Bagaimana untuk mengimpor sertifikat otoritas (CA) pihak ketiga sertifikasi ke toko Enterprise NTAuth

Artikel ini menjelaskan dua metode yang dapat Anda gunakan untuk mengimpor sertifikat otoritas sertifikasi pihak ketiga (CAs) ke toko Enterprise NTAuth. Proses ini diperlukan jika Anda menggunakan CA pihak ketiga untuk mengeluarkan kartu pintar masuk atau domain controller sertifikat. Dengan menerbitkan sertifikat CA ke toko Enterprise NTAuth, Administrator menunjukkan bahwa CA dipercaya untuk mengeluarkan sertifikat jenis ini. Windows CAs secara otomatis menerbitkan sertifikat CA mereka ke toko ini.

NTAuth toko adalah objek layanan direktori Active Directory yang terletak di Konfigurasi wadah hutan. Nama dibedakan Lightweight Directory Access Protocol (LDAP) serupa dengan berikut ini:Sertifikat yang diterbitkan untuk NTAuth toko ditulis untuk cACertificate dihargai beberapa atribut. Ada dua metode yang didukung untuk menambahkan sertifikat untuk atribut ini.

Metode 1: Impor sertifikat dengan menggunakan alat kesehatan PKI

PKI kesehatan alat (PKIView) adalah sebuah MMC snap-in komponen yang menampilkan status satu atau lebih Microsoft Windows sertifikasi otoritas yang terdiri dari infrastuktur public key (PKI). Tersedia sebagai bagian dari Windows Server 2003 Resource Kit alat. Untuk men-download alat-alat ini, kunjungi Web site Microsoft berikut:PKIView mengumpulkan informasi tentang CA sertifikat dan daftar pencabutan sertifikat (CRL) dari masing-masing CA di perusahaan. Kemudian, PKIView memvalidasi sertifikat dan CRL untuk memastikan bahwa mereka bekerja dengan benar. Jika mereka tidak bekerja dengan benar atau jika mereka akan gagal, PKIView menyediakan rinci peringatan atau beberapa kesalahan informasi.

PKIView menampilkan status Windows Server 2003 sertifikasi otoritas yang dipasang di forest Active Directory. Anda dapat menggunakan PKIView untuk menemukan semua komponen PKI, termasuk bawahan dan akar CAs yang berkaitan dengan suatu perusahaan CA. Alat ini juga dapat mengatur wadah PKI penting, seperti akar CA kepercayaan dan toko-toko NTAuth, yang juga terkandung dalam partisi konfigurasi forest Active Directory. Artikel ini membahas fungsi ini terakhir. Untuk informasi lebih lanjut tentang PKIView, lihat dokumentasi Microsoft Windows Server 2003 Resource Kit alat.

Catatan Anda dapat menggunakan PKIView untuk mengelola Windows 2000 CAs dan Windows Server 2003 CAs. Untuk menginstal Windows Server 2003 Resource Kit alat, komputer harus menjalankan Windows XP atau yang lebih baru.

Untuk mengimpor sertifikat CA ke toko Enterprise NTAuth, ikuti langkah berikut:

1. Mengekspor sertifikat CA ke .cer file. Format berkas berikut ini didukung:
   • DER dikodekan X.509 biner (.cer)
   • Basis-64 dikodekan X.509 (.cer)
2. Instal Windows Server 2003 Resource Kit alat. Paket alat memerlukan Windows XP atau yang lebih baru.
3. Mulai Microsoft Management Console (Mmc.exe), dan kemudian menambahkan snap-in PKI kesehatan:
   1. Pada Konsol menu, klik Tambah/Hapus Snap-in.
   2. Klik Mandiri tab, dan kemudian klik Tambahkan tombol.
   3. Dalam daftar snap-in, klik Enterprise PKI.
   4. Klik Tambahkan, lalu klik Tutup.
   5. Klik Oke.
4. Klik kanan Enterprise PKI, lalu klik Mengelola iklan wadah.
5. Klik NTAuthCertificates tab, dan kemudian klik Tambahkan.
6. Pada Berkas menu, klik Terbuka.
7. Cari dan kemudian klik sertifikat CA, dan kemudian klik Oke untuk menyelesaikan impor.

Metode 2: Impor sertifikat dengan menggunakan Certutil.exe

Certutil.exe adalah sebuah utilitas baris perintah untuk mengelola Windows CA. Pada Windows Server 2003, Anda dapat menggunakan Certutil.exe untuk menerbitkan sertifikat untuk Active Directory. Certutil.exe diinstal dengan Windows Server 2003. Hal ini juga tersedia sebagai bagian dari paket alat administrasi Microsoft Windows Server 2003. Untuk men-download ini alat paket, kunjungi Web site Microsoft berikut:Untuk mengimpor sertifikat CA ke toko Enterprise NTAuth, ikuti langkah berikut:

1. Mengekspor sertifikat CA ke .cer file. Format berkas berikut ini didukung:
   • DER dikodekan X.509 biner (.cer)
   • Basis-64 dikodekan X.509 (.cer)
2. Pada prompt perintah, ketik perintah berikut, dan kemudian tekan ENTER:
   certutil - dspublish -f nama berkas NTAuthCA

Isi dari toko NTAuth cache di lokasi registri berikut:Kunci registri ini harus secara otomatis diperbarui untuk mencerminkan sertifikat yang diterbitkan untuk toko NTAuth dalam wadah konfigurasi Active Directory. Perilaku ini terjadi ketika pengaturan Kebijakan Grup diperbarui dan ketika ekstensi sisi klien yang bertanggung jawab untuk autoenrollment mengeksekusi. Dalam skenario tertentu, seperti Active Directory replikasi latensi atau ketika Jangan mendaftar sertifikat secara otomatis pengaturan kebijakan diaktifkan, registri tidak diperbarui. Dalam skenario seperti ini, Anda dapat menjalankan perintah berikut secara manual untuk memasukkan sertifikat ke lokasi registri: