Windows 成员服务器上的 ADCS MSCA Proxy Gateway
在 Windows 成员服务器上部署 CA Proxy Gateway 并与 PKI Trust Manager 集成。
部署 PKI Trust Manager Microsoft CA Proxy Gateway
本教程介绍如何部署 PKI Trust Manager Microsoft CA / ADCS Proxy Gateway。ADCS Proxy Gateway 用于集成 PKI Trust Manager，在不直接暴露证书颁发机构的情况下提供后端访问。通过此集成，PKI Trust Manager 可使用 Microsoft Active Directory Certificate Authority 自动化证书生命周期管理。
1. 添加服务账户#
首先在 AD 域中添加服务账户，并按照组织标准配置域服务账户。该账户将用于运行 CA Proxy Gateway 服务，并作为 CA Manager。
2. 服务账户的组成员资格#
确保服务账户属于 IIS_IUsr 组；如果存在 CA Admin 组，也应将其加入。
3. 确认添加用户#
点击 OK 确认当前操作并继续。
4. CA Proxy 成员服务器#
在运行 CA Proxy Gateway 应用的成员服务器上，确认已安装 IIS Web Server。如果没有，请通过 Add Roles and Features 向导添加所需角色。
5. 选择角色安装选项#
选择 IIS Web Server 角色安装选项以继续。
6. 选择服务器#
选择要安装角色的服务器。
7. 启用 WCF 和 MSMQ Services#
展开 WCF Services 并启用 HTTP Activation。
8. InetPub 目录#
从 Securetron 网站下载 PKI Trust Manager CA Proxy Gateway 应用。将下载的 ZIP 文件解压到 inetpub 目录，并将文件夹命名为 caproxyapi。
9. 目录权限#
打开 caproxyapi 应用文件夹的属性，为之前创建的服务账户授予权限。
10. 授予服务账户权限#
在 Security 选项卡中添加服务账户，并为其分配完全控制权限。
11. 编辑 Web.Config 文件#
在 caproxyapi 文件夹中，使用文本编辑器修改 Web.Config 文件。
12. Web.Config 中的 AppSettings 部分#
进入 App Settings，修改 CAStore、CAConfig 和 LogPath 对应的前三行。
13. Web.Config — CA 证书#
将 ISSUING CA 证书和 CA CHAIN 的 .PEM 文件手动复制到 CA 文件夹。可从 Certificate Trust Store 或 CA 获取。两个文件分别为：cacert.crt（签发 CA）和 cachain.crt（ROOT 加下级 CA）。
14. Web.Config — CA 配置#
"CA Config" 是在目标 CA 上运行 certutil 后输出的 "Config" 参数，CA Proxy App 将连接到该 CA。该值通常由 FQDN、反斜杠和 CA 名称组成。
15. Web.Config — 日志路径#
最后需要配置 Log Path。默认值是 logs 子目录。如果日志目录位于其他位置，请在此填写其路径。还要确保服务账户对此目录具有完全权限。
16. 右键点击界面元素#
在 IIS Server Manager 中添加 CA Proxy App。右键点击 Sites。
17. IIS Web Server — 添加新网站#
点击 Add Website，使用 IIS Server Manager 创建新网站配置。
18. 配置 Proxy App 网站路径#
添加 CA Proxy App 路径；本例中为 c:\inetpub\caproxyapi。
19. 添加 Proxy App 网站 DNS/URL 名称#
添加网站 DNS/URL。您可能需要在 DNS 服务器上添加 DNS 记录，使其指向该网站。
20. 保存设置#
点击 OK 确认设置并继续。
21. 应用程序池#
在 Application Pools 下，右键点击新创建的 CA Proxy API 网站。
22. 应用程序池 — 高级设置#
选择 Advanced Setting。
23. 应用程序池 — 身份#
在 Advanced Settings 中，将 Identity 替换为之前创建的服务账户。
24. 确认应用健康状态#
点击 Response 查看响应详情。
配置所需的角色、功能和网站设置后，您已成功部署 PKI Trust Manager Microsoft CA / ADCS Proxy Gateway。请通过检查配置并访问 Response 部分来验证部署。更多信息请访问我们的网站或联系支持团队。