Чтобы установить службы iis, выполните следующие действия.

1. Введите в командной строке следующую команду:

Копировать код

Sysocmgr /i:sysoc.inf /u:C:\MSSScripts\OC_AddIIS.txt

Эта команда указывает диспетчеру дополнительных компонентов Windows на необходимость использовать следующие конфигурационные параметры компонентов, заданные в файле автоматической установки C:\MSSScripts\OC_AddIIS.txt:

Копировать код

[Components]

complusnetwork = On

iis_common = On

iis_asp = On

iis_inetmgr = On

iis_www = On

Примечание.    При использовании этого конфигурационного файла будет установлен и компонент Active Server Pages (ASP). Если страницы службы подачи заявок на сертификаты через Интернет не нужны, перед запуском файла sysocmgr.exe установку ASP следует отменить, удалив из приведенного выше файла строку iis_asp = on. В случае надобности этот параметр можно будет задать позднее.

2. Запустите диспетчер дополнительных компонентов еще раз с указанным ниже ключом и убедитесь в том, что установленные компоненты соответствуют приведенному выше списку.

Копировать код

sysocmgr /i:sysoc.inf

Никакие другие дочерние компоненты сервера приложений не нужны, и устанавливать их не требуется.

Настройка IIS для доступа к сведениям о центрах сертификации (AIA) и публикации точки распространения списков отзыва сертификатов на выдающем центре сертификации

На сервере IIS необходимо создать виртуальный каталог, который будет использоваться как HTTP-контекст пунктов публикации сертификатов центров сертификации и списков отзыва сертификатов. Эти пункты называются точкой доступа к сведениям о центрах сертификации (Authority Information Access, AIA) и точкой распространения списков отзыва сертификатов (CRL Distribution Point, CDP) соответственно.

Чтобы создать виртуальный каталог на сервере IIS, выполните следующие действия.

1. Войдите на сервер IIS с правами локального администратора.

2. Создайте папку C:\CAWWWPub, в которой будут храниться сертификаты центров сертификации и списки отзыва сертификатов.

3. Настройте параметры безопасности этой папки в соответствии со следующей таблицей.

Таблица 9. Разрешения на доступ к виртуальному каталогу

Пользователь / группа	Разрешение	Предоставить / отказать
Администраторы	Полный доступ	Предоставить
System	Полный доступ	Предоставить
Владельцы-создатели	Полный доступ (только к вложенным папкам и файлам)	Предоставить
Пользователи	Чтение и просмотр содержимого папки	Предоставить
IIS_WPG	Чтение и просмотр содержимого папки	Предоставить
Гостевая учетная запись Интернета	Запись	Отказать

4. Используя консоль управления IIS, создайте новый виртуальный каталог на веб-узле по умолчанию:

   • Назначьте виртуальному каталогу имя pki

   • Укажите в качестве пути C:\CAWWWPub

5. Снимите в окне разрешений на доступ к виртуальному каталогу флажок «Запуск сценариев».

6. Убедитесь в том, что для виртуального каталога включена анонимная проверка подлинности.

Выбор DNS-псевдонима для пункта публикации HTTP

Для разрешения сервера IIS, на котором размещены точки доступа к сведениям о центрах сертификации и распространения списков отзыва сертификатов, нужно создать общий DNS-псевдоним (CNAME). Этот псевдоним будет использован в следующих разделах при настройке путей к этим точкам для центров сертификации. Используя псевдонимы, можно легко перемещать пункты публикации центров сертификации на другие серверы или сетевые устройства без выдачи новых сертификатов центров сертификации.

Другие операции по конфигурированию решения и компонентов операционной системы

Кроме уже описанных действий по настройке, рекомендуется также выполнить перечисленные ниже.

• Служба обновления корневых сертификатов. Службу обновления корневых сертификатов следует отключить, потому что автоматически обновлять корневое доверие центров сертификации невыгодно. Чтобы удалить эту службу, просто введите в командной строке следующую команду:

Копировать код

sysocmgr /i:sysoc.inf /u:C:\MSSScripts\OC_RemoveRootUpdate.txt

Файл OC_RemoveRootUpdate.txt содержит следующие строки:

Копировать код

[Components]

rootautoupdate = off

• Убедитесь в том, что корневой центр сертификации не подключен к сети и что выдающий центр сертификации не связан с Интернетом входящим или исходящим соединением.

• Проверьте, нужно ли установить после установки IIS какие-либо дополнительные обновления.

• Установите служебные программы Windows Server 2003. Делать это необязательно, но они пригодятся при выполнении некоторых операций с использованием центра сертификации, а также при поиске и устранении неполадок.

• Установите библиотеку CAPICOM. Для выполнения некоторых сценариев установки и управления, распространяемых с этим руководством, в корневом и выдающем центрах сертификации должна быть установлена библиотека CAPICOM 2.1. Сведения о библиотеке CAPICOM и ссылку на ее загрузку можно найти по адресу www.microsoft.com/downloads/details.aspx?FamilyID=860ee43a-a843-462f-abb5-ff88ea5896f6&DisplayLang=en (эта ссылка может указывать на содержимое полностью или частично на английском языке).