證書服務配置與管理ppt課件

1、計算機網(wǎng)絡操作系統(tǒng)計算機網(wǎng)絡操作系統(tǒng)Window Server 2003 配置與管理配置與管理2計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 證書效力的根本概念證書效力的根本概念 安裝與配置證書效力器安裝與配置證書效力器 客戶端證書安裝與運用客戶端證書安裝與運用 公鑰根底設備公鑰根底設備PKI是目前實施網(wǎng)絡平安運用的主要技術，是目前實施網(wǎng)絡平安運用的主要技術，其中心技術即使用公鑰數(shù)字證書實現(xiàn)主體身份和公鑰的綁定，其中心技術即使用公鑰數(shù)字證書實現(xiàn)主體身份和公鑰的綁定，制成各種平安機制的運用。制成各種平安機制的運用。Windows Server 200

2、3提供了提供了公鑰證書管理工具，運用該工具可以方便產(chǎn)生、頒發(fā)、注銷公鑰證書管理工具，運用該工具可以方便產(chǎn)生、頒發(fā)、注銷數(shù)字證書，架構企業(yè)本人的認證中心。本章引見證書效力器數(shù)字證書，架構企業(yè)本人的認證中心。本章引見證書效力器的配置與管理，包括以下主要內(nèi)容：的配置與管理，包括以下主要內(nèi)容：3計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍4計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 公鑰數(shù)字證書又稱為公鑰證書、數(shù)字證書、公鑰數(shù)字證書又稱為公鑰證書、數(shù)字證書、Certificates簡稱證書，是用于綁定實體身份

3、和公鑰信簡稱證書，是用于綁定實體身份和公鑰信息的經(jīng)過權威機構數(shù)字簽名的聲明，以文件的方式存在，息的經(jīng)過權威機構數(shù)字簽名的聲明，以文件的方式存在，證書將公鑰與保管對應私鑰的實體綁定在一同。證書將公鑰與保管對應私鑰的實體綁定在一同。 證書普通由可信的權威第三方證書普通由可信的權威第三方CA中心權威授權機構中心權威授權機構頒發(fā)，頒發(fā)， CA 對其頒發(fā)的證書進展數(shù)字簽名，以保證所頒發(fā)對其頒發(fā)的證書進展數(shù)字簽名，以保證所頒發(fā)證書的完好性和可鑒別性。證書的完好性和可鑒別性。 CA可以為用戶、計算機或效力等各類實體頒發(fā)證書?？梢詾橛脩?、計算機或效力等各類實體頒發(fā)證書。 5計算機網(wǎng)絡操作系統(tǒng)Windows S

4、erver 2003配置與管理制作：張浩軍制作：張浩軍 公鑰證書以公鑰密碼算法為根底。公鑰密碼算法基于復公鑰證書以公鑰密碼算法為根底。公鑰密碼算法基于復雜數(shù)學問題構建公鑰和私鑰的映射關系。雜數(shù)學問題構建公鑰和私鑰的映射關系。 運用公鑰加密數(shù)據(jù)數(shù)據(jù)加密，只能運用對應的私鑰運用公鑰加密數(shù)據(jù)數(shù)據(jù)加密，只能運用對應的私鑰解密數(shù)據(jù)解密。解密數(shù)據(jù)解密。 運用私鑰加密數(shù)據(jù)運用私鑰加密數(shù)據(jù)稱數(shù)字簽名，稱數(shù)字簽名，只能運用對應公鑰只能運用對應公鑰解密簽名驗證。解密簽名驗證。 6計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍廣泛運用的證書格式基于國際廣泛運用的證書格式基

5、于國際電信聯(lián)盟電信規(guī)范部門電信聯(lián)盟電信規(guī)范部門ITU-T建議的建議的X.509v3 規(guī)范。規(guī)范。X.509 證書包括公鑰和有關證證書包括公鑰和有關證書授予的人員或?qū)嶓w的信息、書授予的人員或?qū)嶓w的信息、有關證書的有效期、用途等信有關證書的有效期、用途等信息，以及有關頒發(fā)證書的息，以及有關頒發(fā)證書的CA的的信息。信息。實體的主題或主體，實體的主題或主體，Subject標示證書的持有者，證書的頒標示證書的持有者，證書的頒發(fā)者發(fā)者Issuer和簽名者是和簽名者是CA。 版本號序列號頒發(fā)者.500惟一識別名有效期主體.500惟一識別名主體公鑰信息頒發(fā)者惟一標識符(可選)主體惟一標識符(可選)擴展項CA簽

