Windows Server 2008 PKI 實戰（二）：憑證註冊與漫遊實作

自動註冊架構重設計

早期自動註冊在 Winlogon 過程中執行，暴露較大攻擊面。Windows Vista/Server 2008 將所有 NT 服務重寫為 WMI 任務，大幅縮減攻擊面。新增憑證到期前通知，當自動註冊未啟用時，系統會主動提醒使用者憑證即將過期或已過期。

憑證漫遊運作原理

憑證漫遊 (Credential Roaming) 透過 AD 將加密金鑰複寫到使用者登入的電腦，避免漫遊設定檔傳輸公私鑰造成的網路負載。使用者登入時，認證資訊送至伺服器交換金鑰，公私鑰隨 AD 物件漫遊，提升郵件保護、使用者驗證與智慧卡部署能力。

MMC 憑證嵌入式管理單元實作演示

1. 開啟 certmgr.msc (目前使用者) 或 certlm.msc (本機電腦)，於「個人」→「憑證」節點右鍵選「所有工作」→「申請新憑證」。
2. 新版註冊介面提供豐富選項：可指定憑證用途、主體名稱 (自動從 AD 取得或手動輸入)、延伸模組 (金鑰用途、基本限制)、私密金鑰保護 (可匯出、強式私鑰保護)、CA 選擇等。
3. 完成精靈後，憑證自動儲存於本機存儲區，並可透過 MMC 檢視。

總結

Windows Server 2008 在 PKI 管理性與易用性上大幅進步：自動註冊更安全、憑證漫遊支援多裝置無縫體驗、MMC 介面直覺化，讓企業輕鬆落地強式身分與加密應用。