[转载]组策略实现用户证书自动注册申请

Myth丶恋晨 2021-12-22 22:41 223阅读 0赞

在前面的博文中，我们已经在邮件加密，安全Web站点，TLS通讯，智能卡等诸多的应用领域中接触到了证书，证书在安全领域的重要性已是不言而喻。如果我们在内网搭建了CA服务器，用户应该如何获取证书呢？用户申请证书一般有两种方式，如下图所示，用户既可以通过MMC控制台也可以利用浏览器进行证书的注册申请。但这两种证书申请方式对普通用户来说都有一定的技术难度，如果管理员代为用户申请证书，在用户众多的环境下又不太现实。那我们在大型企业中应该如何处理用户证书的注册申请呢？

![284255-20151115134254540-1386872317.jpg][]

![284255-20151115134309556-1289209588.jpg][]

我们可以通过组策略结合CA服务器来完成证书的自动注册申请，利用这种方式，我们可以对整个域的用户或某个组织的用户，只要用户在开机后以域用户身份登录，就可以自动完成证书的注册申请。怎么样，听起来是否很不错？下面我们通过一个实验来说明如何实现这个构想，拓扑如下图所示，Florence是域控制器和CA服务器，Perth和Istanbul是用户User1和User2使用的工作站。

![284255-20151115134346275-473919377.jpg][]

**一 创建企业根CA**

要实现用户证书的自动注册，需要有企业级CA的支持，因为只有这种类型的CA服务器才能和组策略结合使用。由于我们创建的CA服务器是域中的第一个证书服务器，因此服务器类型应该选择企业根。

在域控制器Florence上打开控制面板－添加或删除程序－添加/或删除Windows组件，如下图所示，勾选“证书服务”。

![284255-20151115134404290-1846209201.jpg][]

**证书服务器的类型应该选择“企业根CA”。**

![284255-20151115134425353-558274585.jpg][]

为CA命名为ITETCA，有效期限5年。

![284255-20151115134448509-1542860599.jpg][]

证书数据库的存储路径取默认值即可。

![284255-20151115134505462-1128642678.jpg][]

如下图所示，我们成功地完成了企业根CA的安装，结束了实验的第一步。

![284255-20151115134526994-1407711297.jpg][]

**二 创建证书模板**

有了CA服务器，我们接下来要创建一个支持用户自动注册的证书模板。具体步骤如下，我们在Florence上运行MMC，添加“证书模板”管理单元。如下图所示，右键点击“用户”模板，选择“复制模板”。**之所以选择复制出一个新模板，而不是直接在用户模板上进行操作，是因为不希望影响其他应用程序对用户模板的使用。**

![284255-20151115134548025-1526744680.jpg][]

如下图所示，在复制出的新模板的常规标签处，我们为此模板命名为“用户自动注册模板”，注意，模板名称一旦确定就无法更改。同时确保勾选“在Active Directory中颁发证书”。

![284255-20151115134604525-1149335445.jpg][]

切换到证书模板的“处理请求”标签，如下图所示，确保选择“注册证书使用者时无需用户输入”。

![284255-20151115134624994-436219399.jpg][]

切换到证书模板的“安全”标签，我们在此可以分配证书模板的权限，如果我们希望哪些用户可以利用这个证书模板进行证书的自动注册，一定要为这些用户赋予“读取”，“注册”和“自动注册”的权限。在本次实验中，我们希望域内所有的用户都可以实现证书的自动注册，因此如下图所示，我们为Domain Users组的成员赋予了上述三项权限。

![284255-20151115134646181-1077410432.jpg][]

**三 使用自动注册的证书模板**

创建了支持自动注册的证书模板，我们就要在证书服务器中使用这种证书模板。在Florence的管理工具中打开“证书颁发机构”，如下图所示，右键点击证书模板，选择新建“要颁发的证书模板”。

![284255-20151115134709884-602145761.jpg][]

选择我们新创建的“用户自动注册模板”。

![284255-20151115135238025-1810874117.jpg][]

如下图所示，现在证书服务器已经使用了支持用户自动注册的证书模板，证书服务器已经可以支持用户自动进行证书的注册申请了。

![284255-20151115134805056-1568955614.jpg][]

**四 配置组策略**

证书服务器已经可以支持用户证书的自动注册申请，接下来我们需要在组策略中进行配置，允许用户自动进行证书的注册申请。由于我们希望域内所有用户都能实现证书的自动注册，因此我们需要在域级别进行组策略设置。在Florence上打开Active Directory用户和计算机，如下图所示，在CATEST.COM域的属性中切换到“组策略”标签，由于我们只是进行实验，因此选择编辑默认的域用户策略即可。

![284255-20151115135314665-1160822176.jpg][]

如下图所示，在组策略编辑器中定位到 用户配置－Windows设置－安全设置－公钥策略，编辑右侧面板中的“自动注册设置”。确保选择“自动注册证书”，如有必要，也可选择“续订过期证书，更新未决证书并删除吊销的证书”和“更新使用证书模板的证书”。这样一来，用户不但可以完成证书的自动注册申请，还可以完成证书的自动更新，续订以及吊销。

