如何使用 PKI Trust Auditor 审计 Active Directory Certificate Authority (ADCS) / Microsoft CA

本指南介绍如何使用 PKI Trust Auditor 审计 Active Directory Certificate Authority、执行全面审计并查看报告。

1. 前提条件

开始前请准备：

1. 从 securetron.net 免费下载 PKI Trust Auditor。
2. 使用具备 Active Directory 和 CA 所需访问权限的帐户。原指南提到 Domain Admin 或 Enterprise Admin；请参阅 PKI Trust Auditor 权限文档并遵循最小权限原则，仅在确有需要时使用高权限帐户。

2. 解除 PowerShell 脚本阻止

在 `helper` 文件夹中，确认两个 PowerShell 脚本已解除阻止，以便审计工具正常运行。

3. 运行 PKI Trust Auditor

使用适当权限在 PowerShell 中运行 PKI Trust Auditor 工具。

4. PKI Trust Auditor 主菜单

审计工具将显示包含多个选项的交互菜单。详情请参阅文档。本流程使用选项 1 执行完整审计，使用选项 3 查看报告。

5. 执行完整 ADCS 审计

选择选项 1：输入 `1` 并按 Enter。

6. MSCA 审计运行状态

审计将启动，并在执行期间显示状态消息。

7. 审计报告

有两种方式查看审计结果：

• 选项 2 在 PowerShell 中显示结果，便于管理员快速确认修复是否解决了某项发现。
• 选项 3 生成完整的 Web UI 报告，可与管理层分享，并包含供管理员查看的详细内容。

8. Certificate Authority 图形报告

输入 `3` 并按 Enter，在浏览器中打开图形报告。

9. PKI Trust Auditor Web UI 审计结果

Web 报告可查看摘要和详细发现项。

10. 报告摘要

单击 View Summary 打开摘要。

11. PKI Trust Auditor 摘要页

摘要页将发现结果按不同部分组织，方便查看重点内容。

12. 总体合规情况

显示 PKI 基础设施的合规率。

13. Certificate Authority

显示在已发现和已审计的证书颁发机构中，发现项的分布情况。

14. 类别

按类别汇总发现项。

15. 统计信息

显示统计数据，包括基础设施控制执行所需时间。

16. 严重问题

突出显示已发现的严重问题，便于优先处理。

17. 打开详细报告

打开详细报告，全面分析证书颁发机构审计发现项。

18. PKI Trust Auditor 图形详细报告

详细报告页展示审计发现项，并允许筛选、查看和跟进处理。

19. 详细报告筛选项

可以按以下条件筛选发现项：

• Certificate Authority：指定的 CA。
• Status：差距或控制状态。
• Severity：严重程度。
• Search：发现项名称或 Control ID。

24. 详细发现项列表

报告列出所有已审计控制，并显示其状态、严重程度和类别。

25. 发现项信息

展开某项控制后，可以查看其他信息，包括相关 Certificate Authority、预期结果和发现时间戳。

26. 证据

Evidence 部分提供发现详情、要求、控制状态及观察到的配置。

27. 建议

Recommendation 部分提供修复发现项、降低相关风险的指导和步骤。

按照这些步骤，可以使用 PKI Trust Auditor 审计 Active Directory Certificate Authority 并检查审计发现项。更多信息请参阅相关 PKI 文档，或联系支持团队。