核心概念：金鑰與電子憑證

• 對稱金鑰：Kerberos，雙方同一把鑰，速度快但金鑰分發難
• 非對稱金鑰 (PKI)：公鑰加密/驗簽，私鑰解密/簽名，適合 Internet 環境
• CA (Certification Authority)：受信任第三方，核發綁定「身份+公鑰」的數位憑證
• SSL/TLS：使用憑證建立加密通道，https:// 取代 https://

建立企業 CA 完整步驟

1. 安裝憑證服務

控制台 → 新增/移除程式 → 新增/移除 Windows 元件 → 憑證服務 → 詳細資訊 → 勾選：

• 憑證服務 Web 註冊支援
• 憑證服務核發機構 (CA)

警告：安裝後電腦名稱與網域不可變更。

2. 選擇 CA 類型

類型	特點	適用場景
企業根 CA	需 Active Directory、自動核發、策略不可變、最高信任	企業內部、AD 整合環境
獨立根 CA	不需 AD、可人工審核核發/擱置、彈性高	對外服務、DMZ、無 AD 環境
從屬 CA	需向上級 CA 請求憑證、不獨立	多層級 PKI 架構

3. 進階設定

• CA 名稱、單位、城市、Email、有效期限
• CSP（加密服務提供者）、雜湊演算法、金鑰長度（依安全需求與運算能力權衡）
• 資料庫與日誌路徑

憑證服務管理與自動化

企業根 CA

• 管理工具 → 憑證核發機構 → 原則設定 → 新增憑證範本（經過驗證的會話、程式碼簽章、註冊代理等）
• Active Directory 站台與服務 → 公開金鑰服務 → 憑證範本 → 指定使用者/權限
• 網域安全性原則 → 公開金鑰原則 → 自動憑證要求設定 → 自動化

獨立根 CA

• 核發機構屬性 → 原則模組 → 設定「擱置，管理員核發」
• 手動核發/拒絕擱置請求、撤銷已核發憑證

實戰：IIS 目錄 SSL 雙向驗證

1. IIS 管理員 → 預設網站 → 內容 → 目錄安全性 → 伺服器憑證 → 建立新憑證請求 → 送至本機 CA
2. CA 核發後，IIS 匯入憑證
3. 目錄安全性 → 安全通訊 → 編輯 → 勾選「要求安全通道 (SSL)」、「接受用戶憑證」
4. 用戶端：IE 連至 https://CA伺服器/certsrv 申請瀏覽器憑證 → 安裝 CA 憑證 → 安裝個人憑證 → IE 進階選項啟用 PCT/SSL/TLS
5. 以 https:// 存取受保護目錄，提示選擇用戶憑證，驗證通過即可存取

架構擴展：非 CA 伺服器部署 Web 註冊頁

安裝憑證服務時取消核發機構、保留 Web 註冊支援，指定 CA 伺服器名稱，即可將註冊介面前置於 DMZ，保護核心 CA。

結語

Windows 2000 憑證服務提供完整 PKI 基礎設施，從 CA 建立、憑證生命週期管理到 SSL 雙向驗證，支援企業級電子商務安全需求。關鍵在於：根 CA 實體隔離、嚴格核發策略、自動化管理、憑證撤銷機制。