通过网络服务器注册证书

Question

我们有一个基于Java的网络服务器，除此之外它还管理许多用户，并创建管理数字证书（私钥为&公钥）的&。

我正在寻找一种方法来自动从本webserver（通过Kerberos身份验证）请求，下载和安装特定的数字证书（私钥为&公钥）。

使用案例：尚未安装证书的成千上万台客户机将来必须与此服务器进行通信，因此他们应该安装各自的证书，而无需任何用户交互。 客户端PC都使用Windows，其基础架构基于某种Windows Server。

最初的想法是（对于他们的Windows Server）在某种程度上使用组策略，借助诸如可通过Windows获得的“certutils”或“certreq”等工具。 我相信这些工具中有自动注册选项（enrollmentServerURL？），我想基本上“向我们的特定Web服务器请求证书，获取证书并安装它”。

但是，“如何”暗示了我。

我们的网络服务器将不得不被修改，基本上“回答”这样的请求，没有问题。但是我们首先必须知道Windows/certutil/certreq /其他工具的实际请求是什么。 我相信Windows已经有这个能力，有谁知道如何做到这一点？如果是这样，实际发送到web服务器的请求是什么样的，所以我可以通过web服务器“回答”这个请求？ （微软的“证书注册Web服务”适用于Java Web服务器吗？）

Answer 1

经过大量研究后，我发现Windows证书自动注册不可能指向外部CA或Web服务器。