独立证书颁发机构 (CA) 可以出于目的(如数字签名)颁发证书,它通过使用 S/MIME(安全多用途 Internet 邮件扩展)保证电子邮件的安全,并且通过使用安全套接字层 (SSL) 或传输层安全性 (TLS) 对安全 Web 服务器进行身份验证。

独立 CA 具有以下特征:

  • 与企业 CA 不同,独立 CA 不需要使用 Active Directory 域服务 (AD DS)。即使使用 AD DS,也可以将独立 CA 用作 CA 层次结构中的脱机受信任根 CA 或通过 Extranet 或 Internet 向客户端颁发证书。

  • 当用户向独立 CA 提交证书申请时,必须提供他们的身份信息并指定他们所需的证书类型。(当向企业 CA 提交申请时,不需要执行该操作,因为企业用户的信息已经位于 AD DS 中,并且证书类型已由证书模板描述)。从本地计算机的安全帐户管理器数据库中获取申请的身份验证信息。

  • 默认情况下,发送到独立 CA 的所有证书申请都设置为挂起,直到独立 CA 的管理员验证所提交的信息并批准该申请。管理员必须执行这些任务,因为证书申请者的凭据没有经过独立 CA 的验证。

  • 不使用证书模板。

  • 管理员必须将独立 CA 的证书明确分发到域用户的受信任根存储,否则用户必须自己执行该任务。

  • 如果使用支持椭圆曲线加密 (ECC) 的加密提供程序,则独立 CA 将允许使用 ECC 密钥中的每个密钥。有关详细信息,请参阅“下一代加密技术”(https://go.microsoft.com/fwlink/?LinkID=85480)(可能为英文网页)。

当独立 CA 使用 AD DS 时,该 CA 具有以下附加功能:

  • 如果 Domain Admins 组的成员或对域控制器具有写入权限的管理员安装独立根 CA,则会自动将其添加到域中所有用户和计算机的“受信任的根证书颁发机构”证书存储中。因此,如果在 Active Directory 域中安装独立根 CA,则不应该更改接收证书申请时(将申请标记为挂起)CA 的默认操作。否则,受信任的根 CA 会自动颁发证书,而无需验证证书申请者的身份。

  • 如果独立 CA 由企业中父域的 Domain Admins 组成员安装,或者由对 AD DS 具有写入权限的管理员安装,则独立 CA 将向 AD DS 发布其 CA 证书和证书吊销列表 (CRL)。


目录