ADCS从属CA:域是否自动信任根

Question

我在活动目录域中使用ADCS创建了一个从属的“企业”CA服务器。签署此从属CA证书的根CA不是windows域的一部分。

Q1:活动目录域是否会自动信任签署从属CA证书的根CA？Microsoft ADCS可以访问此根CA证书(当我将签名的从属证书加载到CA中时)，ADCS没有理由不将证书发送给所有域成员。

Q2:如果不是，让域成员信任根CA的规范/正确方法是什么？

Answer 1

您将需要导出根CA证书(如果根CA没有网络连接，则将其导出到USB棒上)。然后，您需要使用certutil -dspublish RootCACertificate RootCA将证书发布到AD。一旦完成此操作，所有加入域的计算机都将获得添加到其受信任根证书颁发机构列表中的证书，然后应该开始信任您的下属CA。