SCCM 2012 R2 的 PKI 证书要求

SCCM 2012 R2 的 PKI 证书要求 在这篇文章中，我们将看到 SCCM 2012 R2 的 PKI 证书要求。这是为 SCCM 2012 R2 部署 PKI 证书分步指南的一部分的帖子之一。在继续之前，我们先来了解一下 PKI 是什么。公钥加密（也称为非对称密钥加密）使用密钥对来加密和解密内容。密钥对由数学上相关的一个公钥和一个私钥组成。

想要与他人安全通信的个人可以分发公钥，但必须对私钥保密。使用其中一个密钥加密的内容可以使用另一个密钥解密。 PKI 可用于保护电子邮件、安全网络通信、安全网站、软件文件的数字签名等。

当您使用 Active Directory 证书服务和证书模板时，Microsoft PKI 解决方案可以简化证书的管理。这里需要注意的一件事是基于模板的证书只能由在服务器操作系统的企业版或数据中心版上运行的企业证书颁发机构颁发。

HTTPS 协议提供相互验证、签名和加密的客户端到服务器通信。 Internet 客户端必须使用 HTTPS，并且如果配置为使用 HTTPS，所有客户端都会更安全。您必须将所需的证书部署到将使用 HTTPS 的每个客户端和站点系统。

SCCM 2012 R2 的 PKI 证书要求

下表列出了 Configuration Manager 2012 R2 所需的 PKI 证书类型。我没有列出 SCCM 所需的所有 PKI 证书，您可以在此处找到完整的证书列表。

该证书用于加密数据并向客户端验证服务器的身份。它必须从配置管理器外部安装在运行 IIS 且在配置管理器中配置为使用 HTTPS 的站点系统服务器上。

此证书用于向配置为使用 HTTPS 的站点系统对 Configuration Manager 客户端计算机进行身份验证。它还可用于管理点和状态迁移点，以在它们配置为使用 HTTPS 时监控其运行状态。它必须从计算机上的配置管理器外部安装。

该证书用于在分发点发送状态消息之前向启用 HTTPS 的管理点验证分发点的身份。选择“为客户端分发点启用 PXE 支持”选项时，证书将发送到 PXE 引导的计算机，以便它们可以在操作系统部署期间连接到启用 HTTPS 的管理点。

此证书用于向配置为支持 HTTPS 的管理点和分发点验证 Configuration Manager Mac 计算机的身份。当您使用配置管理器注册并选择配置的证书模板作为移动设备客户端设置时，您可以从 Mac 计算机请求并安装此证书。

典型的 PKI 由以下元素组成。

充当公钥基础设施中的信任根，并提供对网络中的个人、计算机和其他实体进行身份验证的服务。

经根 CA 认证，可为根允许的特定用途颁发证书。在 Microsoft PKI 中，注册机构 (RA) 通常称为从属 CA。

在 CA 或 RA 上保存证书请求以及已颁发和吊销的证书和证书请求。

将已颁发的证书以及待处理或拒绝的证书请求保存在本地计算机上。

将加密的私钥保存在证书数据库中，以便丢失后恢复。

实验室设置

在我当前的实验室设置中，我有一台运行 Windows Server 2012 R2 Datacenter 版操作系统的计算机。它是一个域控制器 (AD.PRAJWAL.LOCAL)，也配置为 DNS、DHCP 和 AD CS（Active Directory 证书服务）。在第二台计算机上，我安装了 Windows Server 2012 R2 Datacenter 版操作系统。这是运行 System Center 2012 R2 Configuration Manager 和 SQL Server 的计算机。您可以使用少量客户端计算机来测试 PKI 部署。该过程使用企业证书颁发机构 (CA) 和证书模板。这些步骤仅适用于测试网络，作为概念证明。由于所需证书没有单一的部署方法，因此您必须查阅特定的 PKI 部署文档，了解为生产环境部署所需证书所需的过程和最佳实践。

您可以使用根域管理员帐户或企业域管理员帐户登录，并使用此帐户执行此示例部署中的所有过程。