环境：在域环境下两台DC域控制器，一台DC已经安装了企业根CA，另外一台DC没有安装CA
要求：另外一台DC服务安装企业从属CA服务。
具体步骤：
在第二台DC先安装IIS，再安装证书服务。
选择“企业根属CA”
输入从属CA名称:”sub-ca”，可以自已定义
选择你的父CA，点击浏览，选中你的父CA服务器
点击”完成”就完成企业从属CA安装。
客户端从“企业从属CA服务器”申请证书打开IE，输入[url]http://sub-ca.huayu.com/certsrv[/url]就可以了，在DNS服务器加入sub-ca的A记录解析成第二台DC服务器的IP地址。
另外一种方法:
在安装从属CA服务时，将申请保存到一个文件中，再从网页申请企业从属证书颁发机构，这种方法比较麻烦，但是工作组的独立根CA一定要用这种方法建独立从属证书颁发机构。
在安装企业从属CA时，选择“将申请保存一个文件”
在企业根CA申请一个证书
选择“下载证书”
保存在第二台DC本地硬盘中
打开第二台DC的证书颁发机构，来安装申请好的证书
客户端从“企业从属CA服务器”申请证书打开IE，输入[url]http://sub-ca.huayu.com/certsrv[/url]就可以了，在DNS服务器加入sub-ca的A记录解析成第二台DC服务器的IP地址。
转载于:https://blog.51cto.com/hukunlin/144022