CA认证服务器
ca证书和服务器证书区别
ca证书和服务器证书区别ca证书和服务器证书区别一般的CA证书，可以直接在WINDOWS上生成。
通过点对点原理，实现数据的传输加密和身份核实功能。
CA服务器证书，是必须安装在服务器中，由服务器的软硬件信息生成的CSR文件，通过在微软和全球webTrust证书联盟的备份和核实后，生成的CA证书。
网站能在IE浏览器上直接显示“安全锁”，和显示证书信息。
高级的版本能在浏览器地址栏变绿色，是目前全球最有效果的身份核实、信息加密工具。
CA证书的生成简单免费，而CA服务器证书成本较高，一般在5000-20000元/年，所以需要此服务的企业或机构以金融类行业为首。
如果企业需要CA服务器证书来杜绝钓鱼网站的侵害，可以选择安信保认证标识，它集成了服务器证书服务。
是目前看到最便宜的了，比较适合企业使用。
天威诚信服务器证书安装配置过程中服务器证书中级CA证书如何获取？证书文件就是从收到的证书邮件里，按照顺序，把-----BEGIN CERTIFICATE-----开头到-----END CERTIFICATE------结尾的代码，复制到一个txt文本里，注意这些头尾的信息都要包含。
常见的是2段或者3段。
保存为server.pem即可。
私钥文件为产生CSR同时产生的密钥文件，录入是以文本格式打开，复制私钥编码。
证书文件就是从收到的证书邮件里，按照顺序服务器证书和SSL证书是否一样？本质上是一样的，只是不同的名字。
只是前者是从技术角度命名，后者是从用途角度命名的，都是为网站的机密数据提供加密传输功能，从而确保机密信息的机密性、完整性和不可否认性。
对于网上电子商务来讲，用户在向网站提交机密信息之前，如果不能信任网站，那再高强度的加密也是没有用的，因为加密只是一种技术保护措施。
百度上搜一下天威诚信数字认证中心网址，你自己看吧，上面有很多详细资料的。
很不错服务器证书哪里申请？服务器证书推荐？CA颁发机构申请每个申请都是非常昂贵的我们自己颁发的证书是不被信任的，这就是为什么有的网站会出现证书不可信任服务器证书和SSL证书是同一种证书么?可以到天威诚信的网站上了解一下哦，有很多白皮书。
[计算机软件及应用]windowsserver2008下配置CA服务器文档
![[计算机软件及应用]windowsserver2008下配置CA服务器文档](https://img.taocdn.com/s3/m/d50cea9703d276a20029bd64783e0912a2167c04.png)
Windows server 2008下构建CA服务器文档一、添加服务器管理器角色首先打开服务管理器，选择开始-》管理工具-》服务管理器。
选择角色，右键添加角色。
打开添加角色向导对话框。
在“选择服务器角色”页中，选中“Active Directory证书服务”。
在“选择角色服务”页中，添加“证书颁发机构”、“证书颁发机构Web注册”，在选择“证书颁发机构Web注册”时，会弹出添加IIS的对话框，单击“添加必需的角色服务”即可自动添加所需要的IIS服务。
在“指定安装类型”页中，选择“独立”，这就是表示要安装“标准CA证书”服务器了。
在“指定CA类型”页，选择“根CA”。
在“设备私钥”页，选择“新建私钥”。
在“为CA配置加密”页，选择默认值。
填写CA的公用名称。
选择默认，点击下一步。
选择默认，点击下一步。
选择默认，点击下一步勾选, 在选择时会出现“是否添加所需的角色服务”对话框，选择“添加必须的角色服务”选项。
之后点击下一步。
点击安装。
安装完成，点击关闭按钮，然后在服务管理器中会看到添加的角色。
重启电脑，使配置生效。
二、配置AD证书服务器为自动颁发证书打开AD证书服务器，点击开始菜单->管理工具->Certification Authority。
打开我们建立的证书颁发机构的属性对话框。
在属性对话框中选择策略模块选项卡，在策略模块选项卡中点击属性按钮，在弹出的属性对话框中选择“如果可以的话，按照证书模板中的设置。
否则将自动颁发证书”选项，点击确定。
之后重启证书颁发机构，是配置生效。
三、配置IIS打开IIS管理器，选择开始菜单->管理工具->Internet 信息服务（IIS）管理器。
3.1配置服务器证书在IIS服务器根目录下，在中间的主页界面中双击服务器证书，打开服务器证书配置页面，在右侧选择创建证书申请，打开申请证书向导。
填写相关的信息后，点击下一步。
选择默认，下一步。
为证书申请指定文件名。
如何迁移CA(证书颁发机构)服务器
前言证书颁发机构(CA) 是企业内部公钥基础结构(PKI) 的核心组件。
尽管CA 服务器可使用许多年甚至是几十年或更长，但是我们有可能遇到这样的场景需求：1. CA服务器已经服役了相当长的时间，而在这段时间内作为CA 服务器的硬件可能早已更新换代，所以有必要将CA服务器迁移到新的配置强劲的服务器上；2. 基于公司的某些具体策略需求，需要将企业内部的CA服务器迁移到另外的服务器上基于这样的需求，我在这里向大家介绍一下如何将证书颁发机构(CA)迁移到其他服务器上。
注意：要将CA 从运行Windows 2000 Server 的服务器迁移到运行Windows Server 2003 的服务器，必须首先将运行Windows 2000 Server 的CA 服务器操作系统升级到Windows Server 2003。
然后，才能按照本文所述的步骤进行迁移操作。
演示环境环境很简单，我就不画什么拓扑图了，简单交代一下就行了。
Old_CA : (Windows server 2003)New_CA : (Windows server 2003)操作步骤1. 如果你在证书颁发机构管理单元的“证书模板”文件夹中配置过自定义的证书模板，那么必须在新的CA 服务器上手动配置证书模板设置以保持模板集相同。
