Windows Server 2012 向域申请证书详细指南

一、问题分析：为什么需要向域申请证书？

在 Windows Server 2012 环境中，向域申请证书主要用于实现安全通信。无论是搭建网站（HTTPS）、配置远程桌面网关、建立 VPN 连接，还是部署 Exchange 邮件服务器，都需要 SSL/TLS 证书来加密数据传输。

很多管理员会遇到这样的困惑：

如何从域内证书颁发机构获取证书？
申请过程中需要哪些准备工作？
证书申请后如何正确安装和配置？

下面我将从基础概念到实际操作，为你提供完整的解决方案。

二、准备工作：搭建证书颁发机构（CA）

如果你的域内还没有证书颁发机构，需要先搭建一个。这是整个流程的基础。

步骤1：安装 AD CS 角色服务

打开“服务器管理器”
点击“添加角色和功能”
在“选择服务器角色”页面，勾选“Active Directory 证书服务”
点击“添加功能”确认
在“选择角色服务”页面，至少选择：
- 证书颁发机构
- 证书颁发机构 Web 注册（可选，提供网页申请界面）

步骤2：配置证书服务

安装完成后，在服务器管理器右上角点击黄色感叹号
选择“配置目标服务器上的 Active Directory 证书服务”
指定凭据（使用域管理员账户）
选择要配置的角色服务（与安装时一致）
设置 CA 类型：
- 企业 CA（推荐域内使用）
- 独立 CA（适合工作组环境）
选择“根 CA”（如果是第一个证书服务器）
创建新的私钥
配置加密设置（保持默认即可）
指定 CA 名称（如：公司名-CA）
设置有效期（通常5-10年）
指定数据库位置
完成配置

三、向域申请证书的三种方法

方法一：通过证书申请向导（推荐新手）

这是最直观的方式，适合大多数场景。

打开证书申请界面
- 按 Win + R 打开运行窗口
- 输入 mmc 打开控制台
- 点击“文件” → “添加/删除管理单元”
- 选择“证书” → 点击“添加”
- 选择“计算机账户” → “本地计算机”
- 点击“完成” → “确定”
申请新证书
- 在控制台中，展开“证书（本地计算机）”
- 右键点击“个人” → “所有任务” → “申请新证书”
- 点击“下一步”开始证书注册
选择证书模板
- 在“证书注册策略”页面，保持默认
- 点击“下一步”
- 你会看到可用的证书模板列表，常见的有：
  - Web 服务器：用于 IIS 网站
  - 计算机：用于计算机身份验证
  - 用户：用于用户身份验证
- 勾选需要的模板，点击“注册”
完成申请
- 系统会自动向域 CA 申请证书
- 申请成功后，点击“完成”
- 证书会安装在“个人” → “证书”文件夹中

方法二：使用证书 MMC 控制台

如果需要更精细的控制，可以使用这种方法。

导出证书申请文件
- 在证书 MMC 中，右键“个人” → “所有任务” → “高级操作” → “创建自定义请求”
- 选择“不使用注册策略”
- 在“自定义请求”页面：
  - 选择“模板”为“(无模板)旧版密钥”
  - 请求格式选择“PKCS #10”
- 点击“下一步”
填写证书信息
- 点击“详细信息”旁边的“属性”
- 在“常规”选项卡：
  - 友好名称：输入易记的名称
  - 描述：可选填写
- 在“使用者”选项卡：
  - 类型选择“公用名”
  - 值输入完全限定域名（如 server01.company.local）
- 在“扩展”选项卡：
  - 密钥用法：勾选“数字签名”、“密钥加密”
  - 增强型密钥用法：根据需要添加（如服务器身份验证）
- 点击“确定” → “下一步”
保存申请文件
- 选择文件格式为“Base 64”
- 指定保存路径（如 C:\certreq.txt）
- 点击“完成”
提交申请到域 CA
- 打开浏览器，访问 http://CA服务器主机名/certsrv
- 使用域账户登录
- 选择“申请证书”
- 选择“高级证书申请”
- 选择“使用 base64 编码的 CMC 或 PKCS #10 文件提交证书申请”
- 打开刚才保存的 certreq.txt 文件，复制全部内容
- 粘贴到“保存的申请”文本框中
- 点击“提交”
下载并安装证书
- 申请成功后，选择“Base 64 编码”
- 点击“下载证书”
- 保存证书文件（如 servercert.cer）
- 回到证书 MMC，右键“个人” → “所有任务” → “导入”
- 选择下载的证书文件，完成导入

