На контроллере домена, на котором запущена консоль Windows Server 2003, нажмите кнопку Пуск, выберите пункт Программы, а затем Администрирование и Центр сертификации.

Разверните имя вашего центра сертификации и щелкните Шаблоны сертификатов.

Щелкните правой кнопкой мыши Шаблоны сертификатов и выберите пункт Управление для загрузки консоли управления шаблонами сертификатов.

В области результатов щелкните правой кнопкой мыши строку, в которой в столбце Отображаемое имя шаблона указано Компьютер, и нажмите кнопку Скопировать шаблон.

В диалоговом окне Свойства нового шаблона на вкладке Общие введите имя шаблона сертификата для подписи сервера сайта, например Сертификат для подписи сервера сайта ConfigMgr.

Откройте вкладку Имя субъекта и нажмите кнопку Предоставляется в запросе.

Перейдите на вкладку Расширения, убедитесь, что выбран параметр Политики применения, и нажмите кнопку Редактировать.

В диалоговом окне Изменение расширения политик применения выберите пункт Проверка подлинности клиента и, удерживая клавишу Shift, выберите пункт Проверка подлинности сервера и нажмите кнопку Удалить.

В диалоговом окне Изменение расширения политик применения нажмите кнопку Добавить.

В диалоговом окне Добавление политики применения выберите Подписывание документа как единственную политику применения, а затем нажмите кнопку ОК.

В диалоговом окне Свойства нового шаблона в поле описания политик приложения сейчас должно отображаться: Подписывание документа.

Откройте вкладку Требование выдачи и выберите пункт Одобрение диспетчера сертификатов центра сертификации.

Нажмите кнопку ОК и закройте консоль администрирования шаблонов сертификатов, certtmpl – [Шаблоны сертификатов].

В Центре сертификации щелкните правой кнопкой мыши Шаблоны сертификатов, выберите команду Создать, а затем выберите пункт Выдаваемый шаблон сертификата.

В диалоговом окне Включение шаблонов сертификатов выберите созданный ранее шаблон Сертификат для подписи сервера сайта ConfigMgr и нажмите кнопку ОК.

Примечание
Если не удается выполнить шаг 14 или 15, убедитесь, что используется Windows Server 2003 Enterprise Edition. Хотя можно настроить шаблоны при помощи Windows Server Standard Edition и служб сертификатов, развернуть сертификаты, используя измененные шаблоны сертификатов, можно только в Windows Server 2003 Enterprise Edition.

Не закрывайте Центр сертификации.

На рядовом сервере запустите Internet Explorer и подключитесь к службе веб-регистрации по адресу http://<сервер>/certsrv, где <сервер> – это имя или IP-адрес центра сертификации предприятия.

На странице Добро пожаловать выберите пункт Запрос сертификата.

На странице Запрос сертификата выберите пункт Расширенный запрос сертификата.

На странице Расширенный запрос сертификата выберите пункт Создание и отправка запроса в этот центр сертификации.

На странице Расширенный запрос сертификата укажите следующие данные.

• В разделе Шаблон сертификата выберите пункт Сертификат для подписи сервера сайта ConfigMgr для шаблона сертификата.
  
  

  Примечание
  Если этот шаблон сертификата не отображается, проверьте, был ли перезапущен рядовой сервер (если он был запущен) после того, как в предыдущей процедуре была настроена группа безопасности.

• В разделе Идентификационные данные для автономного шаблона в поле Имя введите следующее: Код сайта для этого сервера сайта:  <xxx>, где <xxx> — это код сайта. Должна использоваться в точности такая строка на английском языке в том же регистре букв и без запятой или точки на конце. Код сайта должен быть указан в конце строки в том же регистре, как он отображается в консоли Configuration Manager. Очень важно использовать в точности эти слова, поскольку они формируют имя получателя сертификата, которое используется для идентификации сертификата для подписи сервера сайта.
  
  
• В разделе Параметры ключа выберите Сохранить сертификат в хранилище сертификатов на локальном компьютере.
  
