WIN2003 CA KEY RECOVERY AGENT实战（二）

昨天说到用命令行方式恢复用户证书，看起来好麻烦的。确实，我都觉得复杂，操作中我失败了好多次。：）接下来我们来看看用图形界面如何恢复呢？

使用图形界面恢复用户证书，需要用到资源工具包里的一个工具--KRT.EXE

运行后是这样的：

这个工具能列举出所有的CA，但不包括以下的CA：
1、不是企业级的CA
2、不是运行在WIN2003 EE上的CA
3、运行在2000上的CA
4、没有管理权的CA
恢复步骤：
1、首先选择查找的条件和值，查询需要恢复的证书备选
2、选择SHOWKRA，可以看到该证书的有效KRA
3、选择获取BLOB，可以获得这个证书的BLOB文件
4、选择解密BLOB，就可以获得用户的证书了。








OK，到这里，我们对密钥的恢复操作已经比较清楚了吧。那么我们现在得到了用户的证书的PFX文件了，接下来就可以把证书导入用户的证书容器了，这个操作比较简单了，直接双击PFX文件，通过导入向导就可以完成，当然在导入过程中需要使用到建立PFX文件的密码哦。

十、证书模板管理
从CA管理界面中选择证书模板，选择管理，或直接在运行里输入certtmpl.msc，打开证书模板管理单元。

从中找到密钥恢复代理的证书模板的属性，找到其安全性，给适合的用户适合的权限。

对于合适的用户，至少应有读取和注册权。

十一、将CA配置为允许密钥归档的辅助说明
1、强制实行角色分离
如果你的企业要求非常高的安全性，你可以配置你的CA实行强制角色分离。
certutil -setreg ca\RoleSeparationEnabled 1
该操作需要重新启动CA服务。
2、配置CA管理员
你可以给CA设置必要的管理权限

3、限制证书管理员
你可以在CA属性里查看和配置证书管理员的限制属性

4、对特定证书强制归档
你可以在证书管理页里设置对证书的强制归档。在这以前，你需要注意到一点，以前版本CA的证书模版是不支持自动密钥归档的，你需要用证书模板管理单元用新建立的证书副本取代原来的证书（这里显示的是用户证书）。



然后你需要在证书管理单元的证书模板里增加上新的证书模板，并删除原来的。这样用户再申请证书的时候就可以被自动归档密钥了。


明天继续连载从KMS到WINDOWS 2003 CA的迁移操作。,