■ 湖北 杨华

编者按：如今很多企业自己内部做安全认证来配置CA证书，在配置CA 过程中可能会出现各种问题。本文对部分该类问题进行了深入剖析。

在Windows服务器操作维护中，证书CA的安装布置是一个非常重要的内容。随着各行各业安全意识的増强，大中小企业都需要布置自己的证书系统或购买专业的证书。如果是企业内部做安全认证的话，完全可以选择自己搭建，经济适用。以下笔者结合自己的工作经历，对在自己布置CA 的过程中出现的故障作深入的剖析。

图1 域树结构图

工作场景

如图1 域树结构图所示，需要在子域控制器A3 或成员控制器A2 上布置企业CA。其实，根据Windows 服务器的操作文档，在A1 上布置基本的企业CA 很简单，但到了具体的工作环境，问题出现了，如下所示。

证书CA 服务的安装

当分别在服务器A2 和A3 上安装CA，当配置到CA的设置类型时，只有“独立CA”是可选的，“企业”CA 竟然是灰色，不可选的。

安装提示：使用企业CA的用户要求必须是域成员，并且通常处于练级状态以颁发证书或证书策略。

有很多用户都纳闷了？服务器A2 和A3 都配置了Active Directory（AD，活动目录），一个是子域，一个是域成员，都符合要求，为什么在A2 和A3 上不能安装，而在主域控制器A1 上就可以顺利安装？

首先来简单了解一下CA的两类型：企业CA 和独立CA。企业CA：

1.企业CA 安装时需要AD，即计算机在活动目录中才可以。

2.当安装企业根时，对于域中的所用计算机，它都将会自动添加到受信任的根证书颁发机构的证书存储区域。

3.安装凭证：必须以Enterprise Admins 组和根域的Domain Admins 组的成员帐户登录。……