打个比方，如果你曾经在老的CA服务器上自定义过一个证书模板用于某个特殊用途，若仍想让客户端在新的CA服务器上申请证书时仍能使用该模板的话，那么你需要再次在新的CA服务器上配置相同的证书模板。
因为有关证书模板的设置是存储在Active Directory 中。
这些信息不会按照本文的操作而自动备份。
注意：“证书模板”文件夹仅存在于企业CA 上。
独立CA 不使用证书模板。
因此，此步不适用于独立CA。
如果你想将独立CA进行迁移操作，那么请跳过此步骤。
2. 以下操作在老CA服务器上进行。
我们需要使用“证书颁发机构”管理单元备份CA 数据库和私钥。
ca证书服务器 工作原理
ca证书服务器工作原理
CA（Certificate Authority）证书服务器是一种用于管理和颁发
数字证书的服务器，其工作原理如下：
1. 申请证书：用户向CA证书服务器提交数字证书申请请求。
申请包括用户的公钥、个人身份信息等。
2. 身份验证：CA证书服务器对用户的身份进行验证，以确保
用户的合法性和真实性。
常见的验证方式包括邮件验证、电话验证和面对面验证等。
3. 证书生成：经过身份验证的用户，CA证书服务器会生成一
份数字证书，其中包括用户的公钥、个人身份信息和证书的有效期等。
4. 私钥签名：CA证书服务器使用自己的私钥对生成的数字证
书进行签名，以保证证书的完整性和真实性。
5. 证书发布：CA证书服务器将签名后的数字证书发送给用户，以便用户在使用数字证书时进行验证。
6. 证书更新：数字证书有一定的有效期，过期后需要进行更新。
用户可以向CA证书服务器申请证书更新，CA证书服务器会
重新签发新的数字证书。
7. 证书验证：在使用数字证书进行身份验证时，验证方需要获取证书的公钥，并使用CA证书服务器的公钥对数字证书进行
验证，以确保证书的真实性和完整性。
总结起来，CA证书服务器的工作原理主要包括申请证书、身份验证、证书生成、私钥签名、证书发布、证书更新和证书验证等步骤。
通过CA证书服务器，用户可以获取到具有可信任性的数字证书，以确保在网络通信和数据传输中的安全性和可信度。
证书服务器CA的安装及其配置
证书服务器CA的安装及其配置先安装非AD域环境下的证书服务。
证书服务器CA是很实用的一个工具，其安装之前必须要安装IIS组件。
然后点击添加证书服务，选择独立根，单击下一步，给证书服务器命名；选择证书服务器数据库和日志存放位置；单击下一步开始安装。
（提示停止IIS服务）弹出对话框，如图，单击是；安装完成后，客户端即可申请证书，由于是独立根CA，而且不是域环境，所以只能通过web浏览器申请证书：http://CA服务器的ip地址或者计算机名/certsrv，如图：选择申请一个证书；选择web浏览器证书；选择创建并向此CA提交一个申请；填写注册信息，然后点击提交；如图所示；再由CA服务器的管理员手工颁发证书，打开证书服务器，选择管理工具-证书颁发机构，颁发证书；打开IIS服务器，可以看到此时该服务器（CA）的IIS下多出以下几项：打开IE，输入http://服务器名或IP名/certsrv，点击查看挂起的证书申请的状态。
可以通过Internet选项的“内容”或者MMC证书管理单元进行查看。
此外，在申请证书时如果选择启用强私钥保护，弹出对话框，点击是单击设置安全级别；安全级别设置为‘高’，单击‘下一步’后会弹出口令设置窗口：然后输入密码，单击完成；单击确定；打开IE输入http://192.168.1.6/certsrv/certckpn.asp，按照上诉步骤点击需要查看的证书，点击客户端身份证书，弹出对话框；如图打开IE工具-Internet选项-内容-证书，即可查看刚刚颁发的证书。
在web中实现SSL1.生成证书申请打开IIS管理器，展开网站，右击想要安装该的证书的 Web 站点，单击属性。
选择目录安全性选项卡，单击“安全通信”下的“服务器证书”。
弹出欢迎使用web服务器证书安全向导，单击下一步，选择“新建证书”单击“下一步”。
选择“现在准备证书请求，但稍后发送”单击下一步。
然后键入证书的名称。
选择位长；越高的位长，在更强的证书加密。
WindowsCA_证书服务器配置
WindowsCA_证书服务器配置Windows CA 证书服务器配置一、介绍Windows CA 证书服务器是用于创建和管理数字证书的工具。
本文将指导您如何配置 Windows CA 证书服务器以确保安全的证书管理和分发。
二、系统要求在开始配置 Windows CA 证书服务器之前，请确保系统满足以下要求：1、Windows Server 操作系统。
2、硬件资源满足最低配置要求。
3、网络连接稳定。
三、安装 Windows CA 证书服务1、打开“服务器管理器”。
2、在“角色和功能”窗口中，选择“添加角色和功能”。
3、在向导中，选择“角色基于功能或角色的安装”，并“下一步”。
4、选择要安装 Windows CA 证书服务的服务器，“下一步”。
5、在“选择服务器角色”窗口中，选中“Active Directory 统一访问角色”，“下一步”。
6、在“选择角色服务”窗口中，选中“证书授权服务”，“下一步”。
7、在“确认安装选择”窗口中，“安装”。
8、安装完成后，“关闭”。
四、配置 Windows CA 证书服务器1、打开“证书授权管理控制台”。
2、在左侧导航栏中，选择“证书授权站点”。
3、在右侧窗口中，“配置证书授权站点”。
4、在向导中，选择“企业证书授权站点”，“下一步”。
5、选择要使用的证书数据库类型，“下一步”。
