PKI 实体

Last published : Oct 21, 2026
XenMobile® 公钥基础设施 (PKI) 实体配置表示执行实际 PKI 操作（颁发、吊销和状态信息）的组件。这些组件可以是 XenMobile 内部的，也可以是外部的。内部组件称为自由裁量组件。外部组件是您企业基础架构的一部分。
XenMobile 支持以下类型的 PKI 实体：
  • Microsoft 证书服务
  • 自由裁量证书颁发机构 (CA)
XenMobile 支持以下 CA 服务器：
  • Windows 服务器 2019
  • Windows 服务器 2016
注意：
Windows Server 2012 R2、2012 和 2008 R2 已达到生命周期终止，因此不再受支持。有关详细信息，请参阅 Microsoft 产品生命周期文档。
Related information
证书和身份验证

常见 PKI 概念

无论类型如何，每个 PKI 实体都具有以下功能的子集：
  • 签名： 根据证书签名请求 (CSR) 颁发新证书。
  • 获取： 恢复现有证书和密钥对。
  • 吊销： 吊销客户端证书。

关于 CA 证书

配置 PKI 实体时，请指示 XenMobile 哪个 CA 证书是该实体颁发（或恢复）的证书的签名者。该 PKI 实体可以返回由任意数量的不同 CA 签名的（已获取或新签名的）证书。
在 PKI 实体配置中提供每个这些 CA 的证书。为此，请将证书上传到 XenMobile，然后在 PKI 实体中引用它们。对于自由裁量的 CA，证书隐式为签名 CA 证书。对于外部实体，您必须手动指定证书。
重要提示：
创建 Microsoft 证书服务实体模板时，请避免已注册设备的潜在身份验证问题：不要在模板名称中使用特殊字符。例如，不要使用：! : $ ( ) # % + * ~ ? | { } [ ]

Microsoft 证书服务

XenMobile 通过其 Web 注册界面与 Microsoft 证书服务进行接口。XenMobile 仅支持通过该界面颁发新证书。如果 Microsoft CA 生成 Citrix Gateway 用户证书，Citrix Gateway 支持这些证书的续订和吊销。
要在 XenMobile 中创建 Microsoft CA PKI 实体，您必须指定证书服务 Web 界面的基本 URL。如果您选择，请使用 SSL 客户端身份验证来保护 XenMobile 与证书服务 Web 界面之间的连接。

添加 Microsoft 证书服务实体

  1. 在 XenMobile 控制台中，单击控制台右上角的齿轮图标，然后单击“PKI 实体”。
  2. 在“PKI 实体”页面上，单击“添加”。
    将显示 PKI 实体类型菜单。
  3. 单击“Microsoft 证书服务实体”。
    将显示“Microsoft 证书服务实体: 常规信息”页面。
  4. 在“Microsoft 证书服务实体: 常规信息”页面上，配置以下设置：
    • **名称：**键入新实体的名称，您以后将使用该名称引用该实体。实体名称必须是唯一的。
    • **Web 注册服务根 URL：**键入 Microsoft CA Web 注册服务的基 URL；例如，https://192.0.2.13/certsrv/。该 URL 可以使用纯 HTTP 或 HTTP-over-SSL。
    • **certnew.cer 页面名称：**certnew.cer 页面的名称。除非您因某种原因重命名了它，否则请使用默认名称。
    • **certfnsh.asp：**certfnsh.asp 页面的名称。除非您因某种原因重命名了它，否则请使用默认名称。
    • **身份验证类型：**选择要使用的身份验证方法。
      • 无
      • **HTTP 基本：**键入连接所需的用户名和密码。
      • **客户端证书：**选择正确的 SSL 客户端证书。
  5. 单击测试连接以确保服务器可访问。如果不可访问，将显示一条消息，指出连接失败。请检查您的配置设置。
  6. 单击下一步。
    将显示Microsoft 证书服务实体：模板页面。在此页面上，您可以指定 Microsoft CA 支持的模板的内部名称。创建凭据提供程序时，您可以从此处定义的列表中选择一个模板。使用此实体的每个凭据提供程序都只使用一个此类模板。
    有关 Microsoft 证书服务模板要求，请参阅您的 Microsoft Server 版本的 Microsoft 文档。除了 证书 中注明的证书格式外，XenMobile 对其分发的证书没有其他要求。
  7. 在Microsoft 证书服务实体：模板页面上，单击添加，键入模板名称，然后单击保存。对要添加的每个模板重复此步骤。
  8. 单击下一步。
    将显示Microsoft 证书服务实体：HTTP 参数页面。在此页面上，您可以指定 XenMobile 要添加到 Microsoft Web 注册界面的 HTTP 请求中的自定义参数。自定义参数仅对在 CA 上运行的自定义脚本有用。
  9. 在“Microsoft 证书服务实体: HTTP 参数”页面上，单击“添加”，键入要添加的 HTTP 参数的名称和值，然后单击“下一步”。
    此时将显示“Microsoft 证书服务实体: CA 证书”页面。在此页面上，您必须告知 XenMobile 系统通过此实体获取的证书的签名者。当您的 CA 证书续订时，请在 XenMobile 中更新它。XenMobile 会透明地将更改应用于实体。
  10. 在“Microsoft 证书服务实体: CA 证书”页面上，选择要用于此实体的证书。
  11. 单击“保存”。
    该实体将显示在 PKI 实体表中。

