为 Amazon 托管的 Microsoft AD 设置 AD Amazon Private CA 连接器

登录 Amazon Web Services Management Console 并打开 Amazon Directory Service 控制台，网址为https://console.amazonaws.cn/directoryservicev2/。

在目录页面上，选择您的目录 ID。

在 “网络和安全” 选项卡下的 “AD Amazon Private CA 连接器” 下，选择 “为 AD 设置 Amazon Private CA 连接器”。“为其创建私有 CA 证书” 页面 Active Directory出现。按照控制台上的步骤为创建您的私有 CA Active Directory 用于向您的私有 CA 注册的连接器。有关更多信息，请参阅 Creating a connector。

创建连接器后，以下步骤将引导您了解如何查看 AD Amazon Private CA 连接器的详细信息，包括连接器的状态和关联的私有 CA 的状态。

登录 Amazon Web Services Management Console 并打开 Amazon Directory Service 控制台，网址为https://console.amazonaws.cn/directoryservicev2/。

在目录页面上，选择您的目录 ID。

在网络与安全性下的 Amazon Private CA Connector for AD 下，您可以查看您的私有 CA 连接器和关联的私有 CA。默认情况下，您会看到以下字段：

1. Amazon Private CA 连接器 ID- Amazon Private CA 连接器的唯一标识符。点击它会进入该 Amazon Private CA 连接器的详细信息页面。

2. Amazon Private CA 主题-有关 CA 的可分辨名称的信息。点击该字段会进入该 Amazon Private CA的详细信息页面。

3. 状态 —基于对 Amazon Private CA 连接器的状态检查和 Amazon Private CA. 如果两项检查均通过，则会显示活动。如果其中一项检查失败，则会显示 1/2 检查失败。如果两项检查均失败，则会显示失败。有关失败状态的更多信息，请将鼠标悬停在超链接上以了解哪项检查失败。按照控制台中的说明进行修复。

4. 创建日期- Amazon Private CA 连接器的创建日期。

连接到 Microsoft AD Amazon 托管管理实例，然后从 “开始” 菜单中打开服务器管理器。

在 “工具” 下，选择 “组策略管理”。

在 “Forest and Domains” 下，找到您的子域组织单位 (OU)（例如，如果您遵循中概述的程序，则corp将成为您的子域组织单位创建你的 Microsoft Amazon 托管广告），然后右键单击您的子域 OU。选择 “在此域GPO中创建”，然后将其链接到此处... 然后PCAGPO输入名称。选择确定。

新创建的域名GPO将显示在您的子域名之后。右键单击PCA GPO并选择 “编辑”。如果打开的对话框中显示一条警报消息 ，请选择 “确定” 以继续确认该消息。应该会打开 “组策略管理编辑器” 窗口。

在 “组策略管理编辑器” 窗口中，转到 “计算机配置” > “策略” > “Windows 设置” > “安全设置” > “公钥策略”（选择文件夹）。

在 “对象类型” 下，选择 “证书服务客户端-证书注册策略”。

在证书服务客户端-证书注册策略窗口中，将配置模型更改为启用。

确认一下 Active Directory 注册政策已选中并启用。选择添加。

应该会打开 “证书注册策略服务器” 对话框。在输入注册服务器策略URI字段中输入创建连接器时生成的证书注册策略服务器端点。将身份验证类型保留为 Windows 集成。

选择验证。验证成功后，选择添加。

返回到 “证书服务客户端-证书注册策略” 对话框并选中新创建的连接器旁边的复选框，以确保该连接器是默认的注册策略。

选择 Active Directory 注册策略，然后选择删除。

在确认对话框中，选择 “是” 以删除LDAP基于的身份验证。

在 “证书服务客户端-证书注册策略” 窗口中选择 “应用”，然后选择 “确定”。然后关闭窗口。

在 “公钥策略” 文件夹的 “对象类型” 下，选择 “证书服务客户端-自动注册”。

将配置模型选项更改为启用。

确认已选中 “续订过期证书” 和 “更新证书” 选项。保持其他设置不变。

选择应用，然后选择确定，然后关闭对话框。