用Windows Server 2012 R2 搭建二层证书服务结构 Part 4

用Windows Server 2012 R2 搭建二层证书服务结构 Part 4

为CA02在CA01根CA上申请证书：
将上一节中生成的req文件拷贝到CA01上：




登录CA01，以管理员身份打开powershell，输入：

certreq -submit C:\CA02.contoso.com_contoso-CA02-CA.req
在弹出的窗口点确定：




记住此处的RequestID：



此时看到挂起的证书中有我们的证书了：




右键点击该证书选择颁发：




在颁发的证书中，找到我们的证书，记住这个请求ID 2




在CA01上以管理员身份打开CMD，输入：

certreq –retrieve 2 C:\CA02.contoso.com_contoso-CA02-CA.crt.
导出证书：






将所有这些内容放到之前的C:\Cert文件夹中：




将该文件夹复制到CA02上的C:\Cert下

登录CA02，打开Powershell，输入：

copy C:\Cert\*.cr* c:\pki\


certutil –installcert C:\Cert\CA02.contoso.com_contoso-CA02-CA.crt



start-service certsvc



copy c:\Windows\system32\certsrv\certenroll\*.cr* c:\pki\


此时CA01的任务已经完成，CA02的证书服务成功启动，CA01可以关机了。

配置CA02的AIA,CDP:
在CA02上以管理员身份打开Powershell，输入：
certutil -setreg CA\CRLPublicationURLs "1:C:\Windows\system32\CertSrv\CertEnroll\%3%8.crl\n2:http://www.contoso.com/pki/%3%8.crl"




certutil -setreg CA\CACertPublicationURLs "2:http://www.contoso.com/pki/%1_%3%4.crt\n1:file://\\CA02.contoso.com\pki\%1_%3%4.crt"




Certutil -setreg CA\CRLPeriodUnits 2




Certutil -setreg CA\CRLPeriod "Weeks"




Certutil -setreg CA\CRLDeltaPeriodUnits 1




Certutil -setreg CA\CRLDeltaPeriod "Days"




Certutil -setreg CA\CRLOverlapPeriodUnits 12




Certutil -setreg CA\CRLOverlapPeriod "Hours"




Certutil -setreg CA\ValidityPeriodUnits 5




Certutil -setreg CA\ValidityPeriod "Years"




restart-service certsvc




certutil -crl




至此证书服务搭建完成，接下来我们配置自动颁布证书。