用Windows Server 2012 R2 搭建二层证书服务结构 Part 4

用Windows Server 2012 R2 搭建二层证书服务结构 Part 4

为CA02在CA01根CA上申请证书：

• 将上一节中生成的req文件拷贝到CA01上：

• 登录CA01，以管理员身份打开powershell，输入：

certreq -submit C:\CA02.contoso.com_contoso-CA02-CA.req

• 在弹出的窗口点确定：

记住此处的RequestID：

• 此时看到挂起的证书中有我们的证书了：

• 右键点击该证书选择颁发：

• 在颁发的证书中，找到我们的证书，记住这个请求ID 2

• 在CA01上以管理员身份打开CMD，输入：

certreq �Cretrieve 2 C:\CA02.contoso.com_contoso-CA02-CA.crt.

导出证书：

• 将所有这些内容放到之前的C:\Cert文件夹中：

• 将该文件夹复制到CA02上的C:\Cert下

• 登录CA02，打开Powershell，输入：

copy C:\Cert\*.cr* c:\pki\
certutil �Cinstallcert C:\Cert\CA02.contoso.com_contoso-CA02-CA.crt

start-service certsvc

copy c:\Windows\system32\certsrv\certenroll\*.cr* c:\pki\

此时CA01的任务已经完成，CA02的证书服务成功启动，CA01可以关机了。

配置CA02的AIA,CDP:

在CA02上以管理员身份打开Powershell，输入：

• certutil -setreg CA\CRLPublicationURLs "1:C:\Windows\system32\CertSrv\CertEnroll\%3%8.crl\n2:http://www.contoso.com/pki/%3%8.crl"

• certutil -setreg CA\CACertPublicationURLs "2:http://www.contoso.com/pki/%1_%3%4.crt\n1:file://\\CA02.contoso.com\pki\%1_%3%4.crt"

• Certutil -setreg CA\CRLPeriodUnits 2

• Certutil -setreg CA\CRLPeriod "Weeks"

• Certutil -setreg CA\CRLDeltaPeriodUnits 1

• Certutil -setreg CA\CRLDeltaPeriod "Days"

• Certutil -setreg CA\CRLOverlapPeriodUnits 12

• Certutil -setreg CA\CRLOverlapPeriod "Hours"

• Certutil -setreg CA\ValidityPeriodUnits 5

• Certutil -setreg CA\ValidityPeriod "Years"

• restart-service certsvc

• certutil -crl

至此证书服务搭建完成，接下来我们配置自动颁布证书。