PKI 实体

Last published : Oct 21, 2026
Citrix Endpoint Management 公钥基础设施 (PKI) 实体配置代表执行实际 PKI 操作（颁发、吊销和状态信息）的组件。这些组件可以是 Citrix Endpoint Management 内部的，也可以是外部的。内部组件称为酌情组件。外部组件是企业基础架构的一部分。
Citrix Endpoint Management 支持以下类型的 PKI 实体：
  • Microsoft 证书服务
  • 酌情证书颁发机构 (CA)
Citrix Endpoint Management 支持以下 CA 服务器：
  • Windows 服务器 2016
  • Windows 服务器 2019
  • Windows 服务器 2022
注意：
Windows Server 2012 R2、2012 和 2008 R2 已达到生命周期终止，因此不再受支持。有关详细信息，请参阅 Microsoft 产品生命周期文档。
Related information
证书和身份验证

常见 PKI 概念

无论其类型如何，每个 PKI 实体都具有以下功能的子集：
  • 签名： 基于证书签名请求 (CSR) 颁发新证书。
  • 获取： 恢复现有证书和密钥对。
  • 吊销： 吊销客户端证书。

关于 CA 证书

配置 PKI 实体时，请向 Citrix Endpoint Management 指明哪个 CA 证书是该实体颁发（或恢复）的证书的签名者。该 PKI 实体可以返回由任意数量的不同 CA 签名的（已获取或新签名的）证书。
将这些机构的每个证书作为 PKI 实体配置的一部分提供。为此，请将证书上传到 Citrix Endpoint Management，然后在 PKI 实体中引用它们。对于酌情 CA，证书隐式为签名 CA 证书。对于外部实体，必须手动指定证书。
重要提示：
创建 Microsoft 证书服务实体模板时，请避免已注册设备可能出现的身份验证问题：请勿在模板名称中使用特殊字符。例如，请勿使用：! : $ ( ) # % + * ~ ? | { } [ ]

Microsoft 证书服务

Citrix Endpoint Management 通过其 Web 注册界面与 Microsoft 证书服务进行交互。Citrix Endpoint Management 仅支持通过该界面颁发新证书。如果 Microsoft CA 生成 NetScaler Gateway 用户证书，则 NetScaler Gateway 支持这些证书的续订和吊销。
要在 Citrix Endpoint Management 中创建 Microsoft CA PKI 实体，必须指定证书服务 Web 界面的基本 URL。如果选择，请使用 SSL 客户端身份验证来保护 Citrix Endpoint Management 与证书服务 Web 界面之间的连接。

添加 Microsoft 证书服务实体

  1. 在 Citrix Endpoint Management 控制台中，单击控制台右上角的齿轮图标，然后单击 PKI 实体。
  2. 在 PKI 实体 页面上，单击 添加。
    将显示 PKI 实体类型菜单。
  3. 单击 Microsoft 证书服务实体。
    将显示 Microsoft 证书服务实体: 常规信息 页面。
  4. 在 Microsoft 证书服务实体: 常规信息 页面上，配置以下设置：
    • 名称： 键入新实体的名称，以后将使用该名称引用该实体。实体名称必须是唯一的。
    • Web 注册服务根 URL： 键入 Microsoft CA Web 注册服务的基 URL。例如：https://192.0.0.1/certsrv/。该 URL 可以使用纯 HTTP 或基于 SSL 的 HTTP。
    • certnew.cer 页面名称： certnew.cer 页面的名称。除非您因某种原因已将其重命名，否则请使用默认名称。
    • certfnsh.asp： certfnsh.asp 页面的名称。除非您因某种原因已将其重命名，否则请使用默认名称。
    • 身份验证类型： 选择要使用的身份验证方法。
      • 无
      • HTTP 基本： 键入连接所需的用户名和密码。
      • 客户端证书： 选择正确的 SSL 客户端证书。
    • 使用 Cloud Connector： 选择“开”以使用 Cloud Connector 连接到 PKI 服务器。然后，为连接指定“资源位置”和“允许的相对路径”。
      • 资源位置： 从 Citrix Cloud Connector 中定义的资源位置中选择。
      • 允许的相对路径： 指定资源位置允许的相对路径。每行指定一个路径。可以使用星号 (*) 通配符。
        假设资源位置为 https://www.ServiceRoot/certsrv。要提供对该路径中所有 URL 的访问权限，请在“允许的相对路径”中输入 /*。
    PKI 配置屏幕
  5. 单击“测试连接”以确保服务器可访问。如果不可访问，将显示一条消息，指出连接失败。检查您的配置设置。
  6. 单击“下一步”。
    此时将显示“Microsoft 证书服务实体: 模板”页面。在此页面上，您可以指定 Microsoft CA 支持的模板的内部名称。创建凭据提供程序时，您可以从此处定义的列表中选择一个模板。使用此实体的每个凭据提供程序都只使用一个此类模板。
    有关 Microsoft 证书服务模板要求，请参阅您的 Microsoft 服务器版本的 Microsoft 文档。Citrix Endpoint Management 对其分发的证书没有要求，但 证书 中注明的证书格式除外。
  7. 在“Microsoft 证书服务实体: 模板”页面上，单击“添加”，键入模板名称，然后单击“保存”。对要添加的每个模板重复此步骤。
  8. 单击“下一步”。
    此时将显示“Microsoft 证书服务实体: HTTP 参数”页面。在此页面上，您可以指定 Citrix Endpoint Management 要添加到 Microsoft Web 注册界面的 HTTP 请求中的自定义参数。自定义参数仅对在 CA 上运行的自定义脚本有用。
  9. 在“Microsoft 证书服务实体: HTTP 参数”页面上，单击“添加”，键入要添加的 HTTP 参数的名称和值，然后单击“下一步”。
    出现 Microsoft 证书服务实体：CA 证书 页面。在此页面上，您必须告知 Citrix Endpoint Management 系统通过此实体获取的证书的签名者。当您的 CA 证书续订时，请在 Citrix Endpoint Management 中更新它。Citrix Endpoint Management 会透明地将更改应用于该实体。
  10. 在 Microsoft 证书服务实体：CA 证书 页面上，选择要用于此实体的证书。
  11. 点击 保存。
    该实体显示在 PKI 实体表中。

