什么是证书颁发机构角色服务？
本文提供有关在 Windows Server 操作系统上部署时，Active Directory 证书服务的证书颁发机构角色服务的信息。
证书颁发机构 (CA) 负责证明用户、计算机和组织的身份。 通过颁发一个经过数字签名的证书，CA 可对某个实体进行身份验证并担保该身份。 CA 还可以管理、吊销和续订证书。
证书颁发机构可以是：
- 担保最终用户身份的组织。
- 组织用于颁发和管理证书的服务器。
通过安装 Active Directory 证书服务 (AD CS) 的证书颁发机构角色服务，你可以配置 Windows 服务器以充当 CA。
了解证书颁发机构类型
Windows Server 支持四种不同类型的 CA：
- 企业根 CA。
- 企业从属 CA。
- 独立根 CA。
- 独立从属 CA。
企业和独立证书颁发机构
企业 CA 将与 Active Directory 域服务 (AD DS) 集成。 它们向 AD DS 发布证书和证书吊销列表 (CRL)。 企业 CA 使用存储在 AD DS 中的信息（包括用户帐户和安全组）以批准或拒绝证书申请。 企业 CA 使用证书模板。 颁发证书时，企业 CA 使用证书模板中的信息生成具有该证书类型相应属性的证书。
如果你想要启用自动证书批准和自动用户证书注册，请使用企业 CA 颁发证书。 这些功能仅在 CA 基础结构与 Active Directory 集成时才可用。 此外，仅企业 CA 可以颁发支持智能卡登录的证书，因为此过程需要智能卡证书自动映射到 Active Directory 中的用户帐户。
“独立 CA”不需要 AD DS，并且不使用证书模板。 如果你使用独立 CA，则必须在证书申请中包含有关申请的证书类型的所有信息。 默认情况下，所有提交到独立 CA 的证书申请都保留在挂起队列中，直到 CA 管理员批准它们。 你可以配置独立 CA 以在申请时自动颁发证书，但这比较不安全，并且不建议这样做，因为申请未通过身份验证。
当使用非 Microsoft 目录服务或 AD DS 不可用时，必须使用独立 CA 颁发证书。 可以在组织中同时使用企业和独立证书颁发机构。
根证书颁发机构和从属证书颁发机构
可以将企业和独立 CA 配置为根 CA 或从属 CA。 可以将从属 CA 进一步配置为中间 CA（也称为策略 CA）或发证 CA
根 CA 是证书层次结构顶部的 CA，其中所有证书链都在此终止。 当客户端上存在根 CA 证书时，对根 CA 无条件信任。 无论是使用企业 CA 还是或独立 CA，你都需要指定根 CA。
由于根 CA 是认证层次结构中的顶部 CA，因此证书的“使用者”字段的值与颁发者字段的值相同。 同样，因为证书链在到达自签名的 CA 时终止，因此所有自签名 CA 都是根 CA。 可以在企业级确定将某个 CA 指定为受信任的根 CA，或者在本地由单个 IT 管理员进行确定。
根 CA 将用作证书颁发机构信任模型的基础。 它可保证主题的公钥对应于它所颁发的证书主题字段中显示的标识信息。 不同的 CA 还可能使用不同的标准验证此关系；因此，在选择信任该颁发机构验证公钥之前，了解根证书颁发机构的策略和过程很重要。
根 CA 是层次结构中最重要的 CA。 如果你的根 CA 已泄露，则层次结构中的所有 CA 和从其颁发的所有证书都被视为已泄露。 通过使根 CA 从网络断开连接，并使用从属 CA 将证书颁发给其他从属 CA 或最终用户，可以最大程度地保护根 CA 的安全。 断开连接的根 CA 也称为脱机根 CA。
不是根 CA 的 CA 将被视为从属 CA。 层次结构中的第一个从属 CA 可从根 CA 获取其 CA 证书。 此第一个从属 CA 可以使用此密钥来颁发证书，此类证书可验证其他从属 CA 的完整性。 这些较高级别的从属 CA 称为中间 CA。 虽然中间 CA 从属于根 CA，但它可用作一个或多个从属 CA 的较高级别的认证机构。
中间 CA 通常称为策略 CA，因为它通常用于分隔可通过策略区分的证书类。 例如，策略分离包括 CA 提供的保障级别，或用于区分不同的最终实体填充的 CA 地理位置。 策略 CA 可以联机，也可以脱机。
证书颁发机构私钥
私钥是 CA 身份的一部分，并且必须保护私钥以免泄露。 很多组织使用硬件安全模块 (HSM) 保护 CA 私钥。 如果未使用 HSM，则私钥存储在 CA 计算机上。
脱机 CA 应存储在安全位置，并且不连接网络。 在颁发证书时，发证 CA 的过程将使用其私钥，因此处理 CA 时，私钥必须处于可访问状态（联机）。 在所有情况下，都应以物理方式保护 CA 及 CA 上的私钥。
硬件安全模块
使用硬件安全模块 (HSM) 可以增强 CA 和私钥基础结构 (PKI) 的安全性。
HSM 是与操作系统分开管理的专用硬件设备。 除了用于加速签名和加密的专用加密处理器，HSM 还为 CA 密钥提供安全硬件存储。 操作系统通过 CryptoAPI 接口使用 HSM，并且 HSM 将用作加密服务提供程序 (CSP) 设备。
HSM 通常是 PCI 适配器，但它们也可作为基于网络的设备、串行设备和 USB 设备。 如果组织计划实施两个或两个以上 CA，你可以安装一个基于网络的 HSM，并在多个 CA 上共享它。
必须先安装并配置 HSM，才能使用需要存储在 HSM 上的密钥设置任何 CA。