PKI与HTTPS服务器部署

01 PKI概述

提示：PKI 套件可以完成保护机密性、完整性以及身份验证！

基本公式：$x + 5 = y$（其中算法/数学公式就是明文，$y$ 是密文，$5$ 是密钥）。
特点：加密与解密的密钥一致相同，这种算法叫对称加密算法，这种密钥叫对称密钥。
最大优点：加密速度快！
最大缺点：对称密钥的传输问题！
常见的对称加密算法：
- DES：56位，分组加密算法。
- 3DES：56位、56位、56位。
- AES：包括 AES128、AES192、AES256、AES512。
- 注：对称密钥是通过算法本身协商生成的。
国密对称算法：
- SM1算法：
  - 类型：分组密码算法。
  - 规格：分组长度和密钥长度均为 128 位。
  - 应用：广泛应用于金融、电子政务、物联网等领域的数据加密和保护中；常用于智能密码钥匙、门禁卡等系列芯片中。
- SM4算法：
  - 类型：分组密码算法。
  - 规格：分组长度和密钥长度均为 128 位。
  - 应用：主要用于对数据进行加密和解密操作，在数据保密性保护方面有着广泛的应用（例如在对称加密通信场景下，对传输的数据块进行加密）。同时也是无线局域网标准的分组数据算法。
- SM7算法：
  - 类型：分组密码算法。
  - 规格：分组长度和密钥长度均为 128 位。
  - 应用：主要用于非接触式 IC 卡，如校园一卡通、工作证等。

国密非对称应用场景对比：

算法	主要功能	典型应用场景
SM2	数字签名、密钥交换、加密	电子合同、金融交易、安全通信
SM9	标识绑定、数字签名、加密	物联网设备认证、分布式系统身份管理

国密非对称加密算法的优势：
1. 自主可控：由国家密码管理局制定，避免依赖国际算法。
2. 高安全性：基于复杂数学问题，抗攻击能力强。
3. 高效性：密钥长度短，计算速度快，适合资源受限环境。
4. 合规性：在金融、电子政务等领域为强制标准。

证书格式标准：X.509。
证书包含的核心内容：
1. 持有者的信息（域名地址、电话、联系人等等）。
2. 持有者的公钥（重点：这是证书存在的根本意义！）
3. CA 的数字签名 / SHA 指纹。
4. 颁发者的名称与信息。
5. 颁发日期与证书有效期。

打开“添加角色和功能向导”，选择服务器角色，勾选 Active Directory 证书服务。
在选择角色服务页面，勾选 证书颁发机构 和 证书颁发机构 Web 注册。
注意：开始安装，安装完毕后，千万！！！不要点击关闭。而是要点击界面上的蓝色链接进行“配置目标服务器上的 Active Directory 证书服务”。
在 AD CS 配置向导中：
- 角色服务：勾选配置“证书颁发机构”和“证书颁发机构 Web 注册”。
- CA 类型：选择 根 CA (R)。（根 CA 位于 PKI 层次结构的顶部，颁发其自己的自签名证书）。
- CA 名称：在此 CA 的公用名称（C）中输入：Global sign dafeige。
- 其他设置默认下一步即可，最后点击配置并关闭。