Citrix ADC 证书吊销列表 (CRL)

XenMobile 仅支持第三方证书颁发机构的证书吊销列表 (CRL)。如果已配置 Microsoft CA，XenMobile 将使用 Citrix ADC 管理吊销。
配置基于客户端证书的身份验证时，请考虑是否配置 Citrix ADC 证书吊销列表 (CRL) 设置“启用 CRL 自动刷新”。此步骤可确保处于仅 MAM 模式的设备用户无法使用设备上的现有证书进行身份验证。
XenMobile 会重新颁发新证书，因为它不限制用户在证书被吊销后生成用户证书。当 CRL 检查过期的 PKI 实体时，此设置可提高 PKI 实体的安全性。

自由裁量 CA

当您向 XenMobile 提供 CA 证书和关联的私钥时，将创建自由裁量 CA。XenMobile 根据您指定的参数在内部处理证书颁发、吊销和状态信息。
配置自由裁量 CA 时，可以为该 CA 激活联机证书状态协议 (OCSP) 支持。当且仅当您启用 OCSP 支持时，CA 才会将扩展 id-pe-authorityInfoAccess 添加到 CA 颁发的证书中。该扩展指向以下位置的 XenMobile 内部 OCSP 响应程序：
https://<server>/<instance>/ocsp
配置 OCSP 服务时，请为相关自由裁量实体指定 OCSP 签名证书。您可以使用 CA 证书本身作为签名者。为避免不必要地暴露您的 CA 私钥（建议）：创建由 CA 证书签名的委托 OCSP 签名证书，并包含此扩展：id-kp-OCSPSigning extendedKeyUsage。
XenMobile OCSP 响应程序服务支持基本 OCSP 响应和请求中的以下哈希算法：
  • SHA-1
  • SHA-224
  • SHA-256
  • SHA-384
  • SHA-512
响应使用 SHA-256 和签名证书密钥算法（DSA、RSA 或 ECDSA）进行签名。

添加自由裁量 CA

  1. 在 XenMobile 控制台中，单击控制台右上角的齿轮图标，然后单击更多 > PKI 实体。
  2. 在PKI 实体页面上，单击添加。
    将显示 PKI 实体类型菜单。
  3. 单击自由裁量 CA。
    将显示自由裁量 CA: 常规信息页面。
  4. 在自由裁量 CA: 常规信息页面上，执行以下操作：
    • **名称：**键入自由裁量 CA 的描述性名称。
    • **用于签署证书请求的 CA 证书：**单击一个证书，供自由裁量 CA 用于签署证书请求。
      此证书列表生成自您在 XenMobile 的 配置 > 设置 > 证书 中上传的包含私钥的 CA 证书。
  5. 单击 下一步。
    显示 自由裁量 CA: 参数 页面。
  6. 在 自由裁量 CA: 参数 页面上，执行以下操作：
    • 序列号生成器： 自由裁量 CA 为其颁发的证书生成序列号。在此列表中，单击 顺序 或 非顺序 以确定如何生成这些数字。
    • 下一个序列号： 键入一个值以确定下一个颁发的数字。
    • 证书有效期： 键入证书的有效天数。
    • 密钥用法： 通过将相应的密钥设置为 开 来确定自由裁量 CA 颁发的证书的用途。设置后，CA 只能为这些用途颁发证书。
    • 扩展密钥用法： 要添加更多参数，请单击 添加，键入密钥名称，然后单击 保存。
  7. 单击 下一步。
    显示 自由裁量 CA: 分发 页面。
  8. 在 自由裁量 CA: 分发 页面上，选择分发模式：
    • 集中式：服务器端密钥生成。Citrix 建议使用集中式选项。私钥在服务器上生成并存储，然后分发到用户设备。
    • 分布式：设备端密钥生成。私钥在用户设备上生成。此分布式模式使用 SCEP，需要一个具有 keyUsage keyEncryption 扩展的 RA 加密证书和一个具有 keyUsage digitalSignature 扩展的 RA 签名证书。同一个证书可用于加密和签名。
  9. 单击 下一步。
    显示 自由裁量 CA：在线证书状态协议 (OCSP) 页面。
    在 自由裁量 CA：在线证书状态协议 (OCSP) 页面上，执行以下操作：
    • 如果要将 AuthorityInfoAccess (RFC2459) 扩展添加到此 CA 签名的证书中，请将为此 CA 启用 OCSP 支持设置为开。此扩展指向位于 https://<server>/<instance>/ocsp 的 CA OCSP 响应程序。
    • 如果启用了 OCSP 支持，请选择一个 OSCP 签名 CA 证书。此证书列表是根据您上传到 XenMobile 的 CA 证书生成的。
  10. 单击保存。
    自由裁量 CA 将显示在 PKI 实体表中。