证书颁发机构 (CA) 在颁发证书之前，必须具有证书。这些机构使用与此证书关联的私钥在已颁发的证书上进行数字签名。当一个 CA 从另一个 CA 获得证书时，父 CA 可能需要控制是否可以使用该证书向其他证书服务器颁发证书。这是一项基本约束。
基本约束用于确保证书仅在某些应用程序中使用。例如，可作为基本约束指定的路径长度。
以下过程只适用于颁发证书的证书模板，这些证书模板将在其他证书上签名，如交叉验证的 CA 和根 CA。
Domain Admins 或 Enterprise Admins 中的成员身份或等效身份是完成此过程所需的最低要求。有关详细信息，请参阅实现基于角色的管理。
 | 更改基本约束的步骤 |
打开“证书模板”管理单元。
在细节窗格中，右键单击要更改的证书模板，然后单击“属性”。
在“扩展”选项卡中，单击“基本约束”，然后单击“编辑”。
在“编辑基本约束扩展”中，提供请求的信息。