如何在OSX或Linux上请求Microsoft上的CEP / CES证书？

Question

此文章描述如何请求证书。来自非域windows计算机的AD (Active证书服务).

我认为同样的原则适用于非微软操作系统，也可以通过OSX或Linux进行同样的注册。

问题

• 如何从OSX/Linux上的AD请求证书？
• 或者有人能告诉我AD CS服务是如何工作的(非常详细)，这样我就可以开发一个替代解决方案了吗？

Answer 1

我意识到这有点老了，但是现在有一个解决方案，使用色商 + cepces。如果您想要自动注册，可以使用在Samba中配置组策略和证书自动注册 (仅在Samba 4.15+中可用)。

对于一个简单的设置，您可以安装色商和cepces，然后为您的环境修改/etc/cepces/cepces.conf。对于典型的配置，只需将server参数设置为Windows的dns名称即可。

rpm规范应该运行一个将CA添加到certmonger的脚本。如果没有，那么使用getcert add-ca -c cepces -e /usr/libexec/certmonger/cepces-submit添加它。

然后您可以请求您的证书，例如：

# getcert request -c cepces -T Machine -I MachineCertificate -k /etc/pki/tls/private/machine.key -f /etc/pki/tls/certs/machine.crt
New signing request "MachineCertificate" added.

Answer 2

ADCS注册Web使用两种通信协议：[MS-XCEP]和[MS-WSTEP] ( [WS-信托]协议的微软实现)。

CEP (implements undefined)是一种注册策略服务，用于：

1. 为注册提供客户端证书模板。
2. 提供证书注册服务(CES)

CES (实现MS-WSTEP)是一种注册服务，用于：

1. 提交证书请求
2. 检索已签发的证书
3. 代表(EOBO)功能提供注册

可以应用相关的协议规范(例如MS-ADTS和MS-CERTD )。

我不知道Linux的任何兼容客户端，但是苹果MacOS和iOS有一个兼容模块：http://www.zevainc.com/index.php/productsandtools/licensed-products/item/91-certdeploy

Answer 3

如何从OSX/Linux上的AD请求证书？

如果不需要自动化，那么只需使用"Active证书服务Web注册“即可。这是一个简单的小web应用程序，它允许你粘贴任意的CSR。它不在乎它们是否源自Windows操作系统。

windows管理员将不得不手动批准或拒绝CSR，然后找到一种方法为您提供新创建的证书。因此，这仅适用于低容量吞吐量。

此处列出的基本单击：http://www.whitneytechnologies.com/?p=218