# 证书配置 #### 操作场景 成功创建CA证书后，您可以对该证书进行生命周期的管理，如执行导出证书、启用或禁用等操作。 #### 导出CA证书 1. [登录管理控制台](https://console.huaweicloud.com/workspace/v2/#/console)。 2. 在导航中依次选择"租户配置 \> 证书配置"，进入证书配置页面。 3. 在证书配置列表操作列下单击"导出证书"或单击证书名称，在"CA证书"页签下单击"导出为文件"。 4. 根据提示保存导出的证书。 #### 导出CRL文件 1. [登录管理控制台](https://console.huaweicloud.com/workspace/v2/#/console)。 2. 在导航中依次选择"租户配置 \> 证书配置"，进入证书配置页面。 3. 在证书配置列表单击待导出CRL配置的证书名称，弹出证书基本信息窗口。 4. 在"CRL配置"页签下单击"下载"按钮，根据提示保存下载的CRL文件。 #### 禁用CA证书 1. [登录管理控制台](https://console.huaweicloud.com/workspace/v2/#/console)。 2. 在导航中依次选择"租户配置 \> 证书配置"，进入"证书配置"页面。 3. 在证书配置列表操作列下单击"禁用"，弹出"禁用证书"窗口。 4. 如果您确定要禁用，请输入"YES"，单击"一键输入"可以快速输入。 5. 单击"确定" #### 删除证书 1. [登录管理控制台](https://console.huaweicloud.com/workspace/v2/#/console)。 2. 在导航中依次选择"租户配置 \> 证书配置"，进入"证书配置"页面。 3. 在证书配置列表操作列下单击"删除"，弹出"删除证书"窗口。 4. 如果您确定要禁用，请输入"DELETE"，单击"一键输入"可以快速输入。 5. 单击"确定" ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) 仅支持删除状态为"已禁用"或"已过期"的证书。 #### 更换CA证书 1. [登录管理控制台](https://console.huaweicloud.com/workspace/v2/#/console)。 2. 在导航中依次选择"租户配置 \> 基础配置"，进入"基础配置"页面。 3. 在基础配置下单击"修改"，弹出"修改域"页面。 4. 在私有CA证书下拉框选择所需的证书。 5. 单击"确定"。 #### 启用CA证书 1. [登录管理控制台](https://console.huaweicloud.com/workspace/v2/#/console)。 2. 在导航中依次选择"租户配置 \> 证书配置"，进入"证书配置"页面。 3. 在证书配置列表选择已"禁用的"证书，在操作列下单击"启用"，弹出"启用证书"窗口。 4. 如果您确定要启用，请输入"YES"，单击"一键输入"可以快速输入。 5. 单击"确定" #### 导入根CA/子CA及CRL文件至AD服务器 私有根CA证书或子CA证书及CRL配置文件，需要发布至所有AD CS受信任的根证书颁发机构和企业NTAuth存储中。 ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) - 请根据已创建的CA类型，将其对应的根CA或子CA证书，以及CRL文件导入AD服务器。 - 在对接多域场景下，若某个域启用了基于证书的身份验证，则必须将对应的CA证书与CRL导入到该域的AD服务器中。 - 证书吊销状态的校验，仅支持通过CRL（证书吊销列表）的方式进行。 1. 使用账号密码登录至AD服务器中。 2. 参见[导出CA证书]和[导出CRL文件]章节，导出根CA或子CA证书及CRL配置，并拷贝至AD服务器中。 3. 按"win + r"，在弹出的运行对话框中输入"cmd"，按"Enter"，打开命令行窗口。 4. 进入根CA证书目录，执行如下命令。 ***示例：cd D:\\Users\\file***（file目录为根CA证书所在目录） 5. 在命令行窗口输入命令导入根CA或子CA证书，执行如下命令。 - **CA类型选择根CA：** 1. 添加至企业NTAuth存储，执行如下命令。 **certutil -enterprise -addstore NTAuth** ***rootca.cer*** 2. 添加至受信任的根证书颁发机构，执行如下命令。 **certutil -addstore root** ***rootca.cer*** 3. 添加吊销列表至AD服务器 **certutil -addstore root** ***rootca.crl*** ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) "***rootca.cer*** "和"***rootca.crl***"请根据在管理控制台上导出的CA证书和CRL文件名进行替换。 **如果有多台AD服务器，请重复以上操作，或通过配置组策略同步至各个AD服务器中** **，参考如下步骤：** ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) - 查看证书的"指纹"字段的值：请双击[创建CA证书](https://support.huaweicloud.com/usermanual-workspace/workspace_06_1122.html)章节下创建的根CA证书或子CA证书及CRL文件，在"详细信息"页签中查看"指纹"字段。不同文件的指纹值不同，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675125680.png) - 域控组策略的默认更新周期为5分钟，配置完成后将在此周期内自动同步至所有域控服务器。 - 请在5分钟后检查注册表路径"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\EnterpriseCertificates\\NTAuth\\Certificates\\"，确认是否存在根CA的指纹字段值。若未找到，则可能是AD的更新周期设置为其他的值，请在命令行中执行 **gpupdate /force** 强制更新策略。 4. 在[1]的AD服务器左下角的任务栏，单击![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002704845619.png)。 5. 在弹出的"开始"菜单右侧，单击打开"服务器管理器"。 6. 在"服务器管理器"页面右上方依次单击"工具 \> 组策略管理"。 7. 在"组策略管理"页面，依次单击"林 \> 域 \> 组策略对象 "。 8. 右键单击"Default Domain Controllers Policy"，选择编辑。 9. 在"组策略管理编辑器"页面依次进入"计算机配置 \> 首选项 \> Windows设置 \> 注册表"。 10. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 11. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\EnterpriseCertificates\\NTAuth\\Certificates\\" 12. 单击**rootca.cer** 证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675285532.png) 13. 单击"确定"。 14. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 15. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\SystemCertificates\\ROOT\\Certificates\\" 16. 