6、配置站点设置，包括站点名称、默认访问 URL 等，“下一步”。
7、配置证书颁发策略，设置证书的颁发方式和条件，“下一步”。
8、配置证书申请策略，设置证书的申请方式和条件，“下一步”。
9、完成配置后，“完成”。
五、证书管理1、打开“证书授权管理控制台”。
2、在左侧导航栏中，选择“已颁发的证书”。
3、在右侧窗口中，可以查看和管理已颁发的证书。
六、证书分发1、打开“证书授权控制台”。
2、在左侧导航栏中，选择“颁发策略”。
3、在右侧窗口中，可配置证书颁发的策略。
4、在客户端申请证书时，其请求将被验证，并根据颁发策略进行处理。
ca认证通俗易懂
ca认证通俗易懂摘要：1.CA 认证的概述2.CA 认证的作用3.CA 认证的具体操作流程4.CA 认证的优势和局限性5.CA 认证的实际应用案例正文：一、CA 认证的概述CA（Certificate Authority，证书颁发机构）认证，是一种基于数字证书的安全认证机制。
数字证书是用于在互联网上验证身份和保护信息传输安全的一种电子凭证，它包含了证书持有者的公钥、身份信息以及颁发机构的数字签名。
CA 认证就是由证书颁发机构发放的，用于证明证书持有者身份的认证。
二、CA 认证的作用CA 认证主要有以下几个作用：1.确保信息传输的安全：通过CA 认证，客户端可以验证服务器的身份，确保信息传输到正确的服务器，防止中间人攻击。
2.保证数据的完整性：CA 认证可以对数据进行数字签名，确保数据在传输过程中不被篡改。
3.保证数据的保密性：CA 认证可以利用公钥加密技术，对数据进行加密传输，保证数据的保密性。
三、CA 认证的具体操作流程CA 认证的具体操作流程如下：1.客户端向证书颁发机构申请证书：客户端需要向证书颁发机构提出证书申请，证书颁发机构会对客户端进行身份验证，确认其身份后，颁发证书。
2.服务器配置证书：服务器需要将证书安装到本地，以便客户端进行验证。
3.客户端验证服务器证书：客户端在访问服务器时，会先验证服务器的证书，确认服务器的身份。
4.客户端与服务器建立安全连接：客户端与服务器通过数字签名和加密技术，建立安全连接，进行数据传输。
四、CA 认证的优势和局限性CA 认证的优势主要有以下几点：1.高效：CA 认证采用分布式架构，可以快速处理大量的认证请求。
2.安全：CA 认证采用公钥加密和数字签名技术，可以有效防止信息泄露和中间人攻击。
3.可靠：CA 认证由第三方权威机构进行颁发，可以提高身份验证的可靠性。
然而，CA 认证也存在一些局限性，如：1.证书管理困难：随着证书数量的增加，证书的管理和维护会变得越来越困难。
格尔CA服务器
格尔CA服务器正文：⒈概述格尔CA服务器是一款专用于数字证书颁发机构（CA）的服务器。
该服务器具备高性能、高可靠性和高安全性的特点，可广泛应用于各种数字证书颁发机构和数字身份认证服务中心。
⒉功能说明⑴证书颁发⑵证书管理格尔CA服务器提供完善的证书管理功能，包括证书注册、证书更新、证书吊销、证书稽核和证书归档等。
用户可以通过管理界面对证书进行灵活的操作和管理。
⑶安全保护格尔CA服务器具备多层次的安全保护机制，包括身份验证、数据加密和安全传输等。
服务器采用分布式架构，可以抵御各种网络攻击和数据泄露风险。
⒊系统需求⑴硬件需求●处理器：Intel Xeon E5或更高级别●内存：至少16GB RAM●存储空间：至少500GB硬盘空间●网络：千兆以太网接口⑵软件需求●操作系统：Windows Server 2016或更高版本●数据库：MySQL ⑺或更高版本●网络服务：IIS ⑸或更高版本⒋系统安装⑴准备工作●确保系统满足硬件和软件需求●确认网络环境稳定可靠●确保数据库安装正确并可访问⑵安装步骤（略去安装步骤的具体描述，可以在此处根据实际情况填写）⒌系统配置⑴管理员设置●创建管理员账户●分配管理员权限⑶安全设置●配置防火墙●配置SSL证书●设置访问控制策略⒍系统维护⑴备份与恢复●定期备份数据●恢复数据的步骤和方法⑵系统监控●监控服务器性能●监控证书颁发情况⑶系统更新●定期更新服务器操作系统和软件补丁●及时更新证书库和证书规则⑷故障处理●识别故障类型●采取相应的处理措施⒎附件附件1：CA服务器用户手册附件2：CA服务器安装包⒏法律名词及注释⑴数字证书数字证书是由数字证书颁发机构签名的一种电子文件，用于证明一个实体的身份和公钥的真实性。
⑵认证规则认证规则是指证书颁发机构根据法律法规和行业标准，对申请者身份进行核实和验证的一系列要求和流程。
⑶吊销证书吊销证书是指证书颁发机构根据特定情况，撤销已经颁发的证书，并在证书吊销列表中加入相应的记录。
CA服务器的创建和CA客户端认证过程【范本模板】
CA服务器的创建和CA客户端认证过程实验内容:创建一台CA服务器,和一台IIS服务器,通过IIS服务器搭建网站，连接DNS服务器获取CA安全服务，验证CA客户端安全认证过程；实验思路：准备实验所需的两台虚拟机A、B，在虚拟机A中安装CA服务,同时也要安装IIS服务，用来支持CA服务，在虚拟机B中安装IIS服务和DNS服务，用作CA客户端，然后在虚拟机B中搭建网站，对CA服务器请求CA服务，验证实验全过程；实验步骤：1.准备实验所需的两台虚拟机“CA 192.168.4。
186”、“DNS+IIS 192。
168。
4。
187”；2.在虚拟机“CA”中安装CA服务，注意同时也要安装IIS服务，因为CA的注册页面必须由IIS支持，注意IIS可以先安装，或同时安装,但不能在CA后安装；注意在选择CA服务的时候，会出现如下页面,这里我们应选“是”后继续安装3.由上步选择“是"后,安装继续;4。
在上一步中点击“下一步"后，进入选择CA类型，这里我们选择“独立根”;5。
设置CA的识别信息；6。
