實(shí)驗(yàn)3-應(yīng)用層安全技術(shù)-windows-server證書(shū)配置操作指南

WINDOWSSERVER2003證書(shū)配置目錄WINDOWSSERVER2003證書(shū)配置 1一、證書(shū)組件安裝 11.首先在服務(wù)器上安裝IIS組件,并配置WEB站點(diǎn): 22.使用IE瀏覽器輸入IP地址訪問(wèn)本地站點(diǎn): 73.在服務(wù)器上安裝CA組件: 84.使用IIS查看默認(rèn)站點(diǎn)多出關(guān)于CA證書(shū)的列表: 185.證書(shū)頒發(fā)機(jī)構(gòu) 18二、客戶(hù)端安裝證書(shū) 201．申請(qǐng)數(shù)字證書(shū) 202.CA證書(shū)頒發(fā) 303.打開(kāi)證書(shū)頒發(fā)機(jī)構(gòu)查看: 32三、在WEB服務(wù)器上設(shè)置SSL 321.生成證書(shū)申請(qǐng): 322.提交證書(shū)申請(qǐng): 433.頒發(fā)證書(shū): 504.在使用WEB形式訪問(wèn)證書(shū)申請(qǐng)頁(yè)面,并選擇下載證書(shū): 545.在WEB服務(wù)器上安裝證書(shū): 55四、練習(xí) 601.啟用安全通道(SSL): 602.使用HTTPS方式訪問(wèn)站點(diǎn) 62一、證書(shū)組件安裝1.首先在服務(wù)器上安裝IIS組件,并配置WEB站點(diǎn):并配置WEB服務(wù)器:2.使用IE瀏覽器輸入IP地址訪問(wèn)本地站點(diǎn):3.在服務(wù)器上安裝CA組件:因?yàn)闆](méi)有AD(活動(dòng)目錄),所以只能創(chuàng)建獨(dú)立CA,又因?yàn)槭堑谝粋€(gè)CA,所以選擇獨(dú)立根CA,并選擇自定義安裝:配置"公鑰/私鑰對(duì)",保持默認(rèn)即可:設(shè)置CA名字和使用年限:選擇證書(shū)數(shù)據(jù)庫(kù)及其日志信息的位置:安裝證書(shū)時(shí)需要停止INTERNET信息服務(wù):起用ASP支持:完成CA的安裝:4.使用IIS查看默認(rèn)站點(diǎn)多出關(guān)于CA證書(shū)的列表:5.證書(shū)頒發(fā)機(jī)構(gòu)開(kāi)始》》》管理工具》》》證書(shū)頒發(fā)機(jī)構(gòu)，打開(kāi)如下窗口：我們已經(jīng)為服務(wù)器成功配置完公用名為AAAAA的獨(dú)立根CA，Web服務(wù)器和客戶(hù)端可以通過(guò)訪問(wèn)該服務(wù)器的IIS證書(shū)申請(qǐng)服務(wù)申請(qǐng)相關(guān)證書(shū)。此時(shí)該服務(wù)器（CA）的IIS下多出以下幾項(xiàng)：我們可以通過(guò)在瀏覽器中輸入以下網(wǎng)址進(jìn)行數(shù)字證書(shū)的申請(qǐng)：http://hostname/certsrv或http://hostip/certsrv申請(qǐng)界面如下：二、客戶(hù)端安裝證書(shū)1．申請(qǐng)數(shù)字證書(shū)在IE地址欄中輸入證書(shū)服務(wù)系統(tǒng)的地址，進(jìn)入服務(wù)主頁(yè)：點(diǎn)擊‘申請(qǐng)一個(gè)證書(shū)’進(jìn)入申請(qǐng)頁(yè)面：如果證書(shū)用作客戶(hù)端身份認(rèn)證，則可點(diǎn)擊‘Web瀏覽器證書(shū)’或‘高級(jí)證書(shū)申請(qǐng)’，一般用戶(hù)申請(qǐng)‘Web瀏覽器證書(shū)’即可，‘高級(jí)證書(shū)申請(qǐng)’里有更多選項(xiàng)，也就有很多專(zhuān)業(yè)術(shù)語(yǔ)，高級(jí)用戶(hù)也可點(diǎn)擊進(jìn)入進(jìn)行申請(qǐng)。這里我們以點(diǎn)擊申請(qǐng)‘Web瀏覽器證書(shū)’為例：申請(qǐng)‘Web瀏覽器證書(shū)’，‘姓名’是必填項(xiàng)，其他項(xiàng)目可不填，但由于CA服務(wù)器的管理員是根據(jù)申請(qǐng)人的詳細(xì)信息決定是否頒發(fā)的，所以請(qǐng)盡量多填，并且填寫(xiě)真實(shí)信息，因?yàn)镃A管理員會(huì)驗(yàn)證申請(qǐng)人的真實(shí)信息，然后進(jìn)行頒發(fā)。需注意的一點(diǎn)是，‘國(guó)家（地區(qū)）’需用國(guó)際代碼填寫(xiě)，CN代表中國(guó)。如果想查看更多選項(xiàng)，請(qǐng)點(diǎn)擊‘更多選項(xiàng)’：在‘更多選項(xiàng)’里，默認(rèn)的CSP為MicrosoftEnhancedCryptographicProviderv1.0，選擇其他CSP不會(huì)對(duì)認(rèn)證產(chǎn)生影響。默認(rèn)情況下‘啟用強(qiáng)私鑰保護(hù)’并沒(méi)有勾選上，建議將它勾選上，點(diǎn)擊提交后就會(huì)讓申請(qǐng)人設(shè)置證書(shū)的安全級(jí)別，如果不將安全級(jí)別設(shè)置為高級(jí)并用口令進(jìn)行保護(hù)，則只要機(jī)器上裝有該證書(shū)，任何人都可以用它作為認(rèn)證，所以建議將證書(shū)設(shè)置為高級(jí)安全級(jí)別，用口令進(jìn)行保護(hù)。以下將作相應(yīng)操作，點(diǎn)擊‘提交’：?jiǎn)螕簟恰簡(jiǎn)螕簟O(shè)置安全級(jí)別’：將安全級(jí)別設(shè)置為‘高’，單擊‘下一步’后會(huì)彈出口令設(shè)置窗口：輸入口令，對(duì)證書(shū)進(jìn)行加密，并記住密碼，因?yàn)樵谝院笳{(diào)用該證書(shū)的時(shí)候，瀏覽器會(huì)彈出輸入密碼的窗口。單擊‘完成’：?jiǎn)螕簟_定’，瀏覽器頁(yè)面跳向如下：到這一步，申請(qǐng)人已經(jīng)向CA服務(wù)器發(fā)送證書(shū)信息，并等待CA管理員對(duì)其進(jìn)行核對(duì)，然后決定是否要頒發(fā)，如果CA管理員核對(duì)信息后決定頒發(fā)此證書(shū)，則申請(qǐng)人在其頒發(fā)之后再次訪問(wèn)該系統(tǒng)：點(diǎn)擊‘查看掛起的證書(shū)申請(qǐng)狀態(tài)’：該頁(yè)面證明CA管理員已經(jīng)頒發(fā)了申請(qǐng)人的證書(shū)，點(diǎn)擊進(jìn)入證書(shū)安裝頁(yè)面：（說(shuō)明：管理員需在“證書(shū)頒發(fā)機(jī)構(gòu)”中頒發(fā)該證書(shū)。具體參考下一步。）點(diǎn)擊‘安裝此證書(shū)’：您應(yīng)該已經(jīng)信任CA機(jī)構(gòu)，所以請(qǐng)單擊‘是’：您已經(jīng)成功安裝數(shù)字證書(shū)。如果要找回您剛才安裝的數(shù)字證書(shū)，請(qǐng)單擊瀏覽器上的：工具》》》Internet選項(xiàng)》》》內(nèi)容》》》證書(shū)，彈出如下窗口：此時(shí)您已經(jīng)發(fā)現(xiàn)，在證書(shū)個(gè)人存儲(chǔ)區(qū)內(nèi)已經(jīng)安裝了您剛剛申請(qǐng)并成功安裝的證書(shū)。單擊‘查看’：這就是您的數(shù)字證書(shū)了。2.CA證書(shū)頒發(fā)開(kāi)始》》》管理工具》》》證書(shū)頒發(fā)機(jī)構(gòu)：在‘掛起的申請(qǐng)’里已經(jīng)存在申請(qǐng)掛起等待頒發(fā)的證書(shū)（如圖ID=2）。右鍵點(diǎn)擊掛起的證書(shū)》》》所有任務(wù)》》》頒發(fā)：剛才的掛起證書(shū)已經(jīng)存入‘頒發(fā)的證書(shū)’存儲(chǔ)區(qū)。此時(shí)，申請(qǐng)人若在登陸證書(shū)申請(qǐng)系統(tǒng)，并查看掛起，就會(huì)獲取相應(yīng)的證書(shū)。3.打開(kāi)證書(shū)頒發(fā)機(jī)構(gòu)查看:三、在WEB服務(wù)器端配置1.生成證書(shū)申請(qǐng):打開(kāi)WEB服務(wù)器站點(diǎn)屬性:點(diǎn)擊"安全通信"中的"服務(wù)器證書(shū)"安裝證書(shū):選擇"新建證書(shū)":2.提交證書(shū)申請(qǐng):使用IE瀏覽器打開(kāi)本地WEB站點(diǎn)進(jìn)入證書(shū)申請(qǐng)頁(yè)面,如下:選擇申請(qǐng)證書(shū)

