使用组策略为域中计算机配置受信任证书颁发机构

简介:

配置受信任证书颁发机构

如果网站的安全要求高,可以配置Web站点使用HTTPS协议访问,HTTPS协议可以实现Web站点和客户端之间进行安全通信(SSL),同时也可以向客户端出示Web站点证书,这样也可以确保该网站不可被冒充。

为了防止证书被假冒,Web站点出示的证书必须是证书颁发机构颁发,客户端必须信任证书颁发机构,如果Web站点出示的证书客由不信任的证书颁发机构颁发的,则出示安全警告。

计算机在安装操作系统是就已经将Internet上知名的证书颁发机构的证书放到了受信任的证书颁发机构。因此Internet上的Web站点如果出示的证书由这些证书颁发机构颁发的,客户端能够使用受信任的证书颁发机构的证书验证Web证书是否仿造。

以下示例将演示使用组策略配置域用户信任某个证书颁发机构。

3.17.1示例:使用组策略管理受信任的证书颁发机构

本示例将会演示用户访问石家庄商业银行网站,查看网站出示的证书,找到为该网站颁发证书的证书颁发机构。

然后使用https协议访问一个网站,该网站出示的证书由合作伙伴的证书颁发机构颁发,由于不信任证书颁发机构,出现安全提示。

现在你需要使用组策略统一配置,使域用户信任合作伙伴的证书颁发机构。这样再访问时就不出现安全提示了。

任务:

u 使用https访问银行Web站点

u 查看网站出示的证书以及颁发该证书的证书颁发机构

u 查看默认用户受信任的证书颁发机构

u 访问由不受信任证书颁发机构颁发的证书的Web站点

u 使用组策略配置域受信任根证书颁发机构

u 验证配置

步骤:

1. 如图3-387所示,在eduPC上,打开IE浏览器,输入http://www.sccb.com.cn/访问石家庄市商业银行的网站。

2. 如图3-388所示,点击“个人网上银行”,重定向到https://www.sccb.com.cn/perbank/logon_pro.jsp,点击clip_image001[1],可以看到网站标识,提示与该服务器的链接是加密的,点击“查看证书”。

clip_image003[1]clip_image004

图 3-387 访问银行网站 图 3-388 查看网站出示的证书

3. 如图3-389所示,在出现的证书对话框,在常规标签下,可以看到证书的目的,颁发者和颁发给以及有效期。

4. 如图3-390所示,在证书对话框,在证书路径标签下,可以看到根证书颁发机构和子证书颁发机构。用户只要信任根证书颁发机构即可。点中根证书颁发机构的证书,点击“查看证书”。

clip_image005clip_image006

图 3-389 证书详细信息 图 3-390 证书路径

5. 如图3-391所示,在出现的证书对话框,可以看到根证书颁发机构的信息。

6. 如图3-392所示,访问https://mail.edu2act.org该网站是合作伙伴的网站,出现提示:此网站的安全证书有问题,点击“继续浏览此网站”。

clip_image007clip_image008

图 3-391 根证书颁发机构证书 图 3-392 安全提示

7. 如图3-393所示,可以看到证书错误提示,点击“证书错误”,出现对话框,提示:不受信任的证书,点击“查看证书”。

8. 如图3-394所示,在出现的证书对话框,在常规标签下,可以看到颁发者为edu2act-BDC-CA。以下步骤将会使用组策略配置域中的计算机信任该证书颁发机构,使用户访问该网站不再出现安全警告。

clip_image009clip_image010

图 3-393 查看证书 图 3-394 查看证书颁发者

9. 如图3-395所示,在DCServer上,访问edu2act-BDC-CA证书颁发机构的网站,http://bdc.edu2act.org/certsrv,点击“下载CA证书、证书链或CRL”。

10. 如图3-395所示,在出现的新页面,点击“下载CA证书”。

clip_image011clip_image012

图 3-395 下载CA证书 图 3-396 下载CA证书

11. 如图3-396所示,在出现的文件下载对话框,点击“保存”,下载完成后点击“关闭”。默认下载路径是C:\Users\Administrator\Downloads。

