在Windows Server 2012 R2上创build具有名称和应用程序策略约束的根证书颁发机构（CA）

我们想要什么：

我们想要为testlab实现一个CA。

• CA只能为实验室本身和实验室名称空间创build证书。
• 另外它应该只能够为客户端和服务器创build证书。 特别是CA不能为任何其他事情创build密码签名，电子邮件或任何证书。

我们有什么：

名称限制的部分已经完成。 在CAPolicy.inf中

[Version] Signature= "$Windows NT$" [Strings] szOID_NAME_CONSTRAINTS = "2.5.29.30" [BasicConstraintsExtension] PathLength=1 Critical=Yes [Extensions] Critical = %szOID_NAME_CONSTRAINTS% %szOID_NAME_CONSTRAINTS% = "{text}" _continue_ = "SubTree=Include&" _continue_ = "UPN = .subdomain.domain.com&" _continue_ = "email = .subdomain.domain.com&" _continue_ = "DNS = .subdomain.domain.com&" _continue_ = "DIRECTORYNAME = DC=subdomain, DC=domain, DC=com&" _continue_ = "URL = .subdomain.domain.com&" 

我们没有：

仅限于能够为客户端和服务器创build证书的限制丢失。 我们试图通过在CAPolicy.inf中使用它来完成它

 [ApplicationPolicyStatementExtension] Policies = AppEmailPolicy, AppClAuthPolicy Critical = False [AppEmailPolicy] OID = 1.3.6.1.5.5.7.3.2 ; Client Authentication [AppClAuthPolicy] OID = 1.3.6.1.5.5.7.3.1 ; Server Authentication [ApplicationPolicyConstraintsExtension] RequireExplicitPolicy = 1 InhibitPolicyMapping = 1 

但是这根本不影响CA.

• 多个密钥的证书颁发机构
• 如何使用SSL和Server 2008作为CA来保护内部用户的内部网站？
• AD证书模板不显示
• 我如何获得HTTPS与这个特定的网站工作？
• 将模板分配给CA – 我的CA下没有模板节点

那么如何才能通过应用程序约束来实现CAPolicy.inf呢？