请问谁有WIN2008 企业CA如何部署自动注册基本EFS加密的技术文档么
问题
全部回复
-
EFS用了自签名证书，就说明你没成功从CA autoenroll到证书，所以才fall back到自签名。
正常的EFS时自动从CA拿到证书，应该是这样的
客户端：
CA上：
并且，从数据安全角度来讲，应该通过组策略，禁止客户端在EFS时可以fall back为产生自签名证书。
Computer Configuration\Windows Settings\Security Settings\Public Key Policies\Encrypting File System 属性里，去除勾选 Allow EFS to generate self-signed certificates when a certification authority is not available
-
万分感谢！
我理了理头绪把步骤写了一下，你看对不对？
1、在 WIN2008 SP2企业版上安装CA，域管理员账户申请一张故障恢复代理证书，导出私钥并且放置在安全的地方；
2、在证书模板里复制基本EFS，生成一个副本，在请求处理里如果不做密码恢复代理，就把“把使用者的加密私钥存档”的勾除掉；再在安全选项里把验证用户或域用户的“读取、注册、自动注册”勾上；
3、在企业根CA的证书模板里把刚才的基本EFS副本模板添加进来；
4、在默认域策略里，在计算机配置-策略-windows设置-安全设置-公钥策略-加密文件系统-添加之前的故障恢复代理证书（这里只含公钥可以吗？），
再把证书服务客户端-自动注册选为已启用；证书服务客户端-证书注册策略-AD注册策略要启用吗？疑问：公钥策略里的“自动证书申请设置”里只是能添加颁发给计算机类的证书，基本EFS是颁发给用户的，这里可以不理它？
5、用户配置-策略-windows设置-安全设置-公钥策略-把证书服务客户端自动注册选为已启用，证书服务客户端-证书注册策略-AD注册策略要启用；
6、刷新组策略或者重启预控和CA服务器，WIN7 客户端重启或重新登录就可以运用组策略，拿到证书进行加密；VISTA、WIN7客户端完全自动对吗？XP呢？