12. 如图3-397所示,打开组策略管理工具,右击ess.com域上链接的组策略Default Domain Policy,点击“编辑”。

clip_image013clip_image014

图 3-397 下载CA证书 图 3-398 编辑组策略

13. 如图3-399所示,在出现的组策略管理编辑器对话框,右击“计算机配置”à“策略”à“Windows设置”à“安全设置”à“公钥策略”à“受信任的根证书颁发机构”,点击“导入”。

14. 如图3-400所示,在出现的欢迎使用证书导入向导对话框,点击“下一步”。

clip_image015clip_image016

图 3-399 导入证书 图 3-400 导入证书

15. 如图3-401所示,在出现的要导入的文件对话框,浏览到下载的证书颁发机构的证书,点击“下一步”。

16. 如图3-402所示,在出现的证书存储对话框,选择“将所有证书放入下列存储”,点击“下一步”。

clip_image017clip_image018

图 3-401 浏览CA证书 图 3-402 选择证书存储位置

17. 如图3-403所示,在出现的正在完成证书导入向导对话框,点击“完成”,在出现的导入成功对话框点击“确定”。

18. 如图3-404所示,在eduPC1上,使用gpupdate /force刷新组策略。

clip_image019clip_image020

图 3-403 导入成功 图 3-404 刷新组策略

19. 如图3-405所示,再次访问https://mail.edu2act.org,可以注意到不出现安全警告。

20. 如图3-406所示,点击clip_image021[1],在出现的网站标识对话框,点击“查看证书。”

21. 如图3-407所示,在出现的证书对话框,在证书路径标签下,可以看到是哪个根证书颁发机构颁发给网站的证书。

clip_image022clip_image023

图 3-405 查看证书 图 3-406 查看证书路径

22. 如图3-407所示,点击IE浏览器“工具”à“Internet选项”。

23. 如图3-408所示,在出现的Internet选项对话框,在内容标签下,点击“证书”。

clip_image024clip_image025

图 3-407 打开Internet选项 图 3-408 查看证书

24. 如图3-409所示,在出现的证书对话框,在受信任的根证书颁发机构标签下,可以看到组策略配置的edu2act-BDC-CA和为石家庄市商业银行网站颁发证书的根证书颁发机构Entrust Root Certification Authority,该证书颁发机构在装系统时就已经在计算机的受信任的根证书颁发机构了,所以不用配置信任就能够信任。

clip_image026

图 3-409 查看受信任的根证书颁发机构



本文转自 onesthan 51CTO博客,原文链接:http://blog.51cto.com/91xueit/1134015,如需转载请自行联系原作者

相关文章
|
8月前
|
安全 Java Android开发
DigiCert代码签名证书
DigiCert代码签名证书
141 0
|
Web App开发 存储 安全
|
1月前
|
弹性计算 运维 安全
给一个用户颁发证书
【4月更文挑战第30天】
13 0
|
1月前
|
存储 弹性计算 运维
给多个用户颁发证书
【4月更文挑战第30天】
9 1
|
6月前
|
安全 网络安全 数据安全/隐私保护
Globalsign证书
Globalsign证书
51 0
|
8月前
|
安全 网络安全 数据安全/隐私保护
什么是Sectigo证书?
什么是Sectigo证书?
140 0
|
10月前
|
Go
使用certstrap快速生成自签名证书
使用certstrap快速生成自签名证书
247 0
|
网络安全
SSL证书不受信任怎么办?
 随之愈来愈多的ssl证书错误的状况出現,大伙儿都是有ssl证书不受信任怎么办这类的难题,而且对这种难题很头痛,下边将带大伙儿解析一下ssl证书不受信任的缘故及解决方案。
232 0
|
Web App开发 网络协议 网络安全
使用mkcert工具生成受信任的本地SSL证书
使用mkcert工具生成受信任的本地SSL证书
440 0
|
安全 数据安全/隐私保护
沃通SMIME电子邮件证书申请指南
沃通S/MIME电子邮件证书是全球信任的基础级(Class 1)电子邮件证书,遵循S/MIME安全电子邮件协议,实现电子邮件签名和加密,具有验证发件邮箱真实性、保护电子邮件内容机密性和完整性等功能,防止电子邮件信息泄露、内容篡改、发件方身份仿冒、钓鱼邮件等邮件安全风险
167 0

热门文章

最新文章

相关实验场景

更多