证书数据库设置；7。
启用ASP,注意这里一定要选择“是”,启用ASP功能，否则会导致实验失败；8。
安装完成；9。
在控制台中添加CA管理；注意我们要添加的是“证书颁发机构"，不要和“证书"、“证书模块”弄混淆；10。
选择管理CA的计算机，这里我们就选择“本地计算机”进行操作；11。
添加成功；12。
启动虚拟机“DNS+IIS"；13.在虚拟机“DNS+IIS"中安装DNS和IIS服务；14。
安装完成；15。
运行控制台添加DNS和IIS管理单元;16.添加成功；17.搭建DNS控制台；18.搭建IIS网站；新建网站文件搭建IIS网站搭建成功19.进入“web”属性,安装web安全通信服务证书；进入web安装向导由于是第一次安装，所以我们选择“新建证书”证书名称和安全性设置申请证书单位名设置站点公用名设置,这里一般是所操作的计算机名申请证书客户的地理信息证书保存的位置和文件名安装完成20。
CA认证解决方案-CA+网关+签名服务器
CA认证安全解决方案吉大正元信息技术股份有限公司2013年05月目录1方案背景 (3)2需求分析 (4)3系统框架设计 (6)4系统逻辑设计 (7)5产品介绍 (9)5.1CA认证系统 (9)5.1.1系统构架 (9)5.1.2系统功能 (10)5.1.3系统流程 (11)5.2身份认证网关 (12)5.2.1系统架构 (12)5.2.2系统功能 (13)5.2.3系统流程 (14)5.3数字签名服务器 (15)5.3.1系统架构 (15)5.3.2系统功能 (16)5.3.2.1数字签名服务器 (16)5.3.2.2数字签名客户端 (18)5.3.3系统流程 (18)5.3.3.1数字签名流程 (18)5.3.3.2签名验证流程 (19)6网络拓扑设计 (20)7产品配置清单 (21)1方案背景随着信息化建设的推进，信息化的水平也有了长足的提高，信息化已经成为政府、企业提高工作效率，降低运营成本、提升客户体验、增加客户粘度，提升自身形象的重要手段。
信息化是架构在网络环境世界来展开，网络固有的虚拟性、开放性给业务的开展带来巨大潜在风险，如何解决虚拟身份的真实有效，敏感信息在网络传输的安全保密且不被攻击者非法篡改，如何防止网络操作日后不被抵赖？同时，随着信息系统的不断增加，信任危机、信息孤岛、用户体验、应用统一整合越发成为信息化发展的瓶颈。
因此，安全和可信、融合和统一逐渐成为目前信息化建设的大势所趋，上述问题逐渐给信息化建设管理者提出了新的挑战。
此外，国家安全管理部门发布了《信息安全等级保护管理办法》，提出了“计算机信息系统实行安全等级保护”的要求，等级保护技术标准规范中也明确对信息系统的身份鉴别、数据机密性、数据完整性以及抗抵赖提出明确的安全要求。
鉴于上述政府、企业自身的安全建设需要以及政府安全管理部门的要求，本方案提出一套基于PKI密码技术的CA认证体系建设方案和基于数字证书的安全应用支撑解决方案，全面解决上述信息安全问题。
WindowsCA_证书服务器配置
WindowsCA_证书服务器配置Windows CA证书服务器配置指南一、引言Windows CA（Certificate Authority）是一种权威的证书颁发机构，负责为组织内部或互联网上的计算机、用户或设备颁发数字证书。
数字证书是一种用于验证实体身份的电子文档，可用于确保通信的安全性和完整性。
本文将详细介绍Windows CA证书服务器的配置方法，帮助您完成证书颁发的整个流程。
二、配置步骤1、安装证书服务在Windows服务器上安装证书服务，可以打开“服务器管理器”，然后从“角色”页面选择“添加角色”。
在“角色”对话框中，选择“证书”，然后按照向导完成安装。
2、创建根CA在安装完证书服务后，需要创建一个根CA。
在“服务器管理器”中，打开“证书”并选择“根CA”。
在“根CA”对话框中，输入CA的名称和其他相关信息，然后按照向导完成创建。
3、配置颁发机构策略在创建完根CA后，需要配置颁发机构策略。
在“服务器管理器”中，打开“证书”并选择“颁发机构”。
在“颁发机构”对话框中，选择“策略”选项卡，然后根据需要进行配置。
例如，可以设置证书的有效期、设置证书的主题和其他相关信息等。
4、配置申请策略在配置完颁发机构策略后，需要配置申请策略。
在“服务器管理器”中，打开“证书”并选择“颁发机构”。
在“颁发机构”对话框中，选择“申请”选项卡，然后根据需要进行配置。
例如，可以设置申请者的身份验证方法和证书模板等。
5、接受申请当有用户或设备需要申请数字证书时，需要在证书服务器上接受申请。
在“服务器管理器”中，打开“证书”并选择“颁发机构”。
在“颁发机构”对话框中，选择“申请队列”选项卡，然后双击需要处理的申请。
在“处理申请”对话框中，选择处理方式（例如自动批准或手动批准），然后按照向导完成处理。
6、颁发证书在处理完申请后，需要颁发数字证书。
在“服务器管理器”中，打开“证书”并选择“颁发机构”。
在“颁发机构”对话框中，选择“已颁发的证书”选项卡，然后双击需要颁发的证书。
CA(证书颁发机构)服务器重命名
声明：本文转载自，更新网址：本文转自：/619759/635909CA证书服务器重命名。
有一台域控制器和一台OCS服务器，域控制器上部署了CA证书颁发机构，现在是我需要将CA迁移到一台成员服务器上，我将CA备份之后，在域控制器上删除CA证书机构，然后在一台成员服务器上恢复CA备份（注：使用备份的CA私钥安装CA组件），我发现这样做也可以正常申请和验证证书，因为我原有域控制器和恢复CA的服务器计算机名不相同，我看到微软官方上说不能恢复备份到不同计算机名的服务器上了，我想确认这个操作是否可行？（注：Windows 2003 的域控制器）我测试将CA备份恢复到另一台用虚拟机做的服务器，我做了两个测试，一个恢复到新虚拟机上相同计算机名的成员服务器（把原来CA服务器关闭掉），一个恢复到新虚拟机上不同计算机名的成员服务器上，我发现恢复之后都无法通过Web页面去申请证书，打开创建新的证书申请页面时弹出：找不到任何证书模板。