NetScaler Gateway 证书吊销列表 (CRL)

Citrix Endpoint Management 仅支持第三方证书颁发机构的证书吊销列表 (CRL)。如果您配置了 Microsoft CA，Citrix Endpoint Management 将使用 NetScaler Gateway 来管理吊销。
配置基于客户端证书的身份验证时，请考虑是否配置 NetScaler Gateway 证书吊销列表 (CRL) 设置 启用 CRL 自动刷新。此步骤可确保处于仅 MAM 模式的设备用户无法使用设备上的现有证书进行身份验证。
Citrix Endpoint Management 会重新颁发新证书，因为它不限制用户在证书被吊销后生成用户证书。当 CRL 检查过期的 PKI 实体时，此设置会提高 PKI 实体的安全性。

自由裁量 CA

当您向 Citrix Endpoint Management 提供 CA 证书和关联的私钥时，将创建一个自由裁量 CA。Citrix Endpoint Management 根据您指定的参数在内部处理证书颁发、吊销和状态信息。
配置自由裁量 CA 时，您可以为该 CA 激活联机证书状态协议 (OCSP) 支持。如果启用 OCSP 支持，CA 会将扩展 id-pe-authorityInfoAccess 添加到 CA 颁发的证书中。该扩展指向以下位置的 Citrix Endpoint Management 内部 OCSP 响应程序：
https://<server>/<instance>/ocsp
配置 OCSP 服务时，请为相关自由裁量实体指定 OCSP 签名证书。您可以将 CA 证书本身用作签名者。为避免不必要地暴露您的 CA 私钥（建议）：创建由 CA 证书签名的委托 OCSP 签名证书，并包含此扩展：id-kp-OCSPSigning extendedKeyUsage。
Citrix Endpoint Management OCSP 响应程序服务支持基本的 OCSP 响应以及请求中的以下哈希算法：
  • SHA-256
  • SHA-384
  • SHA-512
响应使用 SHA-256 和签名证书密钥算法（DSA、RSA 或 ECDSA）进行签名。

为您的 CA 生成并导入证书

  1. 在您的服务器上，使用本地系统帐户打开 Microsoft 管理控制台 (MMC)，然后打开证书管理单元。在右侧窗格中，右键单击，然后单击所有任务 > 请求新证书。
    请求新证书
  2. 在打开的向导中，单击两次下一步。在请求证书列表中，选择从属证书颁发机构，然后单击更多信息链接。
    从属 CA 模板
  3. 在窗口中，键入主题名称和备用名称。单击确定。
    从属 CA 模板
  4. 单击注册，然后单击完成。
  5. 在 MMC 中，右键单击您创建的证书。单击所有任务 > 导出。将证书导出为包含私钥的 .pfx 文件。选择如果可能，包括证书路径中的所有证书选项。
    证书选项
  6. 在 Citrix Endpoint Management 控制台中，导航到设置 > 证书。
    证书页面
  7. 单击导入。在打开的窗口中，浏览查找您之前导出的证书和私钥文件。
    证书页面
  8. 单击“导入”。证书将添加到表中。

