自动创建主体备用名称 (SAN) 证书

Question

我们在 Windows 2008R2 上运行企业 CA。我刚刚在工作站上更新了 Windows 7。现在每次我使用 rdp 连接到远程服务器时，都会收到一条警告，指出服务器名称错误。这是因为我只使用主机名进行连接，并且证书是使用 fqdn 创建的。

服务器上的证书是使用基于计算机模板的模板自动注册创建的。

有没有办法自动将主机名作为主题备用名称 (san) 并仍然使用自动注册？我希望自动注册的证书具有server和server.domain.local作为有效名称。

Answer 1

您需要创建一个新的计算机证书模板，并选择“主题名称：在请求中提供”选项。您需要在请求中提供主题名称和备用主题名称。

不幸的是，没有办法使用此选项自动注册，因为 Windows 证书服务仅允许使用 DNS 名称或 SPN 作为备用。

顺便说一句，这样做不会被视为最佳安全做法，因为攻击者可以使用伪造的证书进行中间人攻击。