单击**rootca.cer** 证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002705005459.png) 17. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 18. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\SystemCertificates\\ROOT\\CRLs\\" 19. 单击**rootca.crl** 证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675285528.png) ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) 查看CRL文件指纹说明： **方法一**：通过图形界面查看（由于操作系统类型和版本问题可能不显示指纹信息，请通过"方法二"查看） 1. 双击打开目标CRL文件，弹出证书吊销列表页面。 2. 可在常规页签直接查看CRL文件的指纹（Thumbprint）。 **方法二：**通过命令行方式计算文件的SHA1指纹。 1. 按"win + r"，在弹出的运行框中输入"cmd"，打开命令行窗口。 2. 执行以下命令计算文件的 SHA1 指纹。 **certutil -hashfile \<*CRL文件路径*\> SHA1** 示例： **certutil -hashfile *C:\\Temp\\example.crl* SHA1** 执行后将显示类似如下结果： SHA1 哈希(文件 C:\\Temp\\example.crl): 4D7F7D6F3C6E7F8A9B0C1D2E3F4A5B6C7D8E9F0A CertUtil: -hashfile 命令成功完成。 其中显示的 SHA1 哈希值即为该 CRL 文件的指纹信息。 - **CA类型选择子CA：** 1. 添加至企业NTAuth存储，执行如下命令。 **certutil -enterprise -addstore NTAuth *subca.cer*** 2. 添加至受信任的根证书颁发机构，执行如下命令。 **certutil -addstore root *rootca.cer*** 3. **（可选）** 添加根CA的吊销列表至AD服务器。 **certutil -addstore root** ***rootca.crl*** ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) 若根CA的CRL有效期足够长，建议将CRL导入至AD服务器（执行如上命令），过期前需要再次导入；否则，应确保您的AD域服务器能够访问该根CA的CRL。 4. 添加到中间证书颁发机构，执行如下命令。 **certutil -addstore ca *subca.cer*** 5. 添加子CA的吊销列表到AD服务器。 **certutil -addstore ca *subca.crl*** ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) "***subca.cer*** "、"***rootca.cer*** "、"***rootca.crl*** "、"***subca.crl***"请根据在管理控制台上导出的CA证书和CRL文件名进行替换。 **如果有多台AD服务器，请重复以上操作，或通过配置组策略同步至各个AD服务器中** **，参考如下步骤：** ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png) - 查看证书的"指纹"字段的值：双击[创建CA证书](https://support.huaweicloud.com/usermanual-workspace/workspace_06_1122.html)章节下创建的根CA证书或子CA证书，选择"详细信息"页签，下拉查看指纹密钥串，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002705005471.png) - 域控组策略的默认更新周期为5分钟，配置完成后将在此周期内自动同步至所有域控服务器。 6. 在[1]的AD服务器左下角的任务栏，单击![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675285534.png)。 7. 在弹出的"开始"菜单右侧，单击打开"服务器管理器"。 8. 在"服务器管理器"页面右上方依次单击"工具 \> 组策略管理"。 9. 在"组策略管理"页面，依次单击"林 \> 域 \> 组策略对象 "。 10. 右键单击"Default Domain Controllers Policy"，选择编辑。 11. 在"组策略管理编辑器"页面依次进入"计算机配置 \> 首选项 \> Windows设置 \> 注册表"。 12. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 13. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\EnterpriseCertificates\\NTAuth\\Certificates\\" 14. 单击**subca.cer** 证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675285520.png) 15. 单击"确定"。 16. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 17. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\SystemCertificates\\ROOT\\Certificates\\" 18. 单击**rootca.cer** 证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002704845629.png) 19. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 20. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\SystemCertificates\\CA\\Certificates\\" 21. 单击**subca.cer**证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002705005463.png) 22. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 23. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\SystemCertificates\\CA\\CRLs\\" 24. 单击**subca.cer**证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675125682.png) 25. 右键单击"注册表"，依次选择"新建 \> 注册表项"。 26. 在"新建注册表属性"页面选择注册表路径，路径为"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\SystemCertificates\\ROOT\\CRLs\\" 27. 单击**rootca.crl**证书指纹字段的值，选中"Blob"，单击"选择"，如下图所示。 ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002705005455.png)