域环境下基于ADCS实现企业文档数字签名的问题咨询

一、是否可以通过域CA实现无需手动交换证书的部署 #

完全可以。ADCS与Active Directory深度集成，能通过自动证书注册和组策略推送信任证书实现零手动交换：

• 组策略会自动将根CA证书部署到域内所有客户端的系统信任存储，无需用户手动导入
• 配置合适的证书模板后，域用户登录时会自动从CA获取用于数字签名的证书，无需手动申请

二、核心配置步骤 #

1. CA架构部署 #

• 优先采用离线根CA+企业子CA架构：离线根CA仅用于签发子CA证书，平时离线存储提升安全性；企业子CA加入域，负责向用户/设备签发证书
• 安装ADCS角色时，根CA选择“独立根CA”（离线部署），子CA选择“企业子CA”（域集成）

2. 配置数字签名专用证书模板 #

• 打开CA控制台，右键“证书模板”->“管理”，找到“用户”模板并复制
• 在复制后的模板属性中：
  • 常规：修改模板名称为“数字签名用户证书”，设置合理的有效期和续订期
  • 请求处理：勾选“允许导出私钥”（可选，用于备份），确保“用途”选择“签名和智能卡登录”或仅“签名”
  • 增强型密钥用法：添加“数字签名”（OID: 1.3.6.1.4.1.311.10.3.12），可选添加“非否认”用于不可抵赖场景
  • 安全：给域用户组添加“注册”和“自动注册”权限
• 返回CA控制台，右键“证书模板”->“新建”->“要颁发的证书模板”，选择刚才创建的模板

3. 组策略配置自动注册与信任推送 #

• 打开组策略管理控制台，编辑域级GPO：
  • 计算机配置>策略>Windows设置>安全设置>公钥策略：
    • 右键“受信任的根证书颁发机构”->“导入”，导入离线根CA的证书
    • 右键“证书服务客户端 - 自动注册”，启用自动注册，勾选“更新过期证书、吊销证书并续订颁发的证书”和“在证书过期前续订证书”
  • 用户配置>策略>Windows设置>安全设置>公钥策略：同样配置“证书服务客户端 - 自动注册”启用用户级自动注册

4. 用户端验证 #

• 域用户登录客户端后，打开certmgr.msc，在“个人>证书”下能看到自动颁发的数字签名证书

三、Adobe Reader签名验证提示“UNKNOWN且不被信任”的排查解决 #

常见原因及修复： #

1. Adobe未信任根CA证书
   • Adobe有独立的信任存储，和系统信任存储不互通。打开Adobe Reader：
     • 点击“编辑>首选项>签名>身份与信任证书>证书”
     • 点击“导入”，选择根CA证书文件，导入后在“信任”选项卡勾选“用于验证文档签名”
2. 用户证书的EKU不符合要求
   • 检查用户证书的“增强型密钥用法”，必须包含“数字签名”。如果模板配置错误，重新修改模板并让用户续订证书
3. 证书链不完整
   • 确保子CA证书也被导入到系统信任存储和Adobe信任存储（如果使用子CA签发用户证书）
4. CRL访问问题
   • Adobe会检查证书是否被吊销，确保客户端能访问CA的CRL发布点（检查CA配置的CRL URL是否在域内可访问，组策略是否推送了CRL分发点）

内容的提问来源于stack exchange，提问作者Nikkoz