您没有从该CA申请证书的权限，或者在访问Active Directory时发生错误。
请问如何解决这个问题？回答：根据您的描述，我的理解是您希望获得有关于如何将CA迁移到不同名称的服务器上的信息。
首先让我们开看CA在不同名称的服务器之间移动这个问题。
我们确实是不推荐您将CA迁移到一台不同名称的服务器，但是如果我们必须将其迁移到不同名称的服务器上，我们需要在完成KB298138中的步骤之后，继续如下的步骤来保证用程序可以访问CA中存储的CRL和AIA信息。
1. 如果满足下列条件，我们需要运行命令certutil.exe -dspublish来停止已发布的AIA 和CRL信息。
? 原始的CA是企业CA。
? 客户端只能通过LDAP URLS访问发布的AIA和CRL数据。
? 新的CA与原始的CA不在同一森林。
2.如果下列的条件成立，我们需要添加新的CDP/AIA扩展（这样新的CA会继续发布原始的CDP/AIA信息）? 原始的CA是企业CA。
格尔CA服务器
格尔ＣＡ服务器 （格尔证书认证系统中小企业版） 产品白皮书 ｖ１．３．０ 上海格尔软件股份有限公司 ２００４年１２月 上海格尔软件股份有限公司 １保密事宜： 本文档包含上海格尔软件股份有限公司的专有商业信息和保密信息。
接受方同意维护本文档所提供信息的保密性，承诺不对其进行复制，或向评估小组以外、非直接相关的人员公开此信息。
对于以下三种信息，接受方不向格尔公司承担保密责任： １ ） 接受方在接收该文档前，已经掌握的信息。
２ ） 可以通过与接受方无关的其它渠道公开获得的信息。
３ ） 可以从第三方，以无附加保密要求方式获得的信息。
上海格尔软件股份有限公司 ２目 录 １前言．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．３２产品简介．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４２．１产品概念．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４２．２格尔证书认证系统产品线．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４２．３体系结构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５３产品特性及功能．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．６３．１产品特性．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．６３．２基本功能一览表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．６４安装部署．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．８５附录．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．９５．１相关名词解释．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．９５．２参考标准．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１０５．３ＰＫＩ简介．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１１图表目录 图表 １ 格尔证书认证系统产品系列列表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４图表 ２ 格尔证书认证系统中小企业版产品列表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５图表 ３ 格尔证书认证系统产品体系架构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５图表 ４格尔认证系统（中小企业版）产品功能列表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．７图表 ５ 格尔认证系统（中小企业版）安装部署图．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．８上海格尔软件股份有限公司 ３１ 前言 随着网络技术的不断发展，企业联网的范围也不断扩大，从一个本地网络发展到跨地区跨城市甚至是跨国网络，这其中的各种网络应用在给企业带来便捷高效的收益的同时，也带来了安全管理和安全通讯的问题。
CA认证功能介绍
CA认证功能介绍发布日期：2008-12-30 11:38:25概括地说，认证中心（CA）的功能有：证书发放、证书更新、证书撤销和证书验证。
CA的核心功能就是发放和管理数字证书，具体描述如下：（1）接收验证最终用户数字证书的申请。
（2）确定是否接受最终用户数字证书的申请-证书的审批。
（3）向申请者颁发、拒绝颁发数字证书-证书的发放。
（4）接收、处理最终用户的数字证书更新请求-证书的更新。
（5）接收最终用户数字证书的查询、撤销。
（6）产生和发布证书废止列表（CRL）。
（7）数字证书的归档。
