基於 Windows Server 2003 憑證服務，為安全無線解決方案（802.1X + EAP-TLS/PEAP）設計可擴展、可審計、合規的 PKI 體系。本文為系列首篇，確立需求基線、CA 拓撲決策、CPS/CPS 文檔化、客戶端分類模型。
設計目標：支撐當前無線、預留未來擴展
- 核心場景：無線客戶端（用戶/機器）認證、NPS/IAS 服務器認證、域控制器認證。
- 擴展預留：VPN/IPsec、Web/郵件/代碼簽名/智能卡/EFS/密鑰恢復等企業級 PKI 應用。
- 原則：簡單啟動、漸進增強、投資保護、合規就緒。
證書需求矩陣：當前與未來
| 應用場景 | 憑證類型 | 數量級 | 關鍵屬性 |
|---|
| 無線用戶認證 (EAP-TLS) | 用戶憑證 | 全體無線用戶 | EKU: 客戶端認證、智能卡登錄可選、自動註冊 |
| 無線機器認證 (EAP-TLS) | 機器憑證 | 全體無線設備 | EKU: 客戶端/服務器認證、SAN=DNS+UPN、自動註冊 |
| NPS/IAS 服務器認證 | 服務器憑證 (RAS and IAS Server / Web Server) | 所有 NPS 節點 | EKU: 服務器認證、SAN=FQDN+IP、私鑰可導出(備份) |
| 域控制器認證 | 域控制器憑證 / Kerberos 認證 | 林內所有 DC | 自動註冊、LDAPS、KDC 驗證 |
| VPN/IPsec 遠程接入 | 機器/用戶憑證 | 遠程辦公設備/人員 | 同無線模板複用或專用模板 |
| Intranet Web 服務器/用戶 | Web 服務器/用戶憑證 | 內部 Web 應用 | SAN 通配符、CTL 綁定 |
| EFS 文件加密/數據恢復 | 用戶 EFS / 恢復代理憑證 | 全體用戶/指定代理 | 密鑰歸檔、恢復代理強制歸檔 |
| S/MIME 安全郵件 | 用戶簽名/加密憑證 | 郵件用戶 | 雙金鑰對、密鑰歸檔 |
| 智能卡登錄 | 智能卡用戶憑證 | 強認證人員 | CSP/KSP、PIN 策略、PIV 兼容 |
| 代碼簽名 | 代碼簽名憑證 | 發布管理員 | EV 代碼簽名、時間戳服務 |
CA 層級拓撲決策：三層離線根架構（黃金標準）
┌─────────────────────────────────────┐
│ 離線根 CA (Root CA) │ ← 物理隔離、HSM 保護、每年 2-3 次上線簽發下級 CA
│ - 單一信任錨 │
│ - 無網絡連接、存放保險櫃 │
└──────────────┬──────────────────────┘
│ 簽發
┌──────────────▼──────────────────────┐
│ 離線策略 CA (Policy CA) │ ← 策略約束、名稱約束、應用策略限制、交叉認證錨點
│ - 可選，多林/跨組織信任時必需 │
└──────────────┬──────────────────────┘
│ 簽發
┌──────────────▼──────────────────────┐
│ 在線簽發 CA (Issuing CA) │ ← Win2022 Enterprise、域成員、高可用叢集
│ - 企業 CA（發布 AD、自動註冊） │
│ - 機器/用戶/NPS/DC/VPN/Web 模板 │
│ - CRL/OCSP 高可用發布 (HTTP+LDAP) │
│ - HSM 保護私鑰（可選，高價值環境） │
└─────────────────────────────────────┘
證書實施聲明 (CPS) 文檔化策略
- CP (Certificate Policy)：組織級策略文檔，定義「什麼場景用什麼憑證、什麼保證等級、法律效力」。
- CPS (Certification Practice Statement)：CA 級操作規範，定義「如何驗證身份、如何簽發/吊銷/續訂、如何審計/備份/應急」。
- 非正式 CPS：無法律強制要求時，內部文檔化關鍵決策（命名規範、密鑰長度、有效期、吊銷理由碼、審計日志保留），納入安全管理體系即可。
- 發布位置：CRL/OCSP 響應中 `cPS` 擴展指向 URL（HTTP/HTTPS），根 CA 憑證 `cRLDistributionPoints`/`authorityInformationAccess` 指向同一集合。
客戶端分類模型：最終實體 vs 依賴方
| 維度 | 最終實體 (Subject) | 依賴方 (Relying Party) |
|---|
| 定義 | 擁有憑證私鑰、Subject 欄位標識身份 | 驗證憑證、不擁有私鑰 |
| 典型角色 | 用戶、電腦、服務器、網絡設備、IoT 閘道 | NPS/RADIUS、Web 服務器、VPN 閘道、應用程序、其他用戶 |
| 關鍵操作 | 註冊、續訂、吊銷、簽名、解密、認證 | 路徑驗證、CRL/OCSP 查詢、CTL 檢查、策略映射 |
| 平台/位置 | Win/Mac/Linux/移動/嵌入式、內網/雲/邊緣 | 同上，通常為服務端集中部署 |
| 域成員身份 | 域成員(自動註冊) / 非域/非受信林/工作組 | 通常為域成員或受信林 |
本解決方案客戶端分類表（節選）
| 憑證類型 | 最終實體類別 | 平台 | 網絡位置 | 域狀態 | 核心操作 |
|---|
| 無線用戶認證 | 用戶 | Win10/11 | 內網/VPN | 域成員 | 自動註冊、EAP-TLS 認證 |
| 無線機器認證 | 電腦 | Win10/11 | 內網/VPN | 域成員 | 自動註冊、機器認證(用戶登錄前) |
| NPS 服務器認證 | 服務器 | Win2022 | 內網 | 域成員 | 手動/腳本請求、相互認證 |
| 域控制器認證 | DC | Win2022 | 內網 | 域成員 | 自動註冊、LDAPS/Kerberos |
下篇預告
《無線 LAN 安全 PKI 設計指南（二）：簽發 CA 硬件選型、多 CA 高可用權衡、HSM 保護私鑰、CA 安全加固（OS/物理/審計/角色委派）、根 CA 物理安全與安裝儀式》。