簡介
本文檔介紹使用Microsoft Windows Active Directory(AD)證書服務建立自定義根證書的說明。
必要條件
需求
思科建議您瞭解以下主題：
- Microsoft當前支援的Microsoft Windows Server版本
- Windows伺服器上安裝的Active Directory證書服務
- 具有Active Directory證書服務和Web服務/Web註冊服務角色的帳戶
- 配置為使用UTF-8編碼(「UTF8STRING」)頒發證書的證書服務
採用元件
本檔案中的資訊是根據Cisco Umbrella。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
概觀
本文包含使用Microsoft Windows Active Directory證書服務建立自定義根證書(用於代替標準Cisco Umbrella根CA證書)，然後使用該根證書從Umbrella的客戶CA簽名的CA證書功能簽署證書簽名請求(CSR)的說明。
證書字串編碼
如果您的憑證服務設定為使用預設編碼(「PRINTABLESTRING」)，則產生的憑證鏈不能由某些Web使用者端（最明顯的是Firefox）信任。
Cisco Umbrella安全Web閘道代理使用使用UTF8STRING編碼字串的憑證鏈結。如果您的簽署憑證（例如根憑證）簽署CSR以建立Cisco Umbrella客戶CA中間憑證時使用PRINTABLESTRING編碼，則Cisco Umbrella客戶CA憑證的Subject欄位的編碼為PRINTABLESTRING。此編碼無法與Cisco Umbrella R1 CA中間證書中Issuer欄位的UTF8STRING編碼匹配，該欄位位於證書鏈的下一個。
RFC 5280第4.1.2.6節要求憑證鏈結在已發行憑證的Issuer欄位與發行憑證的Subject欄位之間維持相同的字串編碼：
"如果證書的主題是CA，則主題欄位的編碼方式必須與主題CA頒發的所有證書中頒發者欄位（第4.1.2.4節）的編碼方式相同。"
許多瀏覽器不執行此要求，但有些瀏覽器（最明顯的是Firefox）會執行此要求。因此，將安全Web閘道(SWG)與客戶CA簽名的CA憑證功能配合使用時，Firefox等Web使用者端可能會產生不受信任的站點錯誤，且不會載入網站。
要解決此問題，請使用不執行RFC 5280要求的瀏覽器（例如Chrome）。
步驟 1:準備AD證書服務模板
1.導航到開始>運行> MMC，開啟Active Directory證書頒發機構MMC。
2.選擇檔案>新增/刪除管理單元，然後新增證書模板和證書頒發機構管理單元。選擇OK。
3.展開證書模板，然後按一下右鍵下屬證書頒發機構。按一下複製模板。
現在，您可以建立一個自定義證書模板，以符合Umbrella文檔中列出的要求。
以下是本文建立時詳細介紹的要求：
- 「常規」頁籤
- 請為模板指定一個對您有意義的名稱。
- 將「有效期」設置為35個月（3年減一個月）。
- 將續訂期間設置為20天。
- 擴展選項卡
- 按兩下「Basic Constraints(基本約束)」。
- 確保選中Make this extension critical。
- 在金鑰用法下：
- 確保選中Certificate Signing&CRL Signing。
- 取消選擇數位簽章。
- 確保在此處也勾選此擴展為關鍵。
- 選擇Apply和OK
步驟 2:發佈模板
1.返回到在上一個進程的步驟2中設定的MMC中，展開Certificate Authority部分。
2.在新展開的部分中，按一下右鍵Certificate Templates資料夾，然後選擇New > Certificate Template to Issue。
3.在新視窗中，選擇在上一節中建立的證書模板的名稱，然後選擇確定。
CA現在已準備好協助該請求。
步驟 3:下載並簽名CSR
1.登入您的Umbrella Dashboard(https://dashboard.umbrella.com)。
2.導航到部署>配置>根證書。
3.選擇角中的Add(+)圖示，並在新視窗中命名您的CA。
4.下載憑證簽署請求(CSR)。
5.在新瀏覽器頁籤中，導航到Active Directory證書服務的Web服務。(如果您使用的是本地電腦，則應為127.0.0.1/certsrv/或類似設定。)
6.在新頁面中，選擇請求證書。
7.選擇Advanced Certificate Request。
8.在已儲存的請求下，複製並貼上您在步驟4中下載的CSR的內容（您必須使用文字編輯器將其開啟）。
9.在「Certificate Template」下，選擇在「Preparing AD Certificate Services Template」部分中建立的證書模板的名稱，然後選擇Submit。
10.請務必選擇Base64 Encoded，然後選擇Download Certificate，並記下.cer檔案的位置。
步驟 4:上傳簽名的CSR（和公共根證書）
1.在Umbrella Dashboard上，導航到Deployment > Configuration > Root Certificate。
2.選擇您在上一節的步驟3中建立的根證書。
3.選擇行右下角的Upload CA*。
4.選擇頂端瀏覽按鈕(證書頒發機構（簽名的CSR）)。
5.瀏覽到在上一節中建立的.cer檔案的位置，然後選擇Save。
6.選擇下一步，然後選擇要將證書用於其中的電腦/使用者組（而不是思科根證書），然後選擇儲存。
*您也可以選擇上傳CA憑證。可以從證書頒發機構伺服器的Web介面(http://127.0.0.1/certsrv/)中檢索該證書，然後選擇下載CA證書、證書鏈或CRL。完成螢幕提示在Base 64中「下載CA證書」。
意見