方法三：使用命令行（适合批量操作）

对于熟悉命令行的管理员，这种方法效率最高。

创建证书请求文件

# 创建证书请求配置文件
$config = @"
[NewRequest]
Subject = "CN=server01.company.local, OU=IT Department, O=Company, L=City, S=State, C=CN"
Exportable = TRUE
KeyLength = 2048
KeySpec = 1
KeyUsage = 0xA0
MachineKeySet = TRUE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
RequestType = PKCS10
"@

$config | Out-File -FilePath C:\certreq.inf

生成证书请求

certreq -new C:\certreq.inf C:\certrequest.req

提交到 CA

certreq -submit -config "CA服务器主机名\CA名称" C:\certrequest.req C:\certificate.cer

接受并安装证书
```
certreq -accept C:\certificate.cer
```

四、证书申请后的配置与验证

配置 IIS 使用证书

打开 IIS 管理器
选择服务器节点
双击“服务器证书”
在右侧点击“导入”
选择刚才申请的证书文件
绑定到网站：
- 选择目标网站
- 点击“绑定”
- 添加 HTTPS 绑定
- 选择导入的证书
- 点击“确定”

验证证书是否生效

查看证书详情

# 列出所有证书
Get-ChildItem -Path Cert:\LocalMachine\My

# 查看特定证书详情
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*server01*"}
$cert | Format-List *

测试 HTTPS 连接

# 使用 PowerShell 测试
Invoke-WebRequest -Uri "https://server01.company.local" -UseBasicParsing

# 或者使用浏览器访问
# 在地址栏输入 https://你的服务器地址

五、常见问题与解决方案

问题1：申请时提示“没有注册策略”

原因：计算机无法联系域证书颁发机构解决：

确保计算机已加入域
确认网络连接正常
检查 DNS 解析是否正确
验证域控制器和 CA 服务器运行正常

问题2：证书模板不可用

原因：模板未发布或权限不足解决：

在 CA 服务器上打开“证书颁发机构”控制台
右键“证书模板” → “管理”
找到需要的模板，右键“复制模板”
根据需求配置新模板
回到“证书颁发机构”，右键“证书模板” → “新建” → “要颁发的证书模板”
选择刚创建的模板

问题3：证书申请成功但无法使用

原因：私钥丢失或权限问题解决：

检查证书是否有私钥

$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*你的服务器*"}
$cert.HasPrivateKey

如果返回 False，需要重新申请
确保应用程序池账户有私钥访问权限

六、最佳实践与优化建议

1. 证书生命周期管理

设置证书过期提醒（提前30天）
建立证书续订流程
定期备份证书和私钥

2. 安全性增强

使用至少2048位密钥长度
定期更新 CRL（证书吊销列表）
限制证书模板的注册权限

3. 自动化管理

# 自动续订即将过期的证书
$expiringCerts = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.NotAfter -lt (Get-Date).AddDays(30)}
foreach ($cert in $expiringCerts) {
    certreq -renew $cert.SerialNumber
}

4. 监控与审计

启用证书服务日志
定期审核证书颁发记录
监控异常证书申请行为

七、进阶技巧：多域名证书申请

如果需要为多个域名申请证书，可以使用 SAN（主题备用名称）证书。

创建包含 SAN 的请求文件

[NewRequest]
Subject = "CN=main.company.local"
Exportable = TRUE
KeyLength = 2048
KeySpec = 1
KeyUsage = 0xA0
MachineKeySet = TRUE

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "dns=server1.company.local&"
_continue_ = "dns=server2.company.local&"
_continue_ = "dns=www.company.com"