  

  Примечание

  Если этот параметр не отображается, возможно, было установлено исправление для KB 922706 для поддержки веб-регистрации в Windows Vista и Windows Server 2008. Это исправление исключит возможность хранения расширенных запросов сертификатов в хранилище компьютера, поэтому, если такая возможность отсутствует на страницах веб-регистрации, следует воспользоваться другим методом развертывания сертификата для подписи сервера сайта. Например, можно установить сертификат в хранилище пользователя, а затем экспортировать его и импортировать в хранилище компьютера или воспользоваться командной строкой служебной программы Certreq.exe для запроса сертификата. Метод с использованием программы Certreq.exe описывается в разделе Пример пошагового развертывания сертификатов PKI, необходимых для работы Configuration Manager в основном режиме: центр сертификации Windows Server 2008.

• В разделе Расширенные параметры, введите свой вариант Понятного имени, например, Сертификат сервера сайта ConfigMgr.
  
  

Нажмите кнопку Отправить.

На странице Отложенные сертификаты можно увидеть, что запрос сертификата получен, но требуется администратор, чтобы его выдать. Запишите отображаемый Идентификатор запроса.

Не закрывайте Internet Explorer.

В контроллере домена в Центре сертификации щелкните Запросы в ожидании.

В области результатов будет отображаться запрошенный сертификат с идентификатором запроса, который был указан на странице веб-регистрации.

Щелкните правой кнопкой мыши запрошенный сертификат, выберите пункт Все задачи, а затем пункт Выдать. Не закрывайте Центр сертификации.

На рядовом сервере на веб-странице Службы сертификатов Майкрософт нажмите кнопку Домашняя страница в верхнем правом углу для возврата к странице Добро пожаловать.

На странице Добро пожаловать выберите пункт Просмотр состояния отложенных запросов на сертификат.

На странице Просмотр состояния отложенных запросов на сертификат щелкните ссылку, подписанную понятным именем, которое было указано для сертификата для подписи сервера сайта, с датой и временем запроса в скобках.

На веб-странице Выданный сертификат нажмите кнопку Установить этот сертификат.

В окне предупреждения о возможном нарушении сценария нажмите кнопку Да.

На последней странице должно быть сообщение о том, что новый сертификат успешно установлен.

Закройте Internet Explorer.

На контроллере домена нажмите кнопку Пуск и выберите Программы, Администрирование, Пользователи и компьютеры Active Directory.

Щелкните правой кнопкой мыши домен, выберите команду Создать, а затем выберите Группа.

В диалоговом окне Новый объект – группа введите в поле Имя группы IIS-серверы ConfigMgr и нажмите кнопку ОК.

В диалоговом окне Пользователи и компьютеры Active Directory, щелкните правой кнопкой мыши созданную группу и выберите команду Свойства.

Откройте вкладку Члены группы и нажмите кнопку Добавить для выбора рядового сервера.

Примечание

В данном примере тестовой среды в списке есть только один сервер. В реальной среде предприятия может существовать несколько разных серверов, на которых размещены системы сайта Configuration Manager 2007, требующие наличие сертификата, например точка управления сайта и точки распространения. Поэтому рекомендуется назначить разрешения группе и добавить системы сайта, требующие сертификат такого же типа. Создание группы безопасности для таких серверов позволяет назначать разрешения таким образом, что только эти серверы смогут использовать эти сертификаты.

Нажмите кнопку ОК, а затем снова нажмите кнопку ОК для закрытия диалогового окна свойств группы.

Перезапустите рядовой сервер (если он запущен), чтобы он смог принять новых членов группы.

На контроллере домена, на котором уже запущена консоль управления Центра сертификации щелкните правой кнопкой мыши Шаблоны сертификатов, а затем выберите пункт Управление для загрузки консоли управления шаблонами сертификатов.

В области результатов щелкните правой кнопкой мыши строку, в которой в столбце Отображаемое имя шаблона указано Веб-сервер, и нажмите кнопку Скопировать шаблон.

