實(shí)訓(xùn)15-證書服務(wù)配置與管理(共10頁(yè))

1、計(jì)算機(jī)網(wǎng)絡(luò)與應(yīng)用 實(shí)驗(yàn)指導(dǎo)書 徐炳文 工程師實(shí)驗(yàn)十五 證書服務(wù)配置與管理一、實(shí)訓(xùn)目的：1. 掌握證書服務(wù)配置與管理的技能；2. 能夠使用SSL訪問(wèn)服務(wù)器。二、實(shí)訓(xùn)設(shè)備：1. 計(jì)算機(jī)2. 5類雙絞線若干三、實(shí)訓(xùn)任務(wù)：任務(wù)1：證書服務(wù)配置與管理；任務(wù)2：使用SSL訪問(wèn)服務(wù)器。四、實(shí)訓(xùn)步驟：一、CA證書服務(wù)器安裝1安裝證書服務(wù)之前要先安裝IIS服務(wù)并且保證“WEB服務(wù)擴(kuò)展”中的“Active Server Pages”為允許狀態(tài)2在“控制面板”中運(yùn)行“添加或刪除程序”，切換到“添加/刪除Windows組件”頁(yè)3在“Windows組件向?qū)А睂?duì)話框中，選中“證書服務(wù)”選項(xiàng)，接下來(lái)選擇CA類型，這里選擇“

2、獨(dú)立根CA”；4然后為該CA服務(wù)器起個(gè)名字(本例中的名字為CntvsServer)，設(shè)置證書的有效期限，建議使用默認(rèn)值“5年”即可，最后指定證書數(shù)據(jù)庫(kù)和證書數(shù)據(jù)庫(kù)日志的位置后，就完成了證書服務(wù)的安裝。5.安裝完成后，系統(tǒng)會(huì)自動(dòng)在IIS的默認(rèn)站點(diǎn)，建幾個(gè)虛擬目錄CertSrc,CertControl,CertEnroll二、客戶端證書申請(qǐng)1. 運(yùn)行Internet Explorer瀏覽器，在地址欄中輸入“http:/證書服務(wù)器IP/CertSrv/default.asp”。證書申請(qǐng)頁(yè)面，輸入相應(yīng)的申請(qǐng)信息，然后點(diǎn)擊申請(qǐng)一個(gè)證書。接下來(lái)選擇"Web瀏覽器證書"填寫相關(guān)信息

3、60; 2. 系統(tǒng)將處理您提交的申請(qǐng)，此過(guò)程可能要等待10秒鐘左右。建議最好記下申請(qǐng)ID（本例為4）三、客戶端證書的頒發(fā)打開“管理工具”選擇“證書頒發(fā)機(jī)構(gòu)”，打開"掛起的申請(qǐng)",右擊->"頒發(fā)"四、客戶端證書的下載及安裝1.運(yùn)行Internet Explorer瀏覽器，在地址欄中輸入“http:/證書服務(wù)器IP/CertSrv/default.asp”,選擇“查看掛起的證書申請(qǐng)狀態(tài)”2.找到自己申請(qǐng)的證書3.安裝證書安裝完成后，可到IE里查看剛剛安裝好的證書五.服務(wù)器證書的申請(qǐng)1.以IIS的默認(rèn)站為例，先右擊站點(diǎn)，打開網(wǎng)站屬性->目錄安全性-

4、>服務(wù)器證書2.按IIS證書向?qū)?一步步 提交服務(wù)器證書申請(qǐng)六、服務(wù)器證書的頒發(fā)1.先打開"證書頒發(fā)機(jī)構(gòu)"，提交剛才的申請(qǐng)選擇剛才的c:certreq.txt按提示一步步完成2.頒發(fā)證書在掛起的申請(qǐng)里，可以看到剛才的申請(qǐng)(本例ID為5)，右擊->頒發(fā)3.導(dǎo)出證書在頒發(fā)的證書里，可以看到多了個(gè)證書，在新頒發(fā)的服務(wù)器證書上右擊->打開切換到"詳細(xì)信息"，單擊"復(fù)制到文件"，將該證書導(dǎo)出為cer文件七、IIS中服務(wù)器證書/SSL的設(shè)置、還是先打開網(wǎng)站屬性，切換到"目錄安全性"，點(diǎn)擊"服務(wù)器證書

5、"2、安裝服務(wù)器證書選擇剛才導(dǎo)出的cer文件然后一路下一步，直到完成.3、設(shè)置SSL有了服務(wù)器證書后，IIS的相關(guān)站點(diǎn)，可以改用https:/來(lái)訪問(wèn)，還是打開網(wǎng)站屬性->目錄安全性->安全通信->編輯把"要求安全通知(SSL)"選中，確定即可這里，如果我們?cè)僭L問(wèn),會(huì)提示以下錯(cuò)誤：這里必須把http:/換成https:/來(lái)訪問(wèn)，即,如果是IE7，會(huì)提示證書錯(cuò)誤，如下圖:先不管這個(gè)錯(cuò)誤(馬上會(huì)說(shuō)到如何處理)，點(diǎn)擊"繼續(xù)瀏覽網(wǎng)站(不推薦)"即可正常訪問(wèn)最后來(lái)分析一下，為什么會(huì)有這個(gè)證書錯(cuò)誤，強(qiáng)行瀏覽這個(gè)頁(yè)面后，會(huì)發(fā)現(xiàn)地址欄是紅色的，

6、我們點(diǎn)擊地址欄右側(cè)的"證書錯(cuò)誤"->“查看證書"觀察一下會(huì)發(fā)現(xiàn)，剛才我們申請(qǐng)的服務(wù)器證書，在頒發(fā)證書時(shí)，默認(rèn)是頒發(fā)給計(jì)算機(jī)名，本例中也就是jimmycntvs這臺(tái)計(jì)算機(jī)的，而我們現(xiàn)在用localhost來(lái)訪問(wèn)，服務(wù)器會(huì)認(rèn)為localhost與jimmycntvs不是同一臺(tái)機(jī)器，因此覺得不安全！既然知道原因了，也就能解決了，我們把訪問(wèn)地址換成 (即把localhost換成jimmycntvs)，這回IE就認(rèn)為訪問(wèn)地址與證書中的信息對(duì)上號(hào)了，也就沒(méi)有提示了，呵呵五、實(shí)訓(xùn)思考題：1、什么是數(shù)字證書？它包括哪能些組成部分？2、安裝了數(shù)字證書服務(wù)就一定安全嗎