（8）密钥归档。
（9）历史数据归档。
认证中心为了实现其功能，主要由以下三部分组成：（1）注册服务器：通过 Web Server 建立的站点，可为客户提供每日24小时的服务。
因此客户可在自己方便的时候在网上提出证书申请和填写相应的证书申请表，免去了排队等候等烦恼。
（2）证书申请受理和审核机构：负责证书的申请和审核。
它的主要功能是接受客户证书申请并进行审核。
（3）认证中心服务器：是数字证书生成、发放的运行实体，同时提供发放证书的管理、证书废止列表（CRL）的生成和处理等服务。
CA认证简介为保证网上数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施之外，必须建立一种信任及信任验证机制，即参加电子商务的各方必须有一个可以被验证的标识，这就是数字证书。
数字证书是各实体(持卡人/个人、商户/企业、网关/银行等)在网上信息交流及商务交易活动中的身份证明。
该数字证书具有唯一性。
它将实体的公开密钥同实体本身联系在一起，为实现这一目的，必须使数字证书符合X.509国际标准，同时数字证书的来源必须是可靠的。
这就意味着应有一个网上各方都信任的机构，专门负责数字证书的发放和管理，确保网上信息的安全，这个机构就是CA认证机构。
各级CA认证机构的存在组成了整个电子商务的信任链。
如果CA机构不安全或发放的数字证书不具有权威性、公正性和可信赖性，电子商务就根本无从谈起。
SNCA认证服务器(ASS)
SNCA认证服务器（ASS）
认证服务器（Passec Authentication Server System）是提供基于数字证书的身份可信认证，对数据验证、数字签名的真实性和有效性进行鉴别的服务平台，可广泛应用于验证用户身份、签名验证、加解密运算和防止抵赖等方面。
○性能指标
∙支持RSA算法；
∙支持MD5、SHA1摘要算法；
∙支持DES、3DES；
∙支持最大并发数1000；
∙单次认证时间<=100ms。
○认证服务器功能
∙证书有效性的验证；
∙数字签名验证；
∙动态黑名单；
∙数字证书解析；
∙数据加解密；
∙可信认证日志。
○认证服务器解决方案的特点
∙安全性：系统设置专用网络接口管理系统，系统关闭所有不需要的服务和端口（如FTP、SSH等），只保留服务端口，避免外界的攻击；
∙高性能：最高达到每秒处理2000次签名验证；
∙易维护性：系统所有管理操作均采用WEB方式，操作简单方便；
∙ D. 适用性：可以适用于Windows、Linux平台。
自建CA认证系统实用方案
自建CA认证系统实用方案
一、背景
认证是完成安全交易所必不可少的一个因素。
在网络信息时代，认证
问题日趋重要，为了确保信息安全，必须采取合适的认证机制，以确保双
方的信息安全。
在企业内部，一般采用账户密码认证的机制来实现认证功能，而在网
络上，则需要采用更安全的认证机制，如数字签名认证系统和密钥交换机
制等。
这样的认证机制提供了更高的安全性，但普遍存在三个问题：首先，客户端的安全性可能无法得到有效保障，其次，客户端之间的认证可能面
临着大量的法律法规和监管，最后，服务器端的安全性可能受到攻击。
为了解决上述问题，特别是客户端之间的认证问题，采用自建CA认
证系统可能是一个非常好的解决方案，它可以有效地提高安全性，也可以
满足企业内部认证要求，同时相对简单实用。
1、准备工作
首先，需要准备一台服务器，并安装CA认证服务器；其次，准备一
台虚拟机，用于安装CA认证客户端；最后，要为认证系统设计规则，并
安装证书签发服务以及客户端软件。
2、配置CA认证服务器
在服务器上安装CA认证服务器，并根据规则设置服务器配置，以实
现安全认证服务。
CA安装使用操作说明
CA安装使用操作说明一、概述CA（Certificate Authority，数字证书认证机构）是一种用于管理和颁发数字证书的机构或服务。
它通过数字签名的方式，对证书申请者的身份进行验证，并向其颁发数字证书，以确保其身份的可信性和信息的安全性。
本文将介绍CA的安装和使用操作说明。
二、安装CA2.安装CA软件双击安装包，按照安装向导的提示进行安装。
选择合适的安装目录，完成安装过程。
3.配置CA参数打开CA软件，进入配置界面，根据实际需求进行参数配置。
主要包括证书有效期、证书签名算法、CA私钥保护密码等。
4.生成CA根证书在CA软件中，选择“生成CA根证书”，按照要求填写相关信息，包括CA名称、组织名称、邮件地址等。
点击“生成”按钮，生成CA根证书。
5.导出CA根证书在CA软件中，选择“导出CA根证书”，选择导出格式（如PEM、DER等），选择导出路径，点击“导出”按钮，将CA根证书保存到指定位置。
三、使用CA1.申请证书在需要使用CA签发证书的系统或应用中，打开证书申请界面，填写相关信息，包括申请者姓名、单位名称、电子邮件等。
点击“申请”按钮，生成证书申请文件。
2.提交证书申请打开CA软件的证书管理界面，选择“提交证书申请”，选择证书申请文件，点击“提交”按钮，将证书申请发送给CA。
3.审核证书申请在CA软件的证书管理界面，选择“审核证书申请”，选择待审核的证书申请文件，点击“审核通过”按钮，对证书申请进行审核。
4.签发证书在CA软件的证书管理界面，选择“签发证书”，选择已审核通过的证书申请文件，点击“签发”按钮，CA将对证书申请进行数字签名，生成证书。
5.导出证书在CA软件的证书管理界面，选择“导出证书”，选择要导出的证书，选择导出格式，选择导出路径，点击“导出”按钮，将证书保存到指定位置。
6.使用证书将导出的证书安装到需要使用证书的系统或应用中，根据具体的系统或应用进行配置和使用。
