Windows Server 2008 PKI 實戰（一）：憑證服務部署與管理

PKI 在 Windows Server 2008 的重大改進

Windows Server 2008 大幅強化公開金鑰基礎結構 (PKI)，核心在於憑證生命週期管理，特別是電腦與使用者憑證的自動註冊。新增的憑證漫遊功能，讓使用者的公私鑰隨著 AD 物件漫遊，大幅簡化多裝置環境下的憑證部署。

對開發人員而言，新的憑證註冊 API 讓智慧卡與強式身分驗證更容易整合進企業應用。伺服器端則在憑證服務的管理、部署與撤銷檢查 (CRL、Delta CRL、OCSP) 上均有顯著增強。

實作環境與安裝流程

示範環境：SEA-DC-01 (DC + DNS)，安裝「Active Directory 憑證服務」角色。過程中需先安裝 IIS 角色以支援網頁註冊。

關鍵安裝步驟

1. 開啟「伺服器管理員」→「新增角色」，選取「Active Directory 憑證服務」。
2. 角色服務中勾選「憑證機構」、「網頁註冊」、以及「線上回應器」(OCSP)。
3. CA 類型選擇「企業根 CA」（因無上層 CA）。
4. 建立新私密金鑰，預設使用 RSA Microsoft Software Key Storage Provider + SHA1 2048 位元。
5. CA 名稱採用預設，有效期限預設 5 年；資料庫與日誌路徑可自訂。
6. 完成 IIS 角色安裝（預設設定即可），最後確認安裝摘要並開始安裝。

憑證管理服務架構

• 用戶端：自動註冊 (架構重設計，減少攻擊面) + 憑證漫遊 (Win2003 SP1 引入，整合至 Vista/2008)。
• 伺服器端：AD 憑證服務角色，包含「委派註冊代理人」與「網路裝置註冊服務」(NDES，支援 SCEP 協定)。

自動註冊不再屬於 Winlogon 程序，改為 WMI 任務，大幅降低攻擊面；另新增憑證到期前通知功能，於自動註冊未啟用時提醒使用者手動更新。