PKI Trust Auditor：ADCS 安全评估管理员指南
介绍如何使用 PKI Trust Auditor 发现证书颁发机构，并审计 ADCS 模板、配置、加密和运维状态。
PKI Trust Auditor：ADCS 安全评估管理员指南
PKI Trust Auditor 可发现和评估 Active Directory Certificate Services (ADCS) 基础设施，并生成安全状况证据和报告。本页概述主要功能和审计流程；完整的控制和参数参考请参阅 PKI Trust Auditor 用户指南。
主要功能
- 自动发现 Active Directory 中的证书颁发机构。
- 执行连接、配置、模板、加密、运维和权限审计。
- 生成 JSON、CSV、Web 和控制台报告。
- 提供带颜色标记的交互式控制台菜单。
- 通过 `parameters.json` 配置，并为每项控制生成详细证据文件。
- 提供带可视化内容的交互式 Web 应用程序。
前提条件
- .NET 9.0 或更高版本运行时。
- 能够连接 Active Directory 的 Windows 环境。
- 具有文档所需最低权限的域帐户，用于读取 Active Directory 并通过 WMI/PowerShell remoting 查询 CA。
- 能够连接 CA 服务器。文档列出的 TCP 端口包括 135 (WMI) 和 5985/5986 (WinRM)。
遵循最小权限原则；除非确有需要并经过批准，否则不要使用 Domain Admin 或 Enterprise Admin 权限运行审计。
快速入门
运行 `PKI_Trust_Auditor.exe` 打开交互菜单。菜单包含完整审计、CLI 摘要、WebUI 报告、CA 发现，以及连接、配置、运维、加密和模板专项测试。
也可从命令行运行指定操作：
- 帮助：
PKI_Trust_Auditor.exe --help - 完整审计：
PKI_Trust_Auditor.exe --tests full - 配置审计：
PKI_Trust_Auditor.exe --tests config - 加密审计：
PKI_Trust_Auditor.exe --tests crypto - 模板审计：
PKI_Trust_Auditor.exe --tests templates - 连接测试：
PKI_Trust_Auditor.exe --tests connectivity - 启动 Web 报告：
PKI_Trust_Auditor.exe --report - 清除缓存：
PKI_Trust_Auditor.exe --clear - 显示版本：
PKI_Trust_Auditor.exe --version
parameters.json 配置
使用 `parameters.json` 自定义审计行为。文档中的参数示例包括：
- `DomainOverride`：域 DN，例如 `DC=yourdomain,DC=com`。
- `CA-CRYPTO-001`：最小密钥长度；示例值为 2048 位。
- `CA-CRYPTO-002`：禁止的算法列表，例如 MD5、SHA1、DES、RC4 和 3DES。
- `CA-TEMPLATE-001`：启用模板限制验证。
- `CA-OPS-002`：证书到期限制。
请检查示例值，并根据组织的加密和合规要求进行调整。
审计领域
连接
测试 WMI/SMB、PowerShell remoting 和用户权限 (PKI-TEST-001 至 PKI-TEST-003)。
配置
检查 CA 注册表、模板、Authority Information Access (AIA)、CRL 分发点、CAPolicy.inf 和 PowerShell 模板导出 (CA-CONFIG-001 至 CA-CONFIG-006)。
运维
检查 CertSvc 服务、CA 证书到期与扩展、AIA/CDP/CRL 可达性、下载和审计筛选器 (CA-OPS-001 至 CA-OPS-009)。
模板和加密
验证模板限制和标志、密钥大小、架构版本和 CSP；检查 CA 证书密钥长度、弱算法、EKU 和 Basic Constraints (CA-TEMPLATE-001 至 CA-TEMPLATE-005；CA-CRYPTO-001 至 CA-CRYPTO-004)。
权限
将 CA 管理员与预期主体进行比较 (CA-PERM-001)。
运行完整审计
在交互菜单中选择完整审计，或运行 PKI_Trust_Auditor.exe --tests full。审计将验证用户权限、发现 CA、测试连接，并运行配置、运维、模板、加密和权限控制。
结果与报告
结果保存到 `Audit-Results/`。输出包括 `PKI-Audit.json`、`PKI-Audit.csv`、下载的 `.cer` 和 `.crl` 文件，以及单项控制的 `.txt` 或 `.json` 证据。报告包含控制元数据、时间戳、结果、证据、合规状态和建议。
Web 报告提供可视化摘要、控制详情、筛选、搜索和导出功能。可按 Certificate Authority、状态、严重程度或 Control ID 筛选。
故障排除
- WMI：检查网络和端口 135、WMI 服务状态及权限。
- PowerShell remoting：检查 WinRM、remoting 是否启用、HTTPS 证书和网络连接。
- Active Directory：确认对 Configuration 容器的读取权限、DNS 解析和域控制器连接。
- CA 权限：确认仅授予所需的管理权限。
- parameters.json：检查 JSON 格式、参数名称和值。
- 性能：运行定向审计、避开高峰时段并监控系统资源。
安全与数据处理
原文指出，结果保存在本地 `Audit-Results` 目录中，工具使用当前用户凭据且不会存储或缓存凭据。通信方式包括 WMI/DCOM-RPC (135)、WinRM (5985/5986)、LDAP (389/636) 和 HTTP/HTTPS。请使用专用审计帐户、网络分段和加密通道，并定期审核权限。证据文件可能包含基础设施敏感信息，应妥善保护。