WindowsServer2003证书服务器建立过程

1、PKI 实验一 ：PKI 系统原理【1】实验目的通过实验深入理解 PKI 系统的工作原理，了解数字证书和 CA 系统的主要功 能和作用。【2】实验原理1. PKI 基础PKI 是一个用公钥密码学技术来实施和提供安全服务的安全基础设施，它是创 建、管理、存储、分布和作废证书的一系列软件、硬件、人员、策略和过程的集 合。PKI 系统能够为用户生成并颁发数字证书，用户利用数字证书可以在网络环境 下验证相互之间的身份，并提供敏感信息传输的机密性、完整性和不可否认性，为 电子商务交易的安全提供基本保障。2. 数字证书数字证书就是标志网络用户身份信息的一系列数据，用来在网络通信中识别通 信各方的身份，即要

2、在网络上解决 “我是谁 ”的问题。数字证书可以看作用户的 “网 络身份证 ”。3. CA如果将数字证书比喻为 “身份证”，那么 CA 就好比颁发 “身份证”的公安局，它 能通过数字证书证明证书持有者的身份。CA 是数字证书的核心部分，用于创建数字证书。 CA 系统首先获取用户的申 请证书请求， CA 将根据用户的请求信息产生证书，证书中包括用户的公钥，最后 CA 用自己的私钥对证书进行签名。4. Windows 中的 CA 系统Windows 2000/2003的 Server 版本或 Enterprise 版本，将 PKI 功能作为操作系 统的一项基本服务，避免了购买第三方 PKI 所带来的

3、额外开销。 Windows 2000/2003中支持两种类型的 CA ：企业 CA 和独立 CA 。 企业 CA 一般用于为一 个组织机构内部并且属于同一个域的用户和计算机颁发证书。如果给 Windows 2000/2003域之外的独立用户颁发证书，一般安装独立 CA 。【3】实验环境安装 Windows 2000/2003 Server操作系统的一台计算机以及与其联网的一台 windows 计算机。【4】实验内容和步骤1. 独立根 CA 的安装(1 单击“开始”，选择“设置” 控“制面板” 添“加和删除程序 ”，在弹出的窗 口中选择 “添加和删除 Windows 组件 ”! XWd) Ml)

4、 VUO MlAO)XA1) *(i) voa) h任务一：Wlndu林歼址下JfeCrdM om 出的育口中迭择“金帀tc出wA丄丄AlXk 3勺尸Ca叭)4 ZEWttr)B口中.选择“证书 育到Wioiows所襄俱的CAftIL ffl幵绐安費-”oU tMrrqp7 文甘夹0-堆址；0左制面楼动上脈 Yiadoibx.AfaJsrJ旻示游就卫制H7(2 在弹出的窗口中，选择 “证书服务如果单击 “详细信息 ”，这里面可以看到 Windows 所提供的CA 和 RA 两个基本功能模块)。单击 “下一步 ”按钮开始安装(3 在弹出的配置窗口中，选择 “独立根 CA ”，单击“下一步”按钮（

5、4 在出现的对话框中，按要求一次填入 CA 的名称、单位、部门、城市、电子 邮件、描述、有效期限，单击“下一步 ”按钮。（可分辨名称处不填）(5 在弹出的对话框中填入数据的存放位置，单击 “下一步”按钮下面会停止本机的 IIS 服务，并启动 CA 的服务，之后 IIS 信息服务会自动开 启，并通过 IIS 的证书服务网页完成证书的操作。安装完成后，单击 “开始”按钮，选择选择 “设置”控“制面板 ”“管理工 具”，此时可在该菜单中找到 “证书颁发机构 ”，说明 CA 的安装已经完成2. 通过 Web 页面申请证书在局域网的另一台计算机中打开 IE ，在地址栏中输入 http:/安装根 CA 的

6、主机IP 地址 /certsrv，正常情况下会出现 RA 的证书申请页面。下面先申请一个证书(1 选中“申请证书”，并单击 “下一步”按钮(2 在弹出的页面中选择 “用户证书申请 ”中的某一个用途的证书，例如 “Web浏 览器证书 ”。(3 在弹出的窗口中填写用户的身份信息，完成后单击 “提交”按钮。这种情况 下，IE 浏览器采用默认的加密算法生成公私钥对，私钥保存在本地计算机中，公钥和用户身份信息按 照标准的格式发给 CA 服务器，然后出现提示窗口，单击 “是”按钮，申请证书。(4 CA 服务器响应后，出现证书挂起页面，标识 CA 服务器已经收到证书申 请，需要进行处理后才能反3. 证书发布

7、(1 在根 CA 所在的计算机上，单击 “开始”按钮，选择 “设置” 控“制面板” 管理工具 ”证书颁发机构 ”。在弹出的窗口左侧的菜单目录中选择 “待定申请 ”，上一步中 申请的证书 “test出现在窗口左侧(2 打开下拉框，点击“挂起的申请”。(3 选中右边框中证书申请，单击鼠标右键，选择 “所有任务” 颁“发”，进行 证书颁发。(4 证书颁发后将从“挂起的申请”文件夹转入到“颁发的证书”文件夹中，标识证 书颁发完成。School of Information Science and Engineering PKI实 验教程在 CA 服务器中完 成证书颁发后，下面转到证书申请者的计算机中，

8、查看申请的证书是否颁发下来。4. 证书的下载安装 (1 在申请证书的计算机上打开 IE 浏览器，在地址栏中输入 http:/安装根 CA 的主机 IP 地址/certsrv，进入证书申请页面。刚才完成了“申请证 书”， 下面选择“检查挂起的证书”， 看看 CA 是否颁发了证书，单击“下一步”按 钮。 (2 在弹出的页面中选择已经提交的证书申请，单击 “下一步”按钮。 (3 如果 CA 已经将证书颁发，将弹出证书已颁发页面。 All Rights ReservedSchool of Information Science and Engineering PKI实 验教程 (4 单击“安装此证 书

9、”， 弹出系统提示，这是由于没有下载安装 CA 系统的根证书，在下面会安装 CA 的根证书。在这里先单击“是 ”按 钮，完成证书的安装。 (5 由于没 有下载安装 CA 系统的根证书，所以无法验证其他用户提交的同一个 CA 颁发的证 书是否被篡改，即此 CA 系统颁发给其他用户的证书是否可信任。为此要安装 CA 系统的根证书，在地址栏中输 入 http:/安装根 CA 的主机 IP 地址/certsrv，进入证 书申请页面。选择“下载 CA 证书、证书链或 CRL” 超级链接。 (6 在弹出的对话框 中单击“下载 CA 证书”超级链接，在弹出的文件下载对话框中选择恰当的保存路 径， All Rights ReservedSchool of Information Science and Engineering PKI实 验教程将证书保存在本 地。 (6 下载完成后，在证书保存目录中双击此证书可查看证书信息。 All