配置SCCM 2012 SP1使用证书

yanghongjun

　　SCCM（system center 2012 configuration manager）是微软推出的一款非常优秀的企业客户端管理软件，是system center套件的一部分。
　　默认SCCM服务器在和SCCM客户端通信的时候，走的是HTTP的通信，在部署SCCM的时候我们可以选择针对客户端的通信设置是否采用HTTPS，如果需要采用HTTPS，那么在部署之前，就需要我们来进行一系列的证书设置。
　　------------------------------------------分割线-----------------------------------------------
　　本来讲述如何配置SCCM 2012 SP1使用证书，这里我将通过企业CA服务器为SCCM新建两个证书模板，一个用于SCCM主站点的IIS，一个用于客户端计算机通信。下面我将通过几个步骤来演示整个过程。我的环境如下：

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348514tA0a.png

　　------------------------------------------分割线-----------------------------------------------
　　（一）创建安全组，将SCCM服务器加入到组中
　　使用安全组的好处是，如果我们的SCCM架构中有多台SCCM站点服务器，可以将所有服务器都加入到组中，然后我们只需要针对该组设置相应的权限即可。
　　首先新建安全组。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348515c61C.png

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348516W7Zx.png

　　将SCCM计算机加入到该组中。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348516YJ1R.png

　　------------------------------------------分割线-----------------------------------------------
　　（二）配置并发布SCCM专用的web服务器证书模板，并将模板分配给SCCM主站点
　　首先登录到证书服务器，打开证书颁发机构MMC，右击“证书模板”，选择“管理”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_13753485178o1H.png

　　找到“web服务器”模板，右击选择“复制模板”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348517Cbx2.png

　　在“新模板属性”编辑界面，兼容性选项卡配置保持默认，如图。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348518dFuZ.png

　　切换到常规选项卡，手动设置模板的名称。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348518MzLx.png

　　切换到使用者名称界面，勾选“用AD中的信息生成”。当配置使用者名称格式为公用名时，取消勾选“用户主题名称UPN”的复选框。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348518PU3N.png

　　切换到安全选项卡，将我们第一步中创建的安全组添加进来，该安全组中包含了SCCM的主站点服务器，然后勾选“允许注册”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_13753485193wuf.png

　　配置完成后，新的证书模板如图所示。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348520NxAo.png

　　然后我们回到证书颁发机构界面，选择证书模板，选择新建，选择“要颁发的证书模板”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348520nNBt.png

　　选择我们刚才创建的web服务器模板“ConfigMgr Web Server Certificate”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348522m0am.png

　　完成后，如图所示。

http://543925535.blog.51cto.com/attachment/201308/1/639838_13753485244R43.png

　　为了使新的模板能够应用到SCCM服务器，我们需要重启一下SCCM的主站点服务器，如图。

http://543925535.blog.51cto.com/attachment/201308/1/639838_13753485250UMw.png

　　重启完成后，我们登陆到主站点服务器（SCCM2012.demo.com），打开MMC，添加证书（本地计算机）管理单元。右击“个人”——“所有任务”——“申请新证书”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_13753485267zuF.png

　　进入证书注册向导。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348526DAdc.png

　　在选择证书注册策略界面，保持默认。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348527EMUW.png

　　在请求证书界面，选择我们刚才手动创建的证书模板，选择“编辑”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348527EL3i.png

　　在证书属性界面，切换到使用者选项卡，选择备用名称类型为DNS。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348528WuZ6.png

　　手动添加证书的使用者名称。我这里添加的为sccm2012.demo.com。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348528f78L.png

　　回到证书请求界面，勾选ConfigMgr Web Server Certificate。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348529sxTu.png

　　完成证书的安装。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348530JZhe.png

　　安装完成后，我们可以选择查看证书。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348530OMdz.png

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348531u6dX.png

　　最后我们打开SCCM2012主站点服务器的IIS管理器，在主界面选择右侧的“绑定”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348531Du0f.png

　　添加HTTPS的网站绑定，并选择我们申请的SSL证书。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348532luE4.png

　　到此，服务器证书就配置完成了，下面看看如何配置客户端证书。
　　------------------------------------------分割线-----------------------------------------------
　　（三）配置并发布SCCM客户端计算机专用的客户端模板，并通过组策略自动注册到客户端计算机
　　同样打开CA，选择证书模板——管理。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348533zjzy.png

　　右击工作站身份验证模板，选择复制模板。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348533wUmV.png

　　安装上面同样的步骤配置模板属性。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348534ACQG.png

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348534Bbce.png

　　赋予domain computer组的允许读取、注册和自动注册的权限。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348535N0LM.png

　　完成后，如图所示。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348535Y92j.png

　　然后我们同样来颁发该模板，如图。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348536Icfk.png

　　选择刚才创建的客户端模板ConfigMgr Client Certificate.

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348536YRUM.png

　　颁发完成后，如图所示。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348537R8vl.png

　　证书配置完成后，下面我们需要来配置组策略，让客户端自动注册该证书。
　　首先我们新建一个GPO，如图。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348537dJQ1.png

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348538PpZw.png

　　然后我们右击新建的GPO，选择编辑。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348538X66u.png

　　切换到下图所示的节点，选择证书服务器客户端-自动注册，如图。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348539jyIe.png

　　在属性界面，选择配置模式为启用，并勾选下图中的选项。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348540BBeS.png

　　到此SCCM客户端证书已配置完毕。
　　------------------------------------------分割线-----------------------------------------------
　　（四）在安装SCCM 2012 SP1的过程中，选择使用证书进行HTTPS通信
　　然后我们再来看看如何在部署主站点服务器的过程中使用证书。
　　当部署向导运行到客户端计算机通信设置界面的时候，勾选“所有站点系统角色仅接受来自客户端的HTTPS通信”。

http://543925535.blog.51cto.com/attachment/201308/1/639838_137534854000re.png

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348541SgnR.png

　　当配置上一步之后，在配置站点系统角色界面，默认强制使用HTTPS通信。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348542gwbW.png

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348543rGTZ.png

　　当SCCM2012主站点服务器安装完成后，我们打开SCCM 2012 SP1的管理器，切换到下面的界面，右击主站点，选择属性。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348544FJeN.png

　　切换到客户端通信选项卡，可以看到默认设置被配置为仅HTTPS。

http://543925535.blog.51cto.com/attachment/201308/1/639838_1375348545vQGH.png

　　到此，所有配置完毕，关于如何为SCCM 2012 SP1配置使用证书，就介绍到这里。