CA 和主域控制器在同一台服务器上

Question

我正在设置一个 Microsoft AD 作为我的 CA。经过研究，看起来我需要一个域控制器才能通过 CA 颁发证书。是否可以将 CA 和 DC 放在同一台服务器上？

Answer 1

您需要加入域才能成为企业CA，但您不需要加入域才能成为独立 CA。企业 CA 添加了与 Active Directory 集成的功能，但缺点是您无法像使用高安全性根 CA 那样将其脱机。

是的，可以在与域控制器相同的服务器上安装 AD CS。但是真的不推荐。最好的做法是让域控制器成为域控制器。您在一个系统上安装的服务越多，当该系统出现故障时您丢失的服务就越多。

编辑：您还可以探索更强大的设计，例如拥有脱机根 CA 和企业颁发 CA。