持”，点击“确定”；CA类型选择“企业根CA”，点击“下一步”；键入CA名称，选择有效期限，点击“下一步”；设置证书数据库位置：弹出提示框，选择“是”，完成安装；弹出提示框“IIS中启用ASP”，选择“是”：四、配置证书服务控制面板-管理工具-证书颁发机构展开域根CA，右击证书模板，在弹出的菜单上选择新建-要颁发的证书模板在启用证书模板对话框中选择智能卡用户、智能卡登陆、注册代理、注册代理(计算机)四项。如下图所示：添加这个四个证书模板为域用户设置智能卡用户证书的注册权限。右击证书模板，选择管理，打开证书模板对话框。如下图所示：打开证书模板控制台在证书模板控制台右边的模板列表中，右击“智能卡用户”选择“属性”，弹出智能卡用户的属性对话框。切换到安全面板，在“组或用户名称”中添加Domain Users，并为其添加读取、写入、注册的权限，如下图所示：五、申请注册代理证书Windows Server 2003 为了安全起见，要求颁发智能卡证书必须通过注册代理站来颁发，不允许随意颁发智能卡证书，注册代理站需要使用注册代理证书，所以必须先申请注册代理证书，我们下面来申请注册代理证书申请注册代理证书的那台计算机就是为域用户代为注册智能卡用户证书的计算机。任意域成员计算机上均可以申请注册代理证书，并帮助用户申请智能卡用户证书。不过在默认情况下，注册代理证书只允许域管理员申请，如果出于安全考虑不希望使用域管理员进行申请证书操作，则需要为指定用户设置注册代理证书的权限，具体办法请参考按照配置证书服务设置智能卡用户注册权限。下图可作参考：如图不想这么麻烦，可以在申请注册代理证书的计算机上以域管理员administrator（这个administrator是域管理员账号，应该和本地计算机administrator区分开）的账户（或者属于域管理员组Domain Admins的用户）登录，并以administrator的身份申请注册代理证书。通过管理用户证书的MMC控制台申请注册代理证书：开始-运行-键入mmc后回车-打开MMC控制台单击菜单“控制台”，选择“添加/删除管理单元”，选择“证书”，然后添加，选择“我的用户账户”，点击“完成”。操作过程请参考下列图示：展开“证书 当前用户”，右键单击“个人”文件夹，在弹出的菜单上选择“所有任务”-“申请新证书”，弹出证书申请向导。在“证书类型”中选择“注册代理”，键入好记名称后，完成申请。六、在iTrusCA2.0下申请智能卡证书到USBKey在iTrusCA2.0下申请USBKey的方法与一般申请证书的方法相同，但是要在申请时直接将证书写入到USB Key中去。七、配置活动目录信任iTrusCA2.4集成项说明上面已经安装了Windows的证书服务拥有了域控制器证书，下面我们需要完成集成第三方CA到活动目录需要对活动目录和域控制器做以下两项设置：l 必需的：添加第三方的CA到活动目录的NTAuth store中，用来认证活动目录的用户登录。l 可选的：通过使用组策略，配置活动目录分发第三方根CA到所有域成员的受信任的根证书中去。第二项虽然是可选的，但是手动发布根CA到每一台域成员计算机中显然是不可取的，所以也要做。八、添加第三方CA到活动目录的NTAuth store方法一：通过PKI Health Tool导入证书，安装rktools.exe工具到域控制器； rktools.exe工具尽适用于Windows server 2003开始-运行-键入mmc后回车-打开MMC控制台单击菜单“控制台”，选择“添加/删除管理单元”，选择“Enterprise PKI”，添加后关闭。单击完成。右击Enterprise PKI，选择Manage AD Containers；切换到NTAuthCertificates面板，点击Add按钮；找到iTrusCA的根CA文件root.crt，选择打开。这样，iTrusCA的根CA就被导入到NTAuth store中去了。因为iTrusCA签发的用户证书是三级证书链结构，所以我们要同时添加iTrusCA的中级CA文件user.crt，将iTrusCA的中级CA也导入到NTAuth store中去。方法二：使用Certutil.exe命令导入证书。Certuil命令支持两种证书格式，DER encoded binary X.509 (.cer)和Base-64 encoded X.509 (.cer)，在命令行下输入：certutil -dspublish -f filename NTAuthCA然后回车。九、配置组策略，分发根证书到所有域成员在域控制器上执行控制面板-管理工具-Active Directory用户和计算机在左边的树形目录上，右键单击域名，在弹出的菜单上选择“属性”切换到“组策略”面板，单击“Default Domain Policy”对象，然后单击“编辑”。在“Default Domain Policy”的组策略编辑器中，依次展开计算机配置-Windows设置-安全设置-公钥策略；在“受信任的根证书颁发机构”单击右键，在弹出的菜单上选择所有任务-导入；选择iTrusCA的根证书root.crt文件。同时导入中级CA证书userca.crt；计算机配置-Windows设置-安全设置-本地策略-安全选项；选择“交互式登录：智能卡移除操作”，如下图配置智能卡移除时锁定工作站操作；十、控制台本地计算机证书管理中导入信任根CA和中级CA开始-运行-键入mmc后回车-打开MMC控制台单击菜单“控制台”，选择“添加/删除管理单元”；点击“添加”，选择“证书”，点击“添加”；选择“计算机帐户”，点击“下一步”；选择“本地计算机”，点击“完成”；点击“确定“