В диалоговом окне Свойства нового шаблона на вкладке Общие введите имя шаблона сертификата для создания веб-сертификатов, которые будут использоваться на системах сайта Configuration Manager, например Сертификат для подписи веб-сервера ConfigMgr.

Откройте вкладку Имя получателя, выберите пункт Построить с использованием данных Active Directory, а затем выберите в поле Формат имени получателя один из следующих вариантов.

• Общее имя: применяется в тех случаях, когда для систем сайта в Configuration Manager используются полные доменные имена (необходимо для интернет-управления клиентами и рекомендуется для клиентов в интрасети).
  
  
• Полное различающееся имя: применяется в тех случаях, когда в Configuration Manager не используются полные доменные имена.
  
  

Откройте вкладку Безопасность и удалите разрешение Регистрация из групп безопасности Администраторы домена и Администраторы предприятия.

Нажмите кнопку Добавить, введите в поле ввода IIS-серверы ConfigMgr и нажмите кнопку ОК.

Выберите для этой группы следующие разрешения Разрешить: Читать, Регистрация и Авторегистрация.

Нажмите кнопку ОК и закройте консоль управления шаблонами сертификатов, certtmpl – [Шаблоны сертификатов].

В консоли управления центра сертификации щелкните правой кнопкой мыши Шаблоны сертификатов, выберите команду Создать, а затем выберите пункт Выдаваемый шаблон сертификата.

В диалоговом окне Включение шаблонов сертификатов выберите созданный ранее шаблон Сертификат веб-сервера ConfigMgr и нажмите кнопку ОК.

Закройте окно Центр сертификации.

Перезапустите рядовой сервер, чтобы убедиться, что он имеет доступ к шаблону сертификата с настроенным разрешением.

Нажмите кнопку Пуск, выберите пункт Выполнить и введите команду mmc.exe. В пустой консоли щелкните Файл, а затем выберите команду Добавить/удалить оснастку.

В диалоговом окне Добавление или удаление оснастки нажмите кнопку Добавить, выберите пункт Сертификаты и нажмите кнопку Добавить.

В диалоговом окне Оснастка диспетчера сертификатов выберите пункт Учетная запись компьютера и нажмите кнопку Далее.

Убедитесь, что в диалоговом окне Выбор компьютера выбран вариант Локальный компьютер: (компьютер, на котором запущена эта консоль), и нажмите кнопку Готово.

В диалоговом окне Добавление изолированной оснастки нажмите кнопку Закрыть.

В диалоговом окне Добавление или удаление оснастки нажмите кнопку ОК.

В консоли, где сейчас отображается Сертификаты (локальный компьютер), разверните Сертификаты (локальный компьютер), а затем разверните Личные.

Щелкните правой кнопкой мыши Сертификаты, выберите пункт Все задачи, а затем Запросить новый сертификат.

На странице Мастер запроса сертификатов нажмите кнопку Далее.

На странице Типы сертификатов из списка отображаемых сертификатов выберите вариант Сертификат веб-сервера ConfigMgr и нажмите кнопку Далее.

На странице Понятное имя сертификата и описание введите понятное имя и описание (необязательно), позволяющие отличить этот сертификат от других, и нажмите кнопку Далее.

На странице Завершение мастера запросов сертификатов нажмите кнопку Готово.

Должно появиться диалоговое окно Мастер запросов сертификатов, уведомляющее о том, что запрос сертификата выполнен успешно.

Закройте окно Сертификаты (локальный компьютер).

На рядовом сервере нажмите кнопку Пуск, выберите пункт Программы, а затем выберите Администрирование, а затем — Диспетчер служб IIS.

Раскройте Веб-сайты, щелкните правой кнопкой мыши Веб-сайт по умолчанию и выберите пункт Свойства.

Перейдите на вкладку Безопасность каталога, а затем выберите пункт Сертификат сервера.

На странице Добро пожаловать в мастер настройки сертификата веб-сервера нажмите кнопку Далее.

На странице Сертификат сервера выберите пункт Назначение существующего сертификата, а затем нажмите кнопку Далее.