四、CA管理1.证书吊销在CA软件的证书管理界面，选择要吊销的证书，点击“吊销”按钮，将被吊销证书的状态更改为吊销状态。
Windows CA 证书服务器配置
Windows CA 证书服务器配置(一) —— Microsoft 证书服务安装安装准备：插入Windows Server 2003 系统安装光盘添加IIS组件：点击‘确定’，安装完毕后，查看IIS管理器，如下：添加‘证书服务’组件：如果您的机器没有安装活动目录，在勾选以上‘证书服务’时，将弹出如下窗口：由于我们将要安装的是独立CA，所以不需要安装活动目录，点击‘是’，窗口跳向如下：默认情况下，‘用自定义设置生成密钥对和CA证书’没有勾选，我们勾选之后点击‘下一步’可以进行密钥算法的选择：Microsoft 证书服务的默认CSP为：Microsoft Strong Cryptographic Provider，默认散列算法：SHA-1，密钥长度：2048——您可以根据需要做相应的选择，这里我们使用默认。
点击‘下一步’：填写CA的公用名称（以AAAAA为例），其他信息（如邮件、单位、部门等）可在‘可分辨名称后缀’中添加，有效期限默认为5年（可根据需要作相应改动，此处默认）。
点击‘下一步’：点击‘下一步’进入组件的安装，安装过程中可能弹出如下窗口：单击‘是’，继续安装，可能再弹出如下窗口：由于安装证书服务的时候系统会自动在IIS中（这也是为什么必须先安装IIS的原因）添加证书申请服务，该服务系统用ASP写就，所以必须为IIS启用ASP功能，点击‘是’继续安装：‘完成’证书服务的安装。
开始》》》管理工具》》》证书颁发机构，打开如下窗口：我们已经为服务器成功配置完公用名为AAAAA的独立根CA，Web服务器和客户端可以通过访问该服务器的IIS证书申请服务申请相关证书。
此时该服务器（CA）的IIS下多出以下几项：我们可以通过在浏览器中输入以下网址进行数字证书的申请：http://hostname/certsrv或http://hostip/certsrv申请界面如下：Windows CA 证书服务器配置(二) ——申请数字证书在IE地址栏中输入证书服务系统的地址，进入服务主页：点击‘申请一个证书’进入申请页面：如果证书用作客户端身份认证，则可点击‘Web浏览器证书’或‘高级证书申请’，一般用户申请‘Web浏览器证书’即可，‘高级证书申请’里有更多选项，也就有很多专业术语，高级用户也可点击进入进行申请。
中间 CA 证书服务器
中间（根）CA 证书服务器DNS 服务器：192.168.20.10PC1 ：192.168.20.10PC2 ：192.168.20.20一、将PC1 配置成中间CA 服务器二、PC2 创建私钥跟自签发(自签发不要带加密参数跟到期时间)三、安装openssh客户端，将PC2的自签发证书发送到PC1四、用CA证书进行证书签发，并把签发好的CA 发送至PC2五、PC2 的SSL 配置文件指定私钥跟PC1 签发好的证书位置六、配置PC2 的http 服务器并重启七、加S 访问PC2 的web 服务器___________________________________________________________________________________ 1、配置PC1 ：/etc/pki/tls/f，将FALSE 改为TRUE2、PC1 生成根证书/etc/pki/tls/misc/CA -newca在此处输入秘钥保护密码，输入两次相同的密码3、依次在下方填写国家，省份，城市，组织名称，组织单位名称，通用名(服务器主机名)，邮件地址。
4、在标红处直接回车跳过，标绿的地方输入你刚才上方输入的私钥保护密码，回车至此，根CA证书服务器完成可以自行查看私钥跟CA根证书：/etc/pki/CA/cacert.pem私钥：/etc/pki/CA/private/cakey.pem二、在PC2 中创建私钥跟证书申请文件红色方框中的一定要跟上面根CA 证书一致，否则报错，绿色箭头填写你网站的域名或者ip都可以注意，自签名一定不要带上加密参数跟证书有效时间PC1跟PC2 安装openssh-clients将(本机)PC2 的证书申请文件发送至PC 1 的/tmp 下PC1 使用CA证书进行签发命令：openssl ca -keyfile /etc/pki/CA/private/cakey.pem -cert /etc/pki/CA/cacert.pem -in /tmp/server.csr -out /server.crtScp server.crt 192.168.20.20:/ 将签发的证书发送至Apache 服务器并输入私钥保护密码OK，完成，接下来在PC2中配置http 服务器，并创建http 主页文件，重启http服务器，完成。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
此时域里面的所有客户访问OWA据不会再出现安全证书错误的提示了
此时公网的客户端访问邮件服务器OWA，仍然会出现“此网站的安全证书有问题”的警告提醒。具体解决办法，可以参考我昨天发的另一篇博客/1286606/650916。
1.打开"Exchange命令行管理程序",输入以下命令后回车,如下图所示:
其中,-domainname后面为证书的公共名称,可以输入多个公共名称,默认情况下，此cmdlet创建的所有证书请求和证书均不允许导出私钥。您必须了解，如果您无法导出私钥，证书本身无法进行导出和导入。所以建议加上PrivateKeyExportable参数，将此参数设置为$true则允许从生成的证书导出私钥。执行上面命令之后会在C盘根目录生成一个文本文件,呆会我们需要将文本文件中的内容复制出来去申请一张证书.
