我有一个 Windows Server 2016，我安装了 AD CS 功能并配置了企业根 CA。 但是现在，我想在这台服务器上创建一个从属 CA。 我在网上搜索过，但我发现我必须有另一个服务器 AD CS 才能创建从属 CA...
有人可以帮我吗？
谢谢。
PS：我在附件中添加了一张图片，这是想要的结果。
【问题讨论】：
标签： active-directory certificate windows-server-2016 pki
你不会找到它，因为它是不可能的。在同一台机器上拥有两个 CA 有什么好处？
拥有两个独立 CA（根 CA 和从属/发布 CA）的原因是根 CA 与发布 CA 和网络隔离。通常，它们在物理上也是隔离的，在高级 PKI 中，它们可以在自己的安全房间中，并具有额外的安全性，例如闭路电视等。
发行 CA 承担因某种形式的网络攻击或操作员错误而受到威胁的大部分风险。如果情况变得更糟，可以通过让根 CA 为新的颁发 CA 签署新证书来替换颁发 CA。然后生活继续进行，没有太多的干扰。但是，如果根 CA 遭到破坏，替换所有依赖方中安装的所有根 CA 证书将是一项更具挑战性的任务。
通过将两个 CA 放在同一台机器上，您就失去了上述好处，没有任何好处。如果您不想要两个 CA，则只需继续操作单个企业 CA。
【讨论】：