Windows Server 2025 / AD CS 的作用与内部 PKI 规划

Active Directory 证书服务（Active Directory Certificate Services，AD CS）负责颁发和管理组织的证书。安装前需要明确应信任谁、谁能申请和批准证书，以及吊销、续订和恢复由谁负责，而不是先安装再补运维流程。

判断是否需要内部 CA

AD CS 可以在公钥基础结构（Public Key Infrastructure，PKI）中运行证书颁发机构（Certification Authority，CA）。CA 对证书签名，把身份与公钥关联起来；PKI 还包括策略、密钥保护、信任分发和运维流程。客户端必须信任颁发者，并验证名称、用途、有效期及适用条件。仅有一个证书文件，并不代表这些检查都已通过。

内部服务反复续订证书、受管设备需要证书身份验证等需求，可能值得建设组织级 PKI。但内部 CA 不会自动获得所有浏览器和外部设备的信任。面向不受管理客户端的公共服务，可能更适合为实际控制的名称使用公开受信任的证书。应把业务需求与持续运维能力一起比较；实验用自签名证书并不等于生产 PKI。

AD CS 概述介绍了这些功能。新建 CA 前先清点已有 PKI、负责团队及获准使用的证书颁发服务。例如，要把 WEB1 的 HTTPS 实验转为内部服务，应记录 DNS 名称、使用客户端、服务负责人、续订期限，以及现有颁发者能否满足需求。一个网站需要 HTTPS，并不自动构成新建 CA 的理由。

设计层级与信任边界

离线根 CA 配合在线颁发 CA 是一种设计选择，并非通用标准答案。根 CA 建立上层信任基础，下级 CA 颁发计划中的证书。根 CA 离线可以减少日常暴露，但需要受控启用、发布、续订和恢复流程。增加层级也会增加依赖和工作量，应结合规模、威胁以及实际维护能力作出决定。

PKI 设计注意事项有助于在安装前确定 CA 与服务器名称、兼容的加密提供程序、密钥保护、有效期和发布地址。服务器名称与 CA 名称是不同概念，已安装 CA 的服务器改名也不应作为普通调整处理。把 CA 与域控制器合并部署前，需要评估管理和密钥保护边界，因为合并也会把特权范围与恢复依赖集中在一起。

限制模板与注册权限

证书模板定义用途、密钥策略、有效期和注册条件。增强型密钥用法（Extended Key Usage，EKU）标识服务器身份验证、客户端身份验证等用途。根据 AD CS 证书模板管理文档，企业 CA 使用存储在 Active Directory 域服务（Active Directory Domain Services，AD DS）中的模板，独立 CA 不使用这些模板。创建模板、将模板发布到 CA 供其颁发，以及授予注册权限，是三个不同决定。过度放开可用于身份验证的证书颁发权限，可能导致身份冒用。

• 分离申请者与批准、颁发人员。明确具体组和策略修改负责人，不要所有职责共用一个账号。
• 决定申请者是否能自行提供名称，以及由谁核实其使用该名称的权利。网站证书的授权名称必须对应预定服务，不能允许随意输入任何身份。
• 限制私钥的使用者，并说明允许导出的必要性。区分服务器密钥、CA 密钥与恢复材料，在允许导出前记录接收方及保管方式。
• 将自动注册限制在获准的组和用途内。先规划小范围试点，同时测试获准与未获准的申请者，记录错误、颁发结果和告警，再考虑扩大范围。

向 Authenticated Users 或其他大组授予广泛权限前，应先评估风险。书面确定申请者、模板管理员、CA 管理员、负责批准或吊销的证书管理人员，以及审计人员，并按风险分离职责。CA 安全、委派与审计指南区分了这些控制。读取审计证据不需要完整 CA 管理权限。应定义哪些操作必须允许或拒绝，以及哪些配置变更和证书颁发应产生可追查的告警。

规划吊销发布与续订运维

需要为密钥泄露、用户离职和服务器退役规划吊销机制。证书吊销列表（Certificate Revocation List，CRL）发布已吊销的证书信息。颁发机构信息访问（Authority Information Access，AIA）帮助定位颁发者信息，例如 CA 证书；CRL 分发点（CRL Distribution Points，CDP）指明获取吊销列表的位置。证书链验证与吊销状态验证是不同检查。设计中应列明实际路径、发布责任人、发布周期、列表到期时间，以及必须能够访问这些位置的客户端。

仅内部可用的 DNS 或 LDAP 发布位置，未必适用于外部客户端或未加入域的设备。应从实际设备和使用上下文检查访问，包含代理及网络限制。停止 CA 不会立即吊销所有已颁发证书，却会影响颁发、续订或更新吊销信息等不同功能。CRL 有效期、缓存和应用策略都会影响结果，不能因为证书尚未到期就保证服务持续可用。变更发布 URL 会影响新颁发的证书；已颁发证书仍可能需要原来的地址。

根 CA、颁发 CA 与服务证书的续订需要协调。申请较长有效期，不能绕过颁发者剩余有效期及相关策略。应记录依赖、负责人、处理日期和新证书链的验证方法。服务续订后，要核对客户端实际收到的证书及其绑定，而不只是确认存储区内多了一个对象。如果 CA 密钥或证书链也变化，应先规划客户端分发与兼容性，再退役旧配置。

记录密钥保护和恢复方案

CA 私钥一旦泄露，会影响其整个信任范围。可以评估硬件安全模块（Hardware Security Module，HSM）这一用于密钥保护与加密操作的专用设备，同时限制管理访问并分离职责。HSM 不能代替操作流程和可恢复的备份。CA 备份与迁移指南涉及数据库、私钥、注册表配置、使用时的 CAPolicy.inf，以及企业 CA 已分配模板的列表。AD DS 中的模板及其关联不能仅靠 CA 数据库备份覆盖。应设计受保护的备份、密码保管和隔离恢复；HSM 密钥还要遵循供应商支持的恢复方法。复制公开证书并不等于备份私钥。

1. 清点证书使用者、用途和预计需求。对每项服务记录名称、客户端设备与用户、当前颁发者、负责人、网络依赖及连续性要求。
2. 确定方案负责人，对比复用现有获准 PKI 或颁发服务与新建系统。记录选择理由、运维资源和未决问题，而不是只留下安装向导的选项。
3. 设计根 CA、颁发 CA、密钥保护、适用的模板、权限和信任分发。列明谁可以申请、批准、修改和审计，以及服务结束后如何撤销信任。
4. 明确 CRL/AIA 发布、续订负责人、告警、备份和隔离恢复。指定需要验证的位置与证据，包括旧 URL 的继续可用性及受保护材料的恢复。
5. 在独立环境验证获准与拒绝的申请、正确与被拒绝的名称、续订、应用相关的吊销检查以及备份恢复。记录预期结果、实际观察和失败处置；一次成功颁发不能证明其他条件均已满足。

本练习的成果是可审核的设计文档，而不是已安装的 CA。不要为这次规划练习在 DC1 安装 AD CS，也不要把测试根证书分发到真实设备。部署决定之前，应明确责任人、可持续执行的流程、验收证据，以及撤销信任或迁移服务的计划。如果还不知道由谁发布 CRL、恢复密钥或处理续订失败，应先记录这些待决事项，再批准安装。