验证 CA 配置(配置 IPSec NAP).docx

《验证 CA 配置(配置 IPSec NAP).docx》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、验证CA配置应用到:WindowsServer2008R2在您的网络访问保护(NAP)证书颁发机构(CA)上使用以下步骤，验证这些服务器是否已正确配置为用于健康注册机构(HRA)和NAPInternet协议安全性(IPSec)强制方法。NAPCA是已经安装并运行ActiveDirectory(R)证书服务(ADCS)的服务器，能够颁发NAP健康证书。有关AD CS的详细信息，请参阅http://go.microsoft.com/fwlink/?LinkId=127816（可能为英文网页）。若要完成此过程，至少要具有DomainAdmin

2、s成员身份或同等身份。有关使用适合的帐户和组成员身份的详细信息，请参阅http://go.microsoft.com/fwlink/?LinkId=83477（可能为英文网页）。选择NAPCAHRA必须与至少一个CA相关联，才能获取并向符合条件的NAP客户端计算机颁发NAP健康证书。在HRA的安装过程中，您可以通过选择本地安装CA或选择现有的远程CA来选择CA。还可以稍后使用HRA管理单元或命令行添加NAPCA。您必须使用HRA管理单元或命令行才能将多个CA与HRA相关联。可以将HRA配置为使用企业CA或独立CA。根据您所选择的CA的类

3、型，NAPCA的配置要求有所不同。无论选择独立CA还是企业CA，都必须配置CA安全设置和证书颁发要求。在其推荐的配置中，HRA与专用独立从属CA相关联。有关配置HRA以使用NAPCA的详细信息，请参阅配置NAP证书颁发机构。选择独立CA独立CA不使用证书模板。因此，使用独立NAPCA时，不需要配置健康证书模板。如果选择独立CA，还必须配置CA安全设置和证书颁发要求，以便HRA可以请求和向符合条件的客户端计算机自动颁发健康证书。选择企业CA企业CA基于证书模板颁发证书。策略模块用于向颁发的证书提供证书扩展列表，如NAP的系统健康身份验证。

4、如果您的企业CA运行的是Windows Server(R) 2008，则默认情况下，可以使用系统健康身份验证证书模板进行适合于域和健康身份验证的应用程序策略扩展。如果您的企业CA运行的是WindowsServer® 2003，则必须创建和发布包含这些应用程序策略扩展的模板。可以使用以下步骤验证是否已将企业CA配置为自动颁发具有正确应用程序策略扩展的健康证书。验证模板可用性如果您的企业CA服务器运行的是WindowsServer 2008，则经过域身份验证的NAP客户端的证书模板将自动用于系统健康身份验证的显示名称。如果您的企业CA运行的

5、是WindowsServer2003，则必须创建此模板。使用以下步骤可验证NAP健康证书模板是否可用于正确的应用程序策略扩展，或者创建此模板（如果不可用）。如果使用的是独立CA，则此过程不适用。验证模板可用性的步骤1.依次单击「开始」、“运行”，键入certtmpl.msc，然后按Enter。2.在详细信息窗格的“模板显示名称”下，查看模板列表。双击NAP健康证书模板的名称。如果未列出NAP健康证书模板，请执行以下步骤：a.右键单击“工作站身份验证”，然后单击“复制模板”。a.在“模板显示名称”下，键入“系统健康身份验证”，然后单击“扩

6、展”选项卡。b.在“这个模板中包括的扩展”下，单击“应用程序策略”，然后单击“编辑”。c.单击“添加”，然后单击“新建”。d.在“新应用程序策略”的“名称”下，键入“系统健康身份验证”。e.在“对象标识符”下，键入1.3.6.1.4.1.311.47.1.1，然后单击“确定”四次。f.确认已成功新建模板。g.若要验证您的新模板，请双击其名称，然后完成此过程中的其余步骤。2.单击“扩展”选项卡。3.在“这个模板中包括的扩展”下，单击“应用程序策略”。4.在“应用程序策略描述”下，验证是否已列出“系统健康身份验证”和“客户端身份验证”，然后

7、单击“编辑”。5.单击“系统健康身份验证”，然后单击“编辑”。6.在“编辑应用程序策略”的“对象标识符”下，验证此值是否为1.3.6.1.4.1.311.47.1.1。如果应用程序策略对象标识符的值与此不同，请使用此过程中前面的步骤创建新的系统健康身份验证模板。您还应该更正应用程序策略名称，以便与“系统健康身份验证”相关联的对象标识符变为1.3.6.1.4.1.311.47.1.1。7.单击“取消”三次，然后关闭证书模板控制台。注意如果此证书模板用于颁发匿名健康证书，请不要包括“客户端身份验证”应用程序策略。会将包含客户端身份验证应用程

8、序策略的证书颁发给使用域凭据进行身份验证的客户端。验证证书可用性在企业CA上，证书必须在可以颁发给客户端计算机之前是可用的。请使用以下步骤确保可以颁发您的NAP健康证书。如果使用的是独立CA，则此过程不适用