在Windows上自动请求个人证书

Question

我的任务是在我们的域中创建一个Windows 2012证书颁发机构(CA)，并使用它为我们的用户创建一个个人证书。证书的目的是能够签署PDF文件。

我已经创建了CA，并创建了一个名为"PDF签名“的新模板，并提供了我需要的所有选项。现在剩下的唯一的事情就是为我们的用户创建证书。

到目前为止，我已经看到了3种这样做的方法：

1. 运行certmgr，右键单击“个人->证书”并请求证书。按照向导并选择"PDF签名“模板。我不知道这种方法是否要求用户是管理员。
2. 安装“web注册角色”功能，并将用户指向网站。具有讽刺意味的是，我发现UI比certmgr中的用户界面更复杂。
3. 命令行版本(certreq)

有办法使这个过程自动化吗？命令行版本需要一个.ini文件并提供密码，这将使自动化更加复杂。

我是否无法解释用户如何使用certmgr？我们的用户没有任何特权，甚至本地管理员也没有。还是我还没见过别的方法呢？

Answer 1

此特性称为证书自动注册：配置证书自动注册

请注意:不要使用网络注册，它是过时的，有非常和非常有限的功能。

编辑:这是自动注册的工作方式。

1. 每次在客户端上刷新组策略(在域成员上，大约每90分钟+/-，在域控制器上则是15或5分钟，取决于功能级别)，它会触发自动注册。
2. 自动注册检查Active中的所有证书模板，并选择当前用户帐户(或组)具有读取和自动注册权限的证书模板。
3. 自动注册在Active林中定位可用的Enterprise，并检查CA是否支持步骤2中选择的证书模板。
4. 自动注册检查本地证书存储，并根据步骤3中选择的模板检查是否存在有效证书。如果缺少证书，自动注册将执行无声证书注册。

尽管逻辑更复杂，但这些信息足以让您了解模板是如何选择的，换句话说，就是通过CA服务器上的权限和证书模板可用性。