接續上集：CA 核發與 IIS 完成綁定
1. 管理工具核發擱置憑證
- 開啟「憑證核發機構」管理單元
- 展開 CA 名稱 → 「擱置的要求」
- 右鍵剛提交的要求 → 「所有工作」 → 「核發」
2. IIS 匯入已核發憑證
- IIS → 網站內容 → 目錄安全性 → 伺服器憑證
- 精靈選「處理擱置的要求並安裝憑證」
- 完成後，網站已具備 SSL 能力
3. 啟用用戶端憑證雙向驗證
- 網站內容 → 目錄安全性 → 安全通訊 → 編輯
- 勾選：要求安全通道 (SSL)、要求用戶端憑證（或「接受用戶端憑證」視需求）
- 對應至 Windows 帳號對應（一對一/多對一）
用戶端憑證申請與安裝
- 用戶端 IE 連至
https://CA主機/certsrv
- 申請「瀏覽器憑證」 → 送出 → 等待核發（視 CA 策略）
- 核發後 → 「擷取 CA 憑證/憑證撤銷清單」 → 「安裝此 CA 憑證路徑」
- 再次連至 certsrv → 「安裝此憑證」 → 完成個人憑證匯入
- IE → 工具 → 網際網路選項 → 進階 → 勾選 PCT 1.0、SSL 2.0/3.0、TLS 1.0
驗證測試
- 以
https:// 存取受保護目錄
- 瀏覽器彈出「選擇用戶端憑證」對話框
- 選擇個人憑證 → 連線成功，顯示內容
- 無憑證/憑證錯誤 → 存取被拒（HTTP 403.7/403.16/403.17）
進階部署：DMZ 前置註冊伺服器
為保護核心 CA，可在 DMZ 部署僅含「Web 註冊支援」的註冊伺服器：
- 安裝憑證服務 → 取消核發機構、保留 Web 註冊支援
- 指定核心 CA 電腦名稱
- 用戶端連至 DMZ 註冊伺服器申請，實際核發由內網 CA 完成
結語
SSL 雙向驗證實現「伺服器身份認證 + 用戶端身份認證 + 通道加密」三重保障。Windows 2000 憑證服務提供完整生命週期管理，配合 IIS 原生整合，是企業內部/對外服務的最佳選擇。