Windows CA 证书服务器配置
（1）在一台计算机 server(192.168.30.138)上创建一个独立存在的根 CA
控制面板->添加或删除组件->应用程序服务器，添加 IIS 组件。
点击‘确定’，安装完毕后，查看 IIS 管理器，如下：
添加‘证书服务’组件：控制面板->添加或删除组件->证书服务。
如果机器没有安装活动目录，在勾选以上‘证书服务’时，将弹出如下窗口，由于我们将要安装的是独立 CA，所以不需要安装活动目录。默认情况下，‘用自定义设置生成**对和 CA 证书’没有勾选，勾选之后点击‘下一步’可以进行**算法的选择：
Microsoft 证书服务的默认 CSP 为：Microsoft Strong Cryptographic Provider，默认散列算法：SHA-1，**长度：2048——您可以根据需要做相应的选择，这里我们使用默认。点击‘下一步’：
填写 CA 的公用名称TWL，其他信息（如邮件、单位、部门等）可在‘可分辨名称后缀’中添加，有效期限默认为 5 年。点击‘下一步’：
证书数据库设置为默认。
继续安装，可能再弹出如下窗口，由于安装证书服务的时候系统会自动在 IIS 中（这也是为什么必须先安装 IIS 的原因）添加证书申请服务，该服务系统用 ASP 写就，所以必须为 IIS 启用 ASP 功能，点击‘是’‘完成’证书服务的安装。
开始 -> 管理工具 -> 证书颁发机构，打开如下窗口：已经为 server 成功配置完公用名为TWL的独立根 CA。该独立根 CA 可为下级 CA 发放证书。
（2）在另一个计算机 server1(192.168.30.149)上创建一个独立存在的从属 CA，由该 CA 为其他用户发放证书。
增加 server 上的根 CA 为信任的根 CA，点击‘开始’->‘运行’，打开‘运行’对话框，在对话框中输入http://192.168.30.138/certsrv，点击‘下载一个 CA 证书，证书链或 CRL’
点击‘安装此 CA 证书链’
弹出 CA 证书链已成功安装。
在‘控制面板’中双击‘添加/删除程序’，单击‘添加/删除 Windows 组件’，在‘Windows组件向导’中选中‘证书服务’，单击‘下一步’按钮。打开‘Microsoft 证书服务’，提示‘安装证书服务后，不能重命令计算机，并且计算机不能加入域或从域删除，要继续吗？’，单击‘是’。
选择‘独立从属 CA’，在‘CA 识别信息’中填写 CA 公用名称twl1，点击‘下一步’：
点击‘下一步’
在此窗口填写独立根 CA 所在计算机名称，点击‘下一步’。
由于安装证书服务的时候系统会自动在 IIS 中（这也是为什么必须先安装 IIS的原因）添加证书申请服务，该服务系统用 ASP 写就，所以必须为 IIS 启用 ASP 功能，点击‘是’继续安装：
‘完成’证书服务的安装。
（3）独立根 CA 给从属 CA 发放证书
在 server 这台计算机上选择‘开始’->‘管理工具’->‘证书颁发机构’，在‘挂起的申请’里已经存在申请挂起等待颁发的证书。右键点击挂起的证书-> 所有任务 -> 颁发：
点击‘颁发的证书’会看到已经颁发的证书（ID=4）
（4）为从属 CA 安装一个证书
在 server1 这台计算机上,选择‘开始’->‘管理工具’->‘证书颁发机构’->twl1->所有任务->启动服务
从根 CA 通过网络连接获得证书。在计算机名输入根 CA 所在计算机名称，输入父 CA 的名称。单击‘确定’，CA 安装过程即完成，并启动该 CA
（5）为 server1 请求一个计算机证书
点击‘开始’->‘运行’，打开‘运行’对话框，在对话框中输入http://192.168.30.149/certsrv在申请证书向导中单击‘申请一个证书’
在‘选择申请类型’中选择‘高级证书申请’
在‘高级证书申请’页面中，单击‘使用表格向这个 CA 提交一个证书申请’
在‘高级证书申请’页面的‘识别信息’文本框中，输入相关信息。在‘需要的证书类型’中选择‘IPSec 证书’。在‘**选项’中选择‘将证书保存在本地计算机存储中’。然后点击‘提交’。
当出现‘证书挂起’页面时，证书申请完成。
在 server1 中选择‘开始->‘管理工具’->‘证书颁发机构’在‘证书颁发机构’窗口左边，选择‘挂起的申请’，在右边栏中显示‘所有待颁发的证书申请。选择待请求的证书并单击右键，在弹出的快捷菜单中选择‘所有任务’->‘颁发’
安装证书，点击‘开始’->‘运行’，打开‘运行’对话框，在对话框中输入http://192.168.30.149/certsrv，在证书服务向导中单击‘查看挂起的证书申请的状态’点击该证书，弹出‘证书已颁发’页面，点击安装此证书。
当进入‘证书已安装’页面时，证书安装已完成。
（6）查看证书
选择‘开始’->‘运行’，在‘运行’对话框的‘打开’文本框中输入 mmc，单击‘确定’。在‘控制台根节点’窗口中，选择‘文件’->‘添加/删除管理单元’，打开‘添加/删除管理单元’对话框。然后点击‘添加’，打开‘添加独立单元管理’对话框。
在‘独立单元管理’对话框中，在‘可用的独立管理单元’中，选择‘证书’，单击‘添加’，打开‘证书管理单元’对话框。
‘证书管理单元’对话框中，选择‘计算机帐户’单选按钮，单击‘下一步’按钮。
在‘选择计算机’对话框中选择‘本地计算机’单选按钮，单击‘完成’
单击‘关闭’按钮，关闭‘添加独立管理单元’对话框。单击‘确定’按钮，关闭‘添加/删除管理单元’
对话框。在控制台树中展开‘证书（本地计算机）’文件夹，展开‘个人’文件夹，在‘个人文件夹’下，
单击‘证书’。在右侧栏中，出现已发证书
在右侧栏中，双击已发放给某用户的证书，显示证书信息，单击‘确定’铵钮。