Windows Server 2008 PKI 實戰 (3)：憑證服務效能監控與委派註冊代理人

承接前篇，Windows Server 2008 憑證服務新增兩大關鍵強化：委派註冊代理人 精細權限控管，以及 網路裝置註冊服務 (SCEP/NDDES) 整合至本機安裝。本文著重於「易管理性」提升——透過效能計數器即時監控 CA/OCSP 效能。

憑證服務易管理性示範：效能監控

Windows 可靠度與效能監視器 (MMC) 提供系統效能分析工具。預設顯示處理器使用率，我們需加入憑證服務專用計數器。

1. 工具列點選「加入計數器」。
2. 展開「憑證服務」節點，可見多項計數器（如要求處理時間、OCSP 回應時間等）。
   

   

3. 加入 CA 要求處理時間 與 OCSP 要求處理時間。
   

   

4. 小量資料建議用「報表」檢視；大量資料適合圖表。
   

   

5. 簽發一張新憑證後，計數器即顯示處理時間數值。
   

   

委派註冊代理人精細權限控管

舊版允許註冊代理人代表樹系內任何人註冊任何類型憑證。Windows Server 2008 可限制三大維度：

• 註冊代理人：限定特定網域內的特定代理人帳號。
• 憑證範本：限定可代理註冊的範本。
• 使用者權限：限定代理對象使用者/群組。

啟用限制時會警告：此功能僅在 Windows Server 2008 以上 CA 生效。

規劃前請確認現有 PKI 環境相容性。