6、名散列簽名生成CA私鑰簽名和哈希算法7計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 證書只在證書頒發(fā)者對該證書指定的時間段內(nèi)有證書只在證書頒發(fā)者對該證書指定的時間段內(nèi)有效。每個證書包含效。每個證書包含“有效期從和有效期從和“有效期至有效期至日期，這兩個日期設置了證書有效期的界限。一日期，這兩個日期設置了證書有效期的界限。一旦超越證書的有效期，證書持有者必需重新懇求旦超越證書的有效期，證書持有者必需重新懇求證書。證書。 假設由于某種緣由，如證書主體私鑰泄密、證書假設由于某種緣由，如證書主體私鑰泄密、證書主體身份變卦等，必需撤銷證書的運用，頒發(fā)者主體身

7、份變卦等，必需撤銷證書的運用，頒發(fā)者可以吊銷證書。每個頒發(fā)者可以吊銷證書。每個頒發(fā)者CA維護一個證書維護一個證書吊銷列表吊銷列表CRL。8計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 IE閱讀器，閱讀器，“工具工具/“Internet選項菜選項菜單，選擇單，選擇“內(nèi)容選內(nèi)容選項卡，單擊項卡，單擊“證書證書按鈕。對話框包括按鈕。對話框包括“個人、個人、“其他人其他人、“中級證書頒發(fā)中級證書頒發(fā)機構、機構、“受信任的受信任的根證書頒發(fā)機構等根證書頒發(fā)機構等不同證書存儲區(qū)域。不同證書存儲區(qū)域。 9計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配

8、置與管理制作：張浩軍制作：張浩軍10計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍11計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 設置設置CA類型類型 12計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 選擇加密效力提供程序選擇加密效力提供程序 13計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 設置設置CA的公用稱號的公用稱號 14計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：

9、張浩軍 證書數(shù)據(jù)庫設置證書數(shù)據(jù)庫設置 15計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 完成安裝后，系統(tǒng)重新啟動完成安裝后，系統(tǒng)重新啟動IIS效力。在效力。在“管理工管理工具運用程序組中添加了具運用程序組中添加了“證書頒發(fā)機構管理證書頒發(fā)機構管理控制臺，管理員運用它可以進展證書效力的管理控制臺，管理員運用它可以進展證書效力的管理與設置。與設置。 證書效力安裝完成后，在證書效力器上將添加一證書效力安裝完成后，在證書效力器上將添加一個共享文件夾個共享文件夾%SystemRoot%system32 certsrvCertEnroll，下面存放，下面存放C

10、A的根證書和證的根證書和證書撤銷列表書撤銷列表CRL文件。文件。 同時，在效力器的同時，在效力器的IIS效力中將添加證書效力的效力中將添加證書效力的Web效力。效力。 16計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 “證書頒發(fā)機構管理證書效力器證書頒發(fā)機構管理證書效力器 處置掛起的證書懇求 17計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍處置頒發(fā)的證書 18計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍19計算機網(wǎng)絡操作系統(tǒng)Windows Server 20

11、03配置與管理制作：張浩軍制作：張浩軍 安裝受信任的安裝受信任的CA根證書根證書 訪問證書效力器 20計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍下載CA證書頁面 21計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 證書下載到本地磁證書下載到本地磁盤后，可以安裝到盤后，可以安裝到操作系統(tǒng)中。在操作系統(tǒng)中。在IE閱讀器中選擇閱讀器中選擇“工工具具/“Internet選項選項/“內(nèi)容內(nèi)容/“證書，證書，翻開翻開“證書對話證書對話框，選擇框，選擇“受信任受信任的根證書頒發(fā)機構的根證書頒發(fā)機構選項卡，單擊選項卡，

12、單擊“導入按鈕，進導入按鈕，進入證書導入導游。入證書導入導游。 選擇證書導入文件22計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍選擇證書導入?yún)^(qū)域 23計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 “受信任的根證書頒發(fā)機構區(qū)域內(nèi)將添加剛下載受信任的根證書頒發(fā)機構區(qū)域內(nèi)將添加剛下載的的CA證書。證書。24計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍懇求用戶證書頁面 25計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍26

13、計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍證書懇求頁面 27計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍查詢證書懇求的形狀 28計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍查詢證書懇求 29計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍 運轉(zhuǎn)運轉(zhuǎn)Outlook Express，選擇，選擇“工具菜單中的工具菜單中的“賬戶，賬戶，彈出彈出 “Internet賬戶對話框。選擇賬戶對話框。選擇“郵件選項卡，選郵件選項卡，選擇郵箱賬戶，單擊擇郵箱賬戶，單擊“屬性按鈕。屬性按鈕。 郵件賬戶設置 30計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍31計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍運用Outlook Express簽名和加密郵件 32計算機網(wǎng)絡操作系統(tǒng)Windows Server 2003配置與管理制作：張浩軍制作：張浩軍本章引見了本章引見了Windows Server 2003證書效力的證書效力的安裝與配置，給出了完好的用戶懇求數(shù)字證書的