Windows 2000 网络基本架构的实现和管理课程内容

1. Windows 2000 网络基本架构的实现和管理课程内容 • 第一章 Microsoft Windows 2000 网络基本架构简介 • 第二章 使用 DHCP 自动分配 IP 地址 • 第三章 使用 DNS 实现名称解析 • 第四章 使用 WINS 实现名称解析 • 第五章 使用公共密钥基础结构配置网络安全 • 第六章 使用 IPSec 配置网络安全 • 第七章 配置远程访问 • 第八章 支持远程访问网络 • 第九章 使用 IAS 扩展远程访问能力

2. 第五章 使用公共密钥基础结构配置网络安全 • 公共密钥基础结构 (PKI) 简介 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory • 证书服务故障分析

3. 公共密钥基础结构 (PKI) 简介 5.1 公共密钥基础结构 (PKI) 简介 • 公钥加密 • 公钥认证 • 证书颁发机构 • 证书等级 • Windows 2000 PKI

4. 2 被加密的消息通过网络进行传输 3A78 1 Alice 使用 Bob 的公钥 (Public Key) 加密消息 数据 3 Bob 使用 Bob 的私钥 (Private Key) 把消息解密 公钥加密 5.1.1 公钥加密 数据 3A78

5. 2 消息通过网络进行传输 ~*~*~*~ 1 Alice 用她的私钥 (Private Key)对消息进行签名 3 Bob 使用 Alice 的公钥 (Public Key) 验证来自 Alice 的消息 公钥认证 5.1.2 公钥认证 ~*~*~*~ ~*~*~*~

6. 1 CA 接收一个认证请求 2 验证信息 3 使用私钥把数字签名发送给申请者 4 颁发数字签名作为安全证书来使用 证书颁发机构 5.1.3 证书颁发机构 计算机、用户或服务 ~*~*~*~ CA

7. 根 CA 信任 信任 信任 从属 CA 从属 CA 从属 CA 证书等级 5.1.4 证书等级

8. 证书服务 Active Directory 颁发 或吊销证书 颁发证书 具有 PKI 功能 的应用程序 域客户计算机 Windows 2000 PKI 5.1.5 Windows 2000 PKI SSL 和 IPSec 域控制器

9. 第五章 使用公共密钥基础结构配置网络安全 • 公共密钥基础结构 (PKI) 简介 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory • 证书服务故障分析

10. 部署证书服务 5.2 部署证书服务 • 选择一个 CA 模式 • 安装证书服务 • 创建从属 CA • 备份和还原证书服务

11. 企业根 CA企业根 CA在证书等级中是顶级 CA。一般情况下，企业根 CA只向从属 CA 颁发证书。它必须使用 Active Directory。 • 企业从属 CA企业从属 CA必须有一个父 CA。它必须使用 Active Directory。 • 独立根 CA独立根 CA在证书等级中是顶级 CA。不需要 Active Directory。 • 独立从属 CA独立从属 CA必须有一个父 CA。CA 不需要Active Directory。 选择一个 CA 模式 5.2.1 选择一个 CA 模式

12. 安装证书服务 选择 CA 类型 设置高级属性 输入确认信息 指定数据库，日志文件以及共享文件夹 安装证书服务 5.2.2 安装证书服务

13. 创建从属 CA 5.2.4 创建从属 CA 当父 CA 连接在 网络中时选择 该选项 当父 CA 未连接 在网络中时 选择该选项

14. 备份和还原证书服务 5.2.5 备份和还原证书服务 启用“证书颁发机构备份向导”或者“证书颁发机构还原向导”

15. 第五章 使用公共密钥基础结构配置网络安全 • 公共密钥基础结构 (PKI) 简介 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory • 证书服务故障分析