![284255-20151115134910931-848752453.jpg][]

组策略设置完毕后，我们可以在工作站上使用Gpupdate / Force来加速组策略的生效。

**五 用户测试**

万事俱备，只欠东风，下面我们就在Perth上进行证书的自动注册测试，如下图所示，域用户User1在工作站Perth上登录。

![284255-20151115134940540-1112619522.jpg][]

User1登录后我满怀信心地用MMC打开用户证书的管理单元查看成果，咦，怎么回事？如下图所示，User1没有申请到证书！重新启动Perth，让User1重新登录也无济于事。利用别的用户申请也是无功而返，问题出在哪里呢？

![284255-20151115135003775-1102056017.jpg][]

打开Florence上的证书颁发机构，如下图所示，在失败的申请中我们发现了问题所在，证书模板要求用户属性中提供电子邮件地址，但我们没有为用户填写电子邮件地址，域内也没有部署Exchange服务器，因此用户提供的属性不能满足证书模板的注册需求，这才导致申请被拒绝。

![284255-20151115135024790-549500208.jpg][]

打开用户自动注册证书模板查看，如下图所示，果然证书模板要求用户注册证书时提供电子邮件地址。

![284255-20151115135042275-1256932899.jpg][]

找到了问题的原因，接下来就容易处理了，我们既可以取消证书模板对邮件地址的要求，也可以如下图所示，在User1的属性中填写电子邮件地址。

![284255-20151115135059509-856651918.jpg][]

我们填写了User1的邮件地址后，让User1再次在Perth上注销登录，哈哈，如下图所示，这次终于成功了，User1完成了用户证书的自动注册申请。

![284255-20151115135113056-948313083.jpg][]

博客转自 [岳雷的微软网络课堂][Link 1] 的《[用组策略实现用户证书的自动注册申请：ISA2006系列之二十八][ISA2006]》

转载于:https://www.cnblogs.com/SanMaoSpace/p/4966453.html

[284255-20151115134254540-1386872317.jpg]: /images/20211220/24260e0d36d34e4d80144ff958bab707.png
[284255-20151115134309556-1289209588.jpg]: /images/20211220/9cf4ac0ff311478f921bd79b5def1a9d.png
[284255-20151115134346275-473919377.jpg]: /images/20211220/4b3295d507eb4e2f9a07de2acfdd1fa7.png
[284255-20151115134404290-1846209201.jpg]: /images/20211220/569258d3db414dab9ef5ccd04513fe0f.png
[284255-20151115134425353-558274585.jpg]: /images/20211220/9435259fe90c4386a8f3e2181bf3ccb2.png
[284255-20151115134448509-1542860599.jpg]: /images/20211220/39d28fba77f8425a8589a9afa40663ca.png
[284255-20151115134505462-1128642678.jpg]: /images/20211220/c6b9d121b02b43868548c575115c722e.png
[284255-20151115134526994-1407711297.jpg]: /images/20211220/ee9cf36e8a7247c4b0d2bf3de601be2e.png
[284255-20151115134548025-1526744680.jpg]: /images/20211220/fe6cc7aa84b344b1bd00a9ac148b61c6.png
[284255-20151115134604525-1149335445.jpg]: /images/20211220/873c1792d08a4e7abf64571c28551662.png
[284255-20151115134624994-436219399.jpg]: /images/20211220/5d113a8fec1c47f6a27e425048b34d7c.png
[284255-20151115134646181-1077410432.jpg]: /images/20211220/1cd98f1f4d9e4317bd63474d1a7025c9.png
[284255-20151115134709884-602145761.jpg]: /images/20211220/a8df27f5f1aa426c92f2682be13bd34d.png
[284255-20151115135238025-1810874117.jpg]: /images/20211220/0df0a6c9826148bebcc5f26a6d0038bb.png
[284255-20151115134805056-1568955614.jpg]: /images/20211220/5e158330be5f4018a08c22935397a46b.png
[284255-20151115135314665-1160822176.jpg]: /images/20211220/2d977910289a4fc4b634afe8592bc20c.png
[284255-20151115134910931-848752453.jpg]: /images/20211220/d93d5e55802e463e886b5700cb6a3120.png
[284255-20151115134940540-1112619522.jpg]: /images/20211220/8fc1a96d59054fa7a5cea0a238f09e31.png
[284255-20151115135003775-1102056017.jpg]: /images/20211220/4fc85e390cbd489db2336ddf598805a9.png
[284255-20151115135024790-549500208.jpg]: /images/20211220/d46fffe710ce44e08cc619db3c2d25f5.png
[284255-20151115135042275-1256932899.jpg]: /images/20211220/0592a66871d24250af0c3d7cc3fd66e7.png
[284255-20151115135059509-856651918.jpg]: /images/20211220/57071f66f87345fa82508b7b7627cc2e.png
[284255-20151115135113056-948313083.jpg]: /images/20211220/26eb92f030a5460db4da8fb79e107836.png
[Link 1]: http://yuelei.blog.51cto.com/
[ISA2006]: http://yuelei.blog.51cto.com/202879/101185