添加自由裁量 CA

  1. 在 Citrix Endpoint Management 控制台中，单击控制台右上角的齿轮图标，然后单击“更多 > PKI 实体”。
  2. 在“PKI 实体”页面上，单击“添加”。
    PKI 实体类型
  3. 单击“自由裁量 CA”。
    PKI 常规信息页面
  4. 在“自由裁量 CA: 常规信息”页面上，配置以下内容：
    • 名称： 键入自由裁量 CA 的描述性名称。
    • 用于签署证书请求的 CA 证书： 单击自由裁量 CA 用于签署证书请求的证书。
      此证书列表是根据您在 Citrix Endpoint Management 的“配置 > 设置 > 证书”中上传的包含私钥的 CA 证书生成的。
  5. 单击“下一步”。
    PKI 参数页面
  6. 在“自由裁量 CA: 参数”页面上，配置以下内容：
    • 序列号生成器： 自由裁量 CA 会为其颁发的证书生成序列号。在此列表中，单击“顺序”或“非顺序”以确定如何生成这些数字。
    • 下一个序列号： 键入一个值以确定颁发的下一个数字。
    • 证书有效期： 输入证书的有效天数。
    • 密钥用法：通过将相应的密钥设置为“开”，识别由自由裁量 CA 颁发的证书的用途。设置后，CA 仅限于为这些用途颁发证书。
    • 扩展密钥用法：要添加更多参数，请单击“添加”，键入密钥名称，然后单击“保存”。
  7. 单击“下一步”。
    PKI 分发页面(/en-us/citrix-endpoint-management/media/pki-entities-discretionary-ca-distribution.png)
  8. 在“自由裁量 CA: 分发”页面上，选择一个分发模式：
    • 集中式：服务器端密钥生成。Citrix® 建议使用集中式选项。私钥在服务器上生成并存储，然后分发给用户设备。
    • 分布式：设备端密钥生成。私钥在用户设备上生成。此分布式模式使用 SCEP，并且需要一个具有 keyUsage keyEncryption 扩展的 RA 加密证书和一个具有 keyUsage digitalSignature 扩展的 RA 签名证书。同一个证书可用于加密和签名。
  9. 单击“下一步”。
    PKI OCSP 页面(/en-us/citrix-endpoint-management/media/pki-entities-discretionary-ca-ocsp.png)
  10. 在“自由裁量 CA: 在线证书状态协议 (OCSP)”页面上，配置以下内容：
    • 如果要将 AuthorityInfoAccess (RFC2459) 扩展添加到此 CA 签名的证书中，请将“为此 CA 启用 OCSP 支持”设置为“开”。此扩展指向 https://<server>/<instance>/ocsp 处的 CA OCSP 响应程序。
    • 如果您启用了 OCSP 支持，请选择一个 OSCP 签名 CA 证书。此证书列表是根据您上传到 Citrix Endpoint Management 的 CA 证书生成的。
    启用此功能可让 Citrix ADC 有机会检查证书状态。Citrix 建议您启用此功能。
  11. 点击 保存。
    自由裁量 CA 将显示在 PKI 实体表中。