16. 使用证书 5.3 使用证书 • 使用“证书申请向导” • 使用证书服务网页 • 查看证书

17. 使用“证书申请向导” 5.3.1 使用“证书申请向导” • 使用证书模板 • 申请证书

18. 使用证书服务网页 5.3.2 使用证书服务网页 • 提交证书申请 • 提交高级证书申请 • 检查挂起的申请

19. 证书颁发机构 控制台 窗口(W) 帮助(H) 操作 查看 收藏夹 颁发给 颁发的单位 收藏夹 树 Equifax Secure eBusines… Equifax Secure eBusiness CA-2 Equifax Secure Global eB… Equifax Secure Global eBusiness EUnet International Root … EUnet International Root CA FESTE, Public Notary Certs FESTE, Public Notary Certs FESTE, Verified Certs FESTE, Verified Certs First Data Digital Certific… First Data Digital Certificates Inc. FNMT Class 2 CA FNMT Class 2 CA GlobalSign Root CA GlobalSign Root CA Console Root 证书 Certificates – Current User 常规 Personal 证书路径 详细 Trusted Root Certificates Certificates Enterprise Trust Certification Information Intermediate Certification Authori Active Directory User Object This certificate is intended to: GTE Cyber Trust Global … GTE Cyber Trust Global Root GTE Cyber Trust Root GTE Cyber Trust Root GTE Cyber Trust Root GTE Cyber Trust Root http://www.valicert.com/ http://www.valicert.com/ http://www.valicert.com/ http://www.valicert.com/ http://www.valicert.com/ http://www.valicert.com/ IPS SERVIDORES IPS SERVIDORES Microsoft Authenticode(… Microsoft Authenticode(tm) Roo Microsoft Root Authority Microsoft Root Authority NetLock Expressz (Class … NetLock Expressz (Class C) Tan NetLock Kozjegyzoi (Clas… NetLock Kozjegyzoi (Class A) T • Ensures the identity of a remote computer • Proves your identity to a remote computer • Ensures software came from software publisher • Protects software from alteration after publication • Protects e-mail messages • Allows data to be signed with the current line Issued to: Microsoft Root Authority Issued by: Microsoft Root Authority Valid from 1/10/1997 to 12/31/2020 受信任的根证书颁发机构存储了 107 证书 颁发者说明 确定(O) 查看证书 5.3.3 查看证书

20. 第五章 使用公共密钥基础结构配置网络安全 • 公共密钥基础结构 (PKI) 简介 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory • 证书服务故障分析

21. 管理证书 5.4 管理证书 • 颁发证书 • 吊销证书 • 发行证书吊销列表 • 导入和导出证书

22. 颁发证书 5.4.1 颁发证书 • 拒绝证书申请 • 颁发证书

23. 证书颁发机构 操作 查看 申请人姓名 二进制证书 序列号 申请 ID 树 2 NWTRADERS… ----BEGIN CERT 24dbf9e0… 证书颁发机构(本地) Win2153A CA 24e925f1… 24ef12b2… 24f6d615… 2553d5b7… 2558fb82… 2ffd8774 … 吊销的证书 颁发的证书 待定申请 不成功的申请 策略设置 打开(O) 下一次发行 CRL 时，吊销的证书将出现在 CRL 上。 所有任务(K) 吊销证书 刷新(R) 帮助(H) 吊销证书 吊销证书 5.4.2 吊销证书

24. 证书颁发机构 控制台 窗口(W) 帮助(H) 操作(A) 查看(V) 证书颁发机构 二进制证书 申请 ID Serial Number 证书吊销列表 证书服务 (本地l) • ----BEGIN CERTIFICATE---.. 1aaaf7000000012 • ----BEGIN CERTIFICATE---.. 1c7d7400000014 • E---.. 1e41b500000016 MSTest 常规 吊销列表 吊销的证书 所有任务 发行 证书吊销列表信息 颁发的证书 查看 从这里创建窗口 待定申请 不成功的申请 域 值 刷新 Version V2 Issuer MSTest, user1@microsoft.com… Effective Date Thursday, December 10, 1999 … Next Update Monday December 14, 1999 6:… Signature Algorithm sha1RSA 属性 帮助 手动发行当前的 CRL 值: 确定 发行证书吊销列表 5.4.3 发行证书吊销列表

25. 导入和导出证书 5.4.4 导入和导出证书 • 检查证书文件格式 • 导入证书 • 导出证书

26. 第五章 使用公共密钥基础结构配置网络安全 • 公共密钥基础结构 (PKI) 简介 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory • 证书服务故障分析

27. 为证书配置 Active Directory 5.5 为证书配置 Active Directory • 外部用户必须拥有证书 • 外部用户必须拥有用户账户 • 外部用户的证书必须是由受信任的 CA 颁发的 • 外部用户和的证书和 Active Directory 用户账户之间必须存在名称映射 名称映射 Active Directory 外部用户

28. 第五章 使用公共密钥基础结构配置网络安全 • 公共密钥基础结构 (PKI) 简介 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory • 证书服务故障分析

29. CA 的故障分析 错误 错误 错误 错误 证书服务故障分析 5.6 证书服务故障分析 复查事件日志 使用诊断模式 确认证书的有效性

30. 实验 A 安装和配置证书服务

31. 回顾 • 定义 PKI 概念 • 部署证书服务 • 使用证书 • 管理证书 • 为证书配置 Active Directory 目录服务 • 证书服务的故障分析