独立根CA+企业从属CA配置能否为内网站点签发有效SSL证书？

首先直接给你结论：是的，这个配置完全可以为vCenter、SolarWinds这类内网站点签发有效的SSL证书，下面给你拆解细节和解决当前问题的思路：

一、当前配置的可行性分析 #

你的独立根CA（CAType=3，即ENUM_STANDALONE_ROOTCA）作为整个信任链的锚点，只要把它的根证书部署到内网所有需要信任证书的设备（服务器、客户端、终端）的受信任根证书存储中，整个证书链就会被认可。独立根CA本身不需要模板，它的核心作用就是给从属CA签发证书，这部分你的配置是正常的。

至于那台“模板功能异常”的企业从属CA，Web enrollment显示“no templates found”只是前端界面的问题，不代表它失去了签发证书的能力：

• 先检查AD中是否存在默认的证书模板（比如「Web Server」模板），如果缺失，可以从正常的AD环境导出导入，或者手动复制默认模板并调整适合内网站点的参数（比如密钥用法、有效期、SAN字段支持等）
• 确认企业CA服务器的服务账号有读取AD证书模板的权限，重启CertSvc服务后再尝试Web enrollment
• 退一步说，就算Web enrollment用不了，你也可以通过certreq命令行工具结合模板来申请和签发证书，只要模板配置正确，企业CA就能生成符合要求的SSL证书

二、你的附加疑问解答 #

1. AD CA证书能否被内网设备固有信任？
   只要独立根CA的证书被部署到设备的受信任根存储：

   • AD域内的设备会自动通过组策略获取根证书信任，无需手动操作
   • 非域设备需要手动导入根证书，导入后证书就会被视为可信

2. Orion（SolarWinds）能否使用AD CA签发的证书？
   完全可以，只要证书满足Orion的基本要求：包含正确的主体备用名称（SAN）、密钥长度≥2048位、签名算法为SHA256及以上，导入后就能正常替换默认证书。

三、如果要切换到企业根CA的最简方法 #

如果你确实想把根CA换成企业类型，最平滑的步骤是：

• 先备份现有独立根CA的数据库、私钥和证书（使用certutil -backup命令）
• 在一台新的DC（或测试DC，验证后再推生产）上部署企业根CA，若要平滑过渡，可以使用和原根CA相同的名称与密钥；若要全新部署则用新名称
• 将新的企业根CA证书通过组策略或手动方式部署到内网所有设备的受信任根存储
• 让原企业从属CA重新向新的企业根CA申请从属证书，完成信任链切换
• 逐步停用原独立根CA

最后提醒：既然你的核心目标只是签发有效的内网站点证书，其实不需要急着切换根CA类型，先修复企业从属CA的模板问题就足以满足需求。

备注：内容来源于stack exchange，提问作者kindzmarauli