На странице Доступные сертификаты выберите сертификат веб-сервера, на который был подан запрос, определяя его по полю Назначение, которое имеет значение Проверка подлинности сервера и по присвоенному Понятному имени, а затем нажмите кнопку Далее.

На странице Порт SSL примите значение по умолчанию – номер порта 443 и нажмите кнопку Далее.

На странице Сводка сертификатов нажмите кнопку Далее.

На странице Завершение работы мастера настройки сертификата веб-сервера нажмите кнопку Готово.

Нажмите кнопку ОК для закрытия диалогового окна Свойства веб-сайта по умолчанию.

Закройте Диспетчер служб IIS.

На контроллере домена нажмите кнопку Пуск, выберите пункт Администрирование, а затем выберите Управление групповой политикой.

Щелкните правой кнопкой мыши домен и выберите команду Создать здесь объект групповой политики и установить связь.

Примечание

На этом шаге рекомендуется создать новую групповую политику с пользовательской настройкой вместо редактирования политики домена по умолчанию, установленной вместе с доменными службами Active Directory. Назначение этой групповой политики на уровне домена позволит применить ее ко всем компьютерам домена. Однако, в среде предприятия можно ограничить авторегистрацию таким образом, что будут регистрироваться только выбранные компьютеры путем назначения групповой политики на уровне подразделения организации или путем фильтрации групповой политики домена при помощи группы безопасности, что позволит применять ее только к компьютерам этой группы. При ограничении автоматической регистрации не забудьте включить в группу сервер, выполняющий роль точки управления.

В диалоговом окне Создание объекта групповой политики введите имя новой групповой политики, например Сертификаты авторегистрации, и нажмите кнопку ОК.

В области результатов на вкладке Связанные объекты групповой политики щелкните правой кнопкой мыши новую групповую политику и выберите команду Редактировать.

В окне Редактора объектов групповой политики, выберите Конфигурация компьютера / Параметры Windows / Параметры безопасности / Политики открытого ключа.

Щелкните правой кнопкой мыши Параметры автоматического запроса сертификата, выберите команду Создать, а затем выберите Автоматический запрос сертификата.

На странице Добро пожаловать в мастер настройки автоматического запроса сертификата нажмите кнопку Далее.

На странице Шаблон сертификата выберите пункт Компьютер из списка доступных шаблонов сертификатов и нажмите кнопку Далее.

На странице Завершение работы мастера настройки автоматических запросов сертификатов нажмите кнопку Готово.

Закройте окно Управление групповой политикой.

Перезагрузите компьютер рабочей станции и подождите несколько минут перед входом в систему.

Примечание
Перезагрузка компьютера является самым надежным методом обеспечения успешной автоматической регистрации сертификата.

Войдите в систему с использованием учетной записи, которая имеет привилегии администратора.

Нажмите кнопку Пуск, выберите пункт Выполнить и введите команду mmc.exe..

В пустой консоли управления щелкните Файл, а затем выберите команду Добавить или удалить оснастку.

В диалоговом окне Добавление или удаление оснастки нажмите кнопку Добавить, выберите пункт Сертификаты и нажмите кнопку Добавить.

В диалоговом окне Оснастка диспетчера сертификатов выберите пункт Учетная запись компьютера и нажмите кнопку Далее.

Убедитесь, что в диалоговом окне Выбор компьютера выбран вариант Локальный компьютер: (компьютер, на котором запущена эта консоль), и нажмите кнопку Готово.

В диалоговом окне Добавление изолированной оснастки нажмите кнопку Закрыть.

В диалоговом окне Добавление или удаление оснастки нажмите кнопку ОК.

В консоли, где сейчас отображается Сертификаты (локальный компьютер), разверните Сертификаты (локальный компьютер), а затем щелкните Личные.

В области результатов убедитесь, что у отображаемого сертификата в поле Назначение указано значение Проверка подлинности клиента, а в поле Шаблон сертификата – значение Компьютер.

Закройте окно Сертификаты (локальный компьютер).

Повторите шаги с 1 по 12 для рядового сервера, чтобы убедиться, что сервер, который будет настроен для работы в качестве точки управления, имеет сертификат клиента.