简介
本文档介绍使用Microsoft Windows Active Directory(AD)证书服务创建自定义根证书的说明。
先决条件
要求
Cisco 建议您了解以下主题：
- Microsoft当前支持的Microsoft Windows Server版本
- Windows Server上安装的Active Directory证书服务
- 具有Active Directory证书服务和Web服务/Web注册服务角色的帐户
- 配置为使用UTF-8编码(“UTF8STRING”)颁发证书的证书服务
使用的组件
本文档中的信息基于Cisco Umbrella。
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
概述
本文包含有关使用Microsoft Windows Active Directory证书服务创建自定义根证书(用于代替标准Cisco Umbrella根CA证书)，然后使用该根证书签署来自Umbrella的客户CA签名的CA证书功能的证书签名请求(CSR)的说明。
证书字符串编码
如果您的证书服务配置为使用默认编码(“PRINTABLESTRING”)，则生成的证书链无法被某些Web客户端（最明显的是Firefox）信任。
Cisco Umbrella安全Web网关代理使用证书链，该证书链使用UTF8STRING编码对字符串进行编码。如果签署CSR以创建Cisco Umbrella客户CA中间证书的颁发证书（例如，根证书）使用PRINTABLESTRING编码，则Cisco Umbrella客户CA证书的Subject字段的编码为PRINTABLESTRING。此编码无法与Cisco Umbrella R1 CA中间证书（证书链中的下一项）中的Issuer字段的UTF8STRING编码匹配。
RFC 5280第4.1.2.6节要求证书链在已颁发证书的Issuer字段与颁发证书的Subject字段之间保持相同的字符串编码：
"如果证书的主题是CA，则主题字段的编码方式必须与主题CA颁发的所有证书中颁发者字段（第4.1.2.4节）的编码方式相同。"
许多浏览器不执行此要求，但某些浏览器（最明显的是Firefox）会执行此要求。因此，当使用具有客户CA签名的CA证书功能的安全Web网关(SWG)时，Firefox等Web客户端可能会生成不受信任的站点错误，并且不会加载网站。
要解决此问题，请使用不执行RFC 5280要求的浏览器（如Chrome）。
步骤 1：准备AD证书服务模板
1.导航到开始>运行> MMC，打开Active Directory证书颁发机构MMC。
2.选择文件>添加/删除管理单元，然后添加证书模板和证书颁发机构管理单元。选择“确定”。
3.展开证书模板，然后右键单击从属证书颁发机构。单击复制模板。
现在您可以创建一个自定义证书模板，以符合Umbrella文档中列出的要求。
以下是本文创建时详细介绍的要求：
- General 选项卡
- 请为模板指定一个对您有意义的名称。
- 将有效期设置为35个月（三年减去一个月）。
- 将续约期间设置为20天。
- Extensions选项卡
- 双击基本约束。
- 确保选中Make this extension critical。
- 在密钥用法下：
- 确保选中Certificate Signing&CRL Signing。
- 取消选择数字签名。
- 确保Make this extension critical也在此处勾选。
- 选择Apply和OK
步骤 2：发布模板
1.返回到在上一个流程的步骤2中设置的MMC中，展开Certificate Authority部分。
2.在新展开的部分中，右键单击Certificate Templates文件夹，然后选择New > Certificate Template to Issue。
3.在新窗口中，选择在上一节中创建的证书模板的名称，然后选择确定。
CA现在已准备好促成请求。
步骤 3：下载并签署CSR
1.登录您的Umbrella Dashboard(https://dashboard.umbrella.com)。
2.导航到部署>配置>根证书。
3.选择角的添加(+)图标，并在新窗口中命名您的CA。
4.下载证书签名请求(CSR)。
5.在新浏览器选项卡中，导航到Active Directory证书服务的Web服务。(如果您使用本地计算机，则为127.0.0.1/certsrv/或类似。)
6.在新页面中，选择请求证书。
7.选择高级证书请求。
8.在已保存请求下，复制并粘贴您在第4步中下载的CSR的内容（必须使用文本编辑器将其打开）。
9.在Certificate Template下，选择您在“Preparing AD Certificate Services Template”部分创建的证书模板的名称，然后选择Submit。
10.请务必选择Base64 Encoded，然后选择Download Certificate，并记录.cer文件的位置。
步骤 4：上传已签名的CSR（和公共根证书）
1.在Umbrella Dashboard上，导航到Deployment > Configuration > Root Certificate。
2.选择您在上一部分步骤3中创建的根证书。
3.选择行右下角的Upload CA*。
4.选择top Browse按钮(证书颁发机构(签名CSR))。
5.浏览到在上一节中创建的.cer文件的位置，然后选择保存。
6.选择Next并选择您希望证书与一起使用的计算机/用户组（而不是Cisco根证书），然后选择Save。
*您也可以选择上传CA证书。可以从证书颁发机构服务器的Web界面(http://127.0.0.1/certsrv/)中检索此证书，然后选择下载CA证书、证书链或CRL。在Base 64中完成屏幕提示以“下载CA证书”。
反馈