粘贴到这个位置
证书模板选择成“WEB服务器”
提交之后即可下载证书
我们将它保存到桌面上，起名字叫certnew吧
下载完毕证书，我们回到EMC控制台，右键点击我们刚刚新建的UHN证书，选择完成搁置请求
在向导中浏览找到桌面上certnew证书导入
导入成功之后，继续在UHN上点击右键选择“为证书分配服务”
如下图，增加勾选SMTP和IIS两个服务。
1、受条件所限我的实验是在DC上安装证书服务，实际生产环境，可以根据需要在一台和合适的成员服务器上安装。方法如下：
我在这里遇到一个问题，如下图所示，我实验的时候选的是第一项，不知道另外两项是否可以。如果有了解相关技术的朋友，麻烦请教一下这三项的区别，实际生产环境，我们应该选择哪种模式比较好呢？谢谢~
2.使用IE打开CA的证书服务页面,然后选择"申请一个证书",如下图所示:
3.在"选择一个证书类型"页面中选择"高级证书申请",如下图所示:
4.在"高级证书申请"页面选择中间一项,如下图所示:
5.打开刚才在C盘根目录下生成的文本文件,复制文本中的内容(注意:首尾两行不需要),然后在紧接的页面中粘贴,证书模板选择"WEB服务器",单击"提交",如下图所示:
2、安装证书服务器角色成功之后，我们回到EX01这台邮件服务器上，打开EMC控制台，展开服务器配置，在Exchange标签下面选择“新建Exchange证书”如下图：
输入证书名称
根据需要勾选，一般需要勾选前四项，如下图~
展开是这样的
下一步之后，的NETBIOS名字试试。
Server 2008 CA配置
客户端访问OWA的时候，会提示安全证书错误。这是因为默认使用的是一个Exchange2010的自签名证书，如果我们想要客户端正常显示，我们需要在企业内部搭建一个CA认证服务器，并且为Exchange申请一张证书。我的具体的操作方法如下截图，和各位朋友分享交流，如果您发现那些步骤有问题，希望您的指正：
在Exchange Server 2007中使用多主机名称证书
相信接触过Exchange Server 2007的朋友都清楚很多场景都离不开SSL证书的,这些场景包括:OWA,Outlook Anywhere,Autodiscover的使用和配置.我们通常的做法是通过购买证书或者在环境中搭建CA自行申请证书,并且证书的公共名称跟访问的主机名称一致.相信这种方法已经可以满足很多场景的应用需求,但是有一些特殊场景是满足不了.比如员工在企业内部访问OWA喜欢使用Exchange的主机名称方式,而不是使用对外发布的公网域名.还有一些需要使用Autodiscover功能的企业,Autodiscover也需要配置一张SSL证书,并且Autodiscover的证书公共名称是不可能跟OWA访问使用的证书公共名称一致的.当处于这些场景的时候,用户就可能经常遇到错误证书名称的警告提示,因为通常大家申请证书的做法都是使用IIS来进行申请,这种方法申请下来的证书只有一个公共名称,满足不了前面所述场景的应用.虽然这种错误证书警告提示,我们可以忽略,并且也不会影响邮件的传输.但是这种情况会影响到我们的用户使用体验,可能终端用户会有点怨言.为了能够让用户得到更好的用户体验,更好的实现我们ITpro的价值,现在,我们可以通过使用"Exchange命令行管理程序"来申请多主机名称证书来解决这个问题,废话了一大堆,下面开始详细操作步骤:
可以将公网域名设置为公用名称
填写相关信息，并指定证书保存的位置
我们将证书保存到桌面，起名字叫uhncer
按照向导完成后，会在桌面生成一个“uhncer”文件，如下图，我们可以用记事本打开备用。
这时候打开一个IE窗口，连接到证书服务器，选择申请证书。如下图
复制刚才打开备用的记事本里面uhncer正文
6.在下面页面中将证书下载到本地,如下图所示:
本例中将证书下载到D盘的根目录中.
7.返回到"Exchange命令行管理程序"中执行以下命令
上面命令的作用是将刚才申请的证书导入Exchange中并且给这张证书启用"IIS,POP,IMAP"服务.
8.至此,多主机名称的证书已经申请完成,可以通过Get-ExchangeCertificate | fl *来验证一下证书的申请情况,具体如下图: