主页 / server / 问题 / 1006340
Accepted
shodanshok
Asked: 2020-03-11 04:54:05 +0800 CST

Active Directory 证书服务自动更新

  • 772

我有一个 LDAP 应用程序，它需要通过 LDAPS（LDAP over SSL）与 Active Directory 通信。我在测试域控制器上安装了 Active Directory 证书服务（我知道这不是最佳实践，但我的客户没有独立 CA 服务器的备用 Windows Server 许可证）。

从这里我阅读并遵循了这些说明：

如果您在域控制器上安装 AD CS 角色并将设置类型指定为 Enterprise，则林中的所有域控制器将自动配置为接受 LDAP over SSL

颁发的证书确实已加载到 DC 证书存储中，并且支持 LDAPS 的应用程序正在运行。

我的问题是： 证书会自动更新/重新注册，还是我需要手动处理？我需要检查以确保自动续订能够正常工作？

active-directory certificate certificate-authority ssl-certificate ad-certificate-services

1 个回答

  1. Best Answer

    借助 ADCS Enterprise CA，您可以利用证书自动注册功能，自动为用户和计算机请求和更新证书。我写了一份新的白皮书，详细介绍了它的工作原理：Certificate Autoenrollment in Windows Server 2016。该文件有一个可下载的副本。

    简而言之，它是按如下方式完成的：

    1. 按照配置自动注册策略部分中的说明在 GPO 中配置自动注册策略。
    2. 将 GPO 应用到适当的容器（OU、域、站点）。
    3. 找到您要部署的合适的证书模板。转到安全选项卡并授予适当的组（用户、计算机或 DC）以下权限：读取、注册和自动注册。
    4. 将模板发布到 CA 以供发布。
    5. ？？？
    6. 利润

    最后两项意味着您必须等到 GPO 应用于客户端。

    注意：为了自动注册成功，证书的主题名称必须从 Active Directory 构建。

    更新

    在您的特定问题中，您只需配置自动注册 GPO 并将Kerberos Authentication模板发布到 CA（如果尚未添加）。该团队已经拥有所有必需的权限。

    • 3

相关问题