通過網絡服務器註冊證書

Question

我們有一個基於Java的網絡服務器，除此之外它還管理許多用戶，並創建管理數字證書（私鑰爲&公鑰）的&。

我正在尋找一種方法來自動從本webserver（通過Kerberos身份驗證）請求，下載和安裝特定的數字證書（私鑰爲&公鑰）。

使用案例：尚未安裝證書的成千上萬臺客戶機將來必須與此服務器進行通信，因此他們應該安裝各自的證書，而無需任何用戶交互。 客戶端PC都使用Windows，其基礎架構基於某種Windows Server。

最初的想法是（對於他們的Windows Server）在某種程度上使用組策略，藉助諸如可通過Windows獲得的「certutils」或「certreq」等工具。 我相信這些工具中有自動註冊選項（enrollmentServerURL？），我想基本上「向我們的特定Web服務器請求證書，獲取證書並安裝它」。

但是，「如何」暗示了我。

我們的網絡服務器將不得不被修改，基本上「回答」這樣的請求，沒有問題。但是我們首先必須知道Windows/certutil/certreq /其他工具的實際請求是什麼。 我相信Windows已經有這個能力，有誰知道如何做到這一點？如果是這樣，實際發送到web服務器的請求是什麼樣的，所以我可以通過web服務器「回答」這個請求？ （微軟的「證書註冊Web服務」適用於Java Web服務器嗎？）

Answer 1

經過大量研究後，我發現Windows證書自動註冊不可能指向外部CA或Web服務器。