配置凭据提供程序

  1. 在 Citrix Endpoint Management 控制台中，导航到“设置 > 凭据提供程序”，然后单击“添加”。
  2. 在“凭据提供程序: 常规信息”页面上，配置以下内容：
    凭据提供程序常规页面
    • 名称： 为新的提供程序配置键入一个唯一的名称。此名称稍后用于在 Citrix Endpoint Management 控制台的其他部分中识别此配置。
    • 描述： 描述凭据提供程序。尽管此字段是可选的，但描述可以提供有关此凭据提供程序的有用详细信息。
    • 颁发实体： 选择 自由裁量 CA。
    • 颁发方法： 单击“签名”或“获取”作为系统从配置的实体获取证书的方法。对于客户端证书身份验证，请使用“签名”。
  3. 单击“下一步”。在“凭据提供程序: 证书签名请求”页面上，根据您的证书配置，配置以下内容：
    凭据提供程序证书签名请求页面
    • 密钥算法： 为新的密钥对选择密钥算法。可用值为 RSA、DSA 和 ECDSA。
    • 密钥大小： 键入密钥对的大小（以位为单位）。此字段为必填项。Citrix 建议使用 2048 位。
    • 签名算法： 单击新证书的值。值取决于密钥算法。Citrix 建议使用 SHA256withRSA。
    • 主题名称： 必填。键入新证书主题的专有名称 (DN)。使用 CN=${user.username} 作为用户名，或使用 CN=${user.samaccountname} 作为 sAMAccountName。
    • 要向“主题备用名称”表中添加条目，请单击“添加”。选择备用名称的类型，然后在第二列中键入一个值。
      添加以下内容：
      • 类型： 用户主体名称
      • 值： $user.userprincipalname
      与主题名称一样，您可以在值字段中使用 Citrix Endpoint Management 宏。
  4. 单击下一步。在凭据提供程序: 分发页面上，配置以下内容：
    凭据提供程序分发页面
    • 颁发 CA 证书： 选择您之前添加的自由裁量 CA 证书。
    • 选择分发模式： 选择以下生成和分发密钥的方式之一：
      • 首选集中式：服务器端密钥生成： Citrix 建议使用此集中式选项。它支持 Citrix Endpoint Management 支持的所有平台，并且在使用 NetScaler Gateway 身份验证时是必需的。私钥在服务器上生成并存储，然后分发到用户设备。
      • 首选分布式：设备端密钥生成： 私钥在用户设备上生成和存储。此分布式模式使用 SCEP，并且需要一个具有 keyUsage keyEncryption 的 RA 加密证书以及一个具有 KeyUsage digitalSignature 的 RA 签名证书。同一个证书可用于加密和签名。
      • 仅分布式：设备端密钥生成： 此选项的工作方式与首选分布式：设备端密钥生成相同，不同之处在于，如果设备端密钥生成失败或不可用，则没有其他选项。
    如果您选择了首选分布式：设备端密钥生成或仅分布式：设备端密钥生成，请单击 RA 签名证书和 RA 加密证书。同一个证书可用于两者。这些证书将显示新字段。
  5. 单击下一步。在凭据提供程序: 吊销 Citrix Endpoint Management 页面上，配置 Citrix Endpoint Management 在何种条件下将通过此提供程序配置颁发的证书内部标记为已吊销。配置以下内容：
    凭据提供程序吊销页面
    • 在吊销已颁发证书中，选择指示何时吊销证书的选项之一。
    • 要指示 Citrix Endpoint Management 在证书被吊销时发送通知：将发送通知的值设置为开，然后选择一个通知模板。
    • 在 PKI 上吊销证书在使用 Citrix Endpoint Management 作为您的自由裁量 PKI 时不起作用。
  6. 点击“下一步”。在“凭据提供程序: 吊销 PKI”页面上，确定证书被吊销时要对 PKI 执行的操作。您还可以选择创建通知消息。配置以下内容：
    凭据提供程序吊销 PKI 页面
    • 启用外部吊销检查： 将此设置设为“开”。将显示更多与吊销 PKI 相关的字段。
    • 在“OCSP 响应程序 CA 证书”列表中，选择证书主题的专有名称 (DN)。
      您可以将 Citrix Endpoint Management 宏用于 DN 字段值。例如：CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • 在“证书被吊销时”列表中，单击以下操作之一，以在证书被吊销时对 PKI 实体执行操作：
      • 不执行任何操作。
      • 续订证书。
      • 吊销并擦除设备。
    • 要指示 Citrix Endpoint Management 在证书被吊销时发送通知：将“发送通知”的值设置为“开”。
      您可以在两个通知选项之间进行选择：
      • 如果选择“选择通知模板”，您可以选择一个预先编写的通知消息，然后对其进行自定义。这些模板位于“通知模板”列表中。
      • 如果选择“输入通知详细信息”，您可以编写自己的通知消息。除了提供收件人的电子邮件地址和消息之外，您还可以设置通知的发送频率。
  7. 点击“下一步”。在“凭据提供程序: 续订”页面上，配置以下内容：
    凭据提供程序续订页面
    将 在证书过期时续订证书 设置为 开。将显示更多字段。
    • 在 在证书到期前续订 字段中，键入证书到期前多少天续订证书。
    • （可选）选择 不续订已过期的证书。在这种情况下，“已过期”表示 NotAfter 日期已过，而不是证书已被吊销。Citrix Endpoint Management 不会在证书内部吊销后续订证书。
    要指示 Citrix Endpoint Management 在证书续订时发送通知，请将 发送通知 设置为 开。要指示 Citrix Endpoint Management 在证书即将到期时发送通知，请将 在证书即将到期时通知 设置为 开。 对于上述任一选择，您都可以从两个通知选项中进行选择：
    • 选择通知模板： 选择一个预先编写的通知消息，然后您可以对其进行自定义。这些模板位于“通知模板”列表中。
    • 输入通知详细信息： 编写您自己的通知消息。提供收件人的电子邮件地址、消息以及发送通知的频率。
  8. 点击 保存。