21、Windows 2000 公钥基础设施全面解析

Windows 2000 公钥基础设施全面解析

1. 证书类型

证书颁发机构负责验证与公钥关联的实体身份，因此管理员需了解微软证书服务包含的四种证书颁发机构类型。

1.1 企业根证书颁发机构

企业根证书颁发机构处于公钥基础设施的顶层，借助 Active Directory 验证证书请求者的身份。它会自行签署 CA 证书，并将其发布到网络中的每个受信任根证书颁发机构。该机构使用预定义的证书模板来颁发和请求证书，在证书注册过程中可验证用户凭据。例如，为智能卡登录创建的模板就属于此类。企业根证书颁发机构虽可直接向用户颁发证书，但通常用于验证企业从属证书颁发机构。由于它与 Active Directory 集成，简化了证书的颁发和吊销流程。

1.2 企业从属证书颁发机构

企业从属证书颁发机构有两种类型：中间证书颁发机构和颁发证书颁发机构。所有证书颁发机构都能颁发证书，但实践中通常使用颁发证书从属证书颁发机构来直接向用户颁发支持智能卡登录、加密文件系统和 IP 安全等客户端服务的证书。中间证书颁发机构不直接向用户颁发证书，而是为颁发证书颁发机构生成验证证书，并提供与根证书颁发机构的链接。若企业根证书颁发机构自行签署证书，从属证书颁发机构则从其他证书颁发机构获取证书。

1.3 独立证书颁发机构

并非所有 Windows 2000 环境都使用 Active Directory，当环境中没有 Active Directory 服务或不是 Windows 2000 域的成员时，证书颁发机构被称为独立证书颁发机构。独立根证书处于证书结构的顶层，独立从属证书颁发机构可以是中间证书或颁发证书，类似于企业环境中的情