選擇"高級(jí)證書(shū)申請(qǐng)":

在提交一個(gè)證書(shū)申請(qǐng)中選擇后者"BASE64編碼的證書(shū)申請(qǐng)":

此時(shí)彈出文本框讓輸入內(nèi)容:

找到之前保存的certreq.txt,打開(kāi)并把其內(nèi)容全部復(fù)制到文本框中,然后提交:

完成以上步驟后證書(shū)被掛起:

3.頒發(fā)證書(shū):打開(kāi)證書(shū)頒發(fā)機(jī)構(gòu)工具,查看"掛器的申請(qǐng)",可以看到有剛才申請(qǐng)后被掛起的證書(shū):

然后把掛起的證書(shū)選擇"頒發(fā)":

之后在"頒發(fā)的證書(shū)"中可以查看到該證書(shū)以被頒發(fā),表示證書(shū)此時(shí)已經(jīng)頒發(fā)了:

4.在使用WEB形式訪問(wèn)證書(shū)申請(qǐng)頁(yè)面,并選擇下載證書(shū):

選擇編碼類(lèi)型為BASE64再下載證書(shū),并保存在桌面上certnew.cer的文件:

5.在WEB服務(wù)器上安裝證書(shū):再次打開(kāi)IIS服務(wù)器找到站點(diǎn)屬性:,再次單擊"服務(wù)器證書(shū)",之后選擇處理被掛起的請(qǐng)求:

輸入包含CA響應(yīng)的文件的路徑和文件名(該文件剛才已經(jīng)下載到桌面上)

選擇SSL端口號(hào):

四、練習(xí)1.