目录

简介

先决条件

要求

使用的组件

概述

证书字符串编码

步骤 1：准备AD证书服务模板

步骤 2：发布模板

步骤 3：下载并签署CSR

步骤 4：上传已签名的CSR（和公共根证书）

简介

本文档介绍使用Microsoft Windows Active Directory(AD)证书服务创建自定义根证书的说明。

先决条件

要求

Cisco 建议您了解以下主题：

- Microsoft当前支持的Microsoft Windows Server版本

- Windows Server上安装的Active Directory证书服务

- 具有Active Directory证书服务和Web服务/Web注册服务角色的帐户

- 配置为使用UTF-8编码(“UTF8STRING”)颁发证书的证书服务

使用的组件

本文档中的信息基于Cisco Umbrella。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

概述

本文包含有关使用Microsoft Windows Active Directory证书服务创建自定义根证书(用于代替标准Cisco Umbrella根CA证书)，然后使用该根证书签署来自Umbrella的客户CA签名的CA证书功能的证书签名请求(CSR)的说明。

证书字符串编码

如果您的证书服务配置为使用默认编码(“PRINTABLESTRING”)，则生成的证书链无法被某些Web客户端（最明显的是Firefox）信任。

Cisco Umbrella安全Web网关代理使用证书链，该证书链使用UTF8STRING编码对字符串进行编码。如果签署CSR以创建Cisco Umbrella客户CA中间证书的颁发证书（例如，根证书）使用PRINTABLESTRING编码，则Cisco Umbrella客户CA证书的Subject字段的编码为PRINTABLESTRING。此编码无法与Cisco Umbrella R1 CA中间证书（证书链中的下一项）中的Issuer字段的UTF8STRING编码匹配。

RFC 5280 Section 4.1.2.6要求证书链在已颁发证书的Issuer字段与颁发证书的Subject字段之间保持相同的字符串编码：

"如果证书的主题是CA，则主题字段的编码方式必须与主题CA颁发的所有证书中颁发者字段（第4.1.2.4节）的编码方式相同。"

许多浏览器不执行此要求，但某些浏览器（最明显的是Firefox）会执行此要求。因此，当使用具有客户CA签名的CA证书功能的安全Web网关(SWG)时，Firefox等Web客户端可能会生成不受信任的站点错误，并且不会加载网站。

要解决此问题，请使用不执行RFC 5280要求的浏览器（如Chrome）。

步骤 1：准备AD证书服务模板

1.导航到开始>运行> MMC，打开Active Directory证书颁发机构MMC。

2.选择文件>添加/删除管理单元，然后添加证书模板和证书颁发机构管理单元。选择“确定”。

3.展开证书模板，然后右键单击从属证书颁发机构。单击复制模板。

现在您可以创建一个自定义证书模板，以符合Umbrella文档中列出的要求。

以下是本文创建时详细介绍的要求：

- General 选项卡

- 请为模板指定一个对您有意义的名称。

- 将有效期设置为35个月（三年减去一个月）。

- 将续约期间设置为20天。

- Extensions选项卡

- 双击基本约束。

- 确保选中Make this extension critical。

- 在密钥用法下：

- 确保选中Certificate Signing&CRL Signing。

- 取消选择数字签名。

- 确保Make this extension critical也在此处勾选。

- 选择Apply和OK

步骤 2：发布模板

1.返回到在上一个流程的步骤2中设置的MMC中，展开Certificate Authority部分。

2.在新展开的部分中，右键单击Certificate Templates文件夹，然后选择New > Certificate Template to Issue。

3.在新窗口中，选择在上一节中创建的证书模板的名称，然后选择确定。

CA现在已准备好促成请求。

步骤 3：下载并签署CSR

1.登录您的Umbrella Dashboard(https://dashboard.umbrella.com)。

2.导航到部署>配置>根证书。

3.选择角的添加(+)图标，并在新窗口中命名您的CA。

4.下载证书签名请求(CSR)。

5.在新浏览器选项卡中，导航到Active Directory证书服务的Web服务。(如果您使用本地计算机，则为127.0.0.1/certsrv/或类似。)

6.在新页面中，选择请求证书。

7.选择高级证书请求。

8.在已保存请求下，复制并粘贴您在第4步中下载的CSR的内容（必须使用文本编辑器将其打开）。

9.在Certificate Template下，选择您在“Preparing AD Certificate Services Template”部分创建的证书模板的名称，然后选择Submit。

10.请务必选择Base64 Encoded，然后选择Download Certificate，并记录.cer文件的位置。

步骤 4：上传已签名的CSR（和公共根证书）

1.在Umbrella Dashboard上，导航到Deployment > Configuration > Root Certificate。

2.选择您在上一部分步骤3中创建的根证书。

3.选择行右下角的Upload CA*。

4.选择top Browse按钮(证书颁发机构(签名CSR))。

5.浏览到在上一节中创建的.cer文件的位置，然后选择保存。

6.选择Next并选择您希望证书与一起使用的计算机/用户组（而不是Cisco根证书），然后选择Save。

*您也可以选择上传CA证书。可以从证书颁发机构服务器的Web界面(http://127.0.0.1/certsrv/)中检索此证书，然后选择下载CA证书、证书链或CRL。在Base 64中完成屏幕提示以“下载CA证书”。