我们正在推出一个新网站,并希望使用 ssl/https 保护管理部分。我们认为没有必要从根 CA 购买 SSL 证书,因为客户看不到管理部分,所以我们只需要一个(自签名)SSL 证书来保护通信。
为了让内部用户获得尽可能好的体验,我们希望信任此证书,但我们希望使用组策略(或类似策略)将此证书推送给所有用户,而不是要求所有用户手动安装证书。自签名证书可以做到这一点吗?
另外一个问题;我们也在内部部署了一个测试服务器,并且也想保护它(内部测试服务器将有一个内部 DNS/IP),但我们可以使用与在公共网站上使用的相同的自签名 SSL 证书吗?还是我们需要一个不同的证书(然后我们也可以通过组策略将其推送出去)
希望这个问题有意义...
答案1
如果您的所有用户都在 AD 中,并且您AD Certificate Authority
在 DC 上安装了 (AD CA),那么您只需从 AD CA 颁发所需的证书,然后将此证书附加到 IIS 中的网站即可。这样,所有域用户都会自动信任颁发的证书(无需手动或 GPO 安装)。
关于您的第二个问题:我建议您为您的测试服务器颁发来自同一 AD CA 的另一个证书。