证书模板允许管理员颁发为所选任务预配置的证书,从而大大简化管理 Active Directory 证书服务 (AD CS) 证书颁发机构 (CA) 的任务。 证书模板管理单元允许管理员执行以下任务:
- 查看每个证书模板的属性。
- 复制和修改证书模板。
- 控制哪些用户和计算机可以读取模板并注册证书。
- 执行与证书模板相关的其他管理任务。
证书模板是在 CA 上配置的规则和设置集,用于应用于传入的证书请求。 证书模板还向客户提供有关如何创建和提交有效证书请求的说明。
只有企业 CA 才能根据证书模板颁发证书。 模板存储在 Active Directory 域服务 (AD DS) 中,供林中的每个 CA 使用。 这允许 CA 始终可以访问当前标准模板,并确保证书策略在整个林中的一致应用。
证书模板版本
证书模板版本确定证书模板中可用的功能。 Active Directory 证书服务 (AD CS) 提供三个版本的证书模板,这些模板可在企业证书颁发机构 (CA) 上使用。
- 版本 1 证书模板支持一般证书需求,并且与 Windows 2000 及更高版本的 AD CS 兼容。 默认情况下,版本 1 模板在 CA 设置期间安装,无法删除。 版本 1 模板上唯一可以修改的属性是控制对模板的访问的已分配权限集。 只有自定义脚本和组策略(如果使用计算机证书)才支持自动注册。
- 版本 2 证书模板是在 Windows Server 2003 中引入的。 管理员可以配置版本 2 模板,以控制请求、颁发和使用证书的方式。 版本 2 模板支持证书自动注册。
- 版本 3 证书模板支持所有版本 2 模板功能,但也提供对套件 B 加密算法的支持。 套件 B 由美国国家安全局创建,用于指定美国政府机构必须用于保护机密信息的加密算法。 版本 3 证书模板可通过 AD CS 在所有受支持的 Windows Server 版本上使用。
默认证书模板
AD CS 企业证书颁发机构 (CA) 中包含许多旨在满足大多数组织需求的预配置证书模板。 可以通过修改现有预配置模板的副本来创建新的证书模板。 下表描述了默认证书模板:
名称 | DESCRIPTION | 密钥用法 | 主题类型 | 发布到 Active Directory 域服务 (AD DS)? | 模板版本 |
---|---|---|---|---|---|
管理员 | 允许信任列表签名和用户身份验证。 | 签名和加密 | 用户 | 是的 | 1 |
已验证的会话 | 允许使用者向 Web 服务器进行身份验证。 | 签名 | 用户 | 否 | 1 |
基本 EFS | 由加密文件系统 (EFS) 用于加密数据。 | 加密 | 用户 | 是的 | 1 |
CA 交易所 | 用于存储为私有密钥存档配置的密钥。 | 加密 | 电脑 | 否 | 2 |
CEP 加密 | 允许证书持有者充当简单证书注册协议 (SCEP) 请求的注册机构。 | 加密 | 电脑 | 否 | 1 |
代码签名 | 用于对软件进行数字签名。 | 签名 | 用户 | 否 | 1 |
电脑 | 允许计算机在网络上对自身进行身份验证。 | 签名和加密 | 电脑 | 否 | 1 |
交叉认证机构 | 用于交叉认证和合格的从属。 | 签名 | 交叉认证 CA | 是的 | 2 |
目录电子邮件复制 | 用于在 AD DS 中复制电子邮件。 | 签名和加密 | 电脑 | 是的 | 2 |
域控制器 | 由域控制器用作通用证书。 | 签名和加密 | 电脑 | 是的 | 1 |
域控制器身份验证 | 用于对 Active Directory 计算机和用户进行身份验证。 | 签名和加密 | 电脑 | 否 | 2 |
EFS 恢复代理 | 允许使用者解密以前使用 EFS 加密的文件。 | 加密 | 用户 | 否 | 1 |
注册代理 | 用于代表其他使用者请求证书。 | 签名 | 用户 | 否 | 1 |
注册代理(计算机) | 用于代表其他计算机使用者请求证书。 | 签名 | 电脑 | 否 | 1 |
Exchange 注册代理(脱机请求) | 用于代表其他使用者请求证书,并在请求中提供使用者名称。 | 签名 | 用户 | 否 | 1 |
仅交换签名 | 由 Microsoft Exchange Key Management Service 用于向 Exchange 用户颁发证书,以便对电子邮件进行数字签名。 | 签名 | 用户 | 否 | 1 |
Exchange 用户 | 由 Microsoft Exchange Key Management Service 用于向 Exchange 用户颁发用于加密电子邮件的证书。 | 加密 | 用户 | 是的 | 1 |
IPSEC (英语) | 由 Internet 协议安全 (IPsec) 用于对网络通信进行数字签名、加密和解密。 | 签名和加密 | 电脑 | 否 | 1 |
IPSEC(离线请求) | 当请求中提供使用者名称时,由 IPsec 用于对网络通信进行数字签名、加密和解密。 | 签名和加密 | 电脑 | 否 | 1 |
Kerberos 身份验证 | 用于对 Active Directory 计算机和用户进行身份验证。 | 签名和加密 | 电脑 | 否 | 2 |
密钥恢复代理 | 恢复 CA 上存档的私有密钥。 | 加密 | 密钥恢复代理 | 否 | 2 |
OCSP 响应签名 | 由 Online Responder 用于对证书状态请求的响应进行签名。 | 签名 | 电脑 | 否 | 3 |
RAS 和 IAS 服务器 | 允许远程访问服务器和 Internet 身份验证服务 (IAS) 服务器向其他计算机验证其身份。 | 签名和加密 | 电脑 | 否 | 2 |
根证书颁发机构 | 用于证明根 CA 的身份。 | 签名 | CA | 否 | 1 |
路由器 (离线请求) | 当通过持有 CEP 加密证书的 CA 的 SCEP 请求请求时,由路由器使用。 | 签名和加密 | 电脑 | 否 | 1 |
智能卡登录 | 允许持有者使用智能卡进行身份验证。 | 签名和加密 | 用户 | 否 | 1 |
智能卡用户 | 允许持有者使用智能卡对电子邮件进行身份验证和保护。 | 签名和加密 | 用户 | 是的 | 1 |
下级证书颁发机构 | 用于证明根 CA 的身份。 它由父 CA 或根 CA 颁发。 | 签名 | CA | 否 | 1 |
信任列表签名 | 允许持有者对信任列表进行数字签名。 | 签名 | 用户 | 否 | 1 |
用户 | 由用户用于电子邮件、EFS 和客户端身份验证。 | 签名和加密 | 用户 | 是的 | 1 |
仅用户签名 | 允许用户对数据进行数字签名。 | 签名 | 用户 | 否 | 1 |
Web 服务器 | 证明 Web 服务器的身份。 | 签名和加密 | 电脑 | 否 | 1 |
工作站身份验证 | 使客户端计算机能够向服务器验证其身份。 | 签名和加密 | 电脑 | 否 | 2 |