为分发点部署客户端证书

在这篇文章中，我们将看到为分发点部署客户端证书的步骤。这是为 SCCM 2012 R2 部署 PKI 证书分步指南的帖子之一。在上一篇文章中，我们了解了有关 PKI 证书要求、为运行 IIS 的站点系统部署 Web 服务器证书、为 Windows 计算机部署客户端证书的更多信息。下一步是为分发点部署客户端证书。

该证书服务器有两个用途。该证书用于在分发点发送状态消息之前向启用 HTTPS 的管理点验证分发点的身份。选择“为客户端分发点启用 PXE 支持”选项时，证书将发送到 PXE 引导的计算机，以便它们可以在操作系统部署期间连接到启用 HTTPS 的管理点。您可以使用根域管理员帐户或企业域管理员帐户登录，并使用此帐户执行此示例部署中的所有过程。

此证书部署有以下过程：

1. 在证书颁发机构上创建并颁发自定义工作站身份验证证书模板
2. 请求自定义工作站身份验证证书
3. 导出分发点的客户端证书

在证书颁发机构上创建并颁发自定义工作站身份验证证书模板

在运行证书颁发机构控制台的成员服务器上，右键单击“证书模板”，然后单击“管理”以加载证书模板管理控制台。

在结果窗格中，右键单击模板显示名称列中显示工作站身份验证的条目，然后单击复制模板。

在“复制模板”对话框中，确保选择“Windows 2003 Server”。

在“新模板属性”对话框的常规选项卡上，输入模板名称以生成分发点的客户端身份验证证书，例如 SCCM 客户端分发点证书。

单击请求处理选项卡，然后选择允许导出私钥。

单击添加，在文本框中输入 SCCM IIS 服务器，然后单击确定。为此组选择注册权限，并且不要清除读取权限。单击确定并关闭证书模板控制台。

在证书颁发机构控制台中，右键单击证书模板，单击新建，然后单击要颁发的证书模板。

在“启用证书模板”对话框中，选择刚刚创建的新模板“SCCM 客户端分发点证书”，然后单击“确定”。

请求自定义工作站身份验证证书

此过程请求自定义客户端证书，然后将其安装到运行 IIS 并将配置为分发点的成员服务器上。运行 mmc 命令启动“证书管理单元”对话框，选择计算机帐户，然后单击下一步。在“选择计算机”对话框中，确保选择本地计算机：（运行此控制台的计算机），然后单击完成。在“添加或删除管理单元”中对话框中，单击“确定”。在控制台中，展开证书（本地计算机），然后单击个人。右键单击证书，单击所有任务，然后单击请求新证书。

在请求证书页面上，从显示的证书列表中选择SCCM 客户端分发点证书，然后单击注册。

在证书安装结果页面上，等待证书安装完毕，然后单击完成。

在结果窗格中，确认所显示的证书在预期用途列中显示了客户端身份验证，并且SCCM 客户端分发点证书显示在证书模板列中。

导出分发点的客户端证书

在证书（本地计算机）控制台中，右键单击刚刚安装的证书，选择“所有任务”，然后单击“导出”。

在证书导出向导中，单击下一步。在导出私钥页面上，选择是，导出私钥，然后单击下一步。

在“导出文件格式”页面上，确保选择“个人信息交换 - PKCS #12 (.PFX)”选项。单击下一步。

在“密码”页面上，指定一个强密码以使用其私钥保护导出的证书，然后单击下一步。

在“要导出的文件”页面上，指定要导出的文件的名称，然后单击下一步。

要关闭向导，请在“证书导出向导”页面中单击完成，然后在确认对话框中单击确定。关闭证书（本地计算机）。现在，您可以在配置分发点时导入证书。

为分发点部署客户端证书

现在我们已经获得了分发点的客户端证书，让我们将它们分配给 DP。右键单击 DP，然后在常规选项卡下，选择HTTPS，然后单击浏览导入证书。 导入您在上述步骤中导出的证书，提供密码并单击确定。

对于其他角色，您可能无法从 HTTP 切换到 HTTPS，因为选项呈灰色。例如，在应用程序目录 Web 服务点上，选项呈灰色。您必须卸载应用程序目录网站点和应用程序目录 Web 服务点角色，然后重新安装这些角色。

当您重新安装应用程序目录 Web 服务点时，您现在可以指定应用程序目录网站与应用程序目录 Web 服务点的通信方式。这次选择HTTPS。

应用程序目录网站点也是如此。此处选择 HTTPS。单击下一步。

在配置管理器控制台中，导航到管理 > 概述 > 站点配置 > 站点。右键单击站点服务器，然后单击属性。在站点系统设置下，仅选择HTTPS，然后单击确定。

登录到安装了 Configuration Manager 客户端的计算机之一。查看配置管理器客户端属性的“常规”选项卡下。您会注意到客户端证书已从自签名更改为PKI。