规划 Office 2013 的数字签名设置

要建立这些条件，内容创建者必须通过创建满足下列条件的签名来对内容进行数字签名：

• 数字签名有效。操作系统信任的 CA 必须对数字签名基于的数字证书进行签名。

• 与数字签名关联的证书未过期或者包含表示证书在签名时有效的时间戳。

• 与数字签名关联的证书未被吊销。

• 收件人信任签名人或组织（称为发布者）。

Word 2013、Excel 2013 和 PowerPoint 2013 检测这些条件，在数字签名出现问题时警告用户。可以在 Office 2013 应用程序的证书任务窗格中轻松查看出现问题的证书的相关信息。通过 Office 2013 应用程序，可以向同一文档中添加多个数字签名。

以下场景演示如何在企业环境中在文档上使用数字签名：

1. 某个员工使用 Excel 2013 创建了一个费用报表。该员工然后了创建三个签名行：一行供她自己使用，一行供她的经理使用，一行供会计部门使用。签名的作用是：

   • 标识该员工是文档的建立者

   • 指出文档在送给经理和会计部门的过程中未经过任何更改

   • 证明经理和会计部门都已收到并复审文档

2. 经理收到文档，将她的数字签名添加到文档中，确认她已复审并批准文档。然后她将文档转发到会计部门进行支付。

3. 会计部门代表收到文档，对其签名以确认收到文档。

此示例演示了向单个 Office 2013 文档添加多个签名的功能。除了数字签名，文档签名者可以添加其实际签名的图形，或者使用 Tablet PC 在文档中的签名行中实际书写签名。

Office 2013 与 Office 2010 和 Office 2007 一样，都将 XML-DSig 格式用于数字签名。此外，Office 2013 还支持 XAdES（XML 高级电子签名）。XAdES 是一组 XML-DSig 分层扩展，其级别构建于以前的级别之上，可提供更可靠的数字签名。有关 Office 2013 中支持的 XAdES 级别的详细信息，请参阅本文后面的规划 Office 2013 文档中的数字签名级别。有关 XAdES 详细信息的更多信息，请参阅 XML 高级电子签名 (XAdES) 的规范。

Office 2013 中创建的数字签名与 2007 Office system 之前的 Office 版本不兼容，注意到这一点非常重要。例如，如果文档使用 Office 2013、Office 2010 或 Office 2007 中的应用程序签名，然后使用 Office（安装了 Office 兼容包的 2003）中的应用程序打开，则系统会通知用户，文档是使用较新版本的 Office 签名的，数字签名将丢失。

下图显示了在使用 Office 2007 之前的 Office 版本打开文档后用户看到的警告。

最初在 Office 2003 或更早版本中签名的文档的数字签名警告。

另外，如果您在 Office 2013 中将 XAdES 用于数字签名，该数字签名将与 Office 2010 或 2007 Office system 不兼容，除非您配置了组策略设置“不将 XAdES 引用对象包含在指令清单中”并将其设置为“已启用”。有关数字签名组策略设置的详细信息，请参阅本文后面的规划 Office 2013 的签名设置。

如果您希望在 Office 2013 中创建的数字签名与 Office 2003 及更早版本兼容，则可以配置组策略设置“旧式格式签名”并将其设置为“已启用”。此组策略设置位于“用户配置\管理模板\Microsoft Office 2013\签名” 下。将此设置更改为“已启用”后，Office 2013 应用程序将使用 Office 2003 二进制格式将数字签名应用于您在 Office 2013 中创建的 Office 97–2003 二进制文档。有关详细信息，请参阅 Office 2013 管理模板文件 (ADMX/ADML) 和 Office 自定义工具

组织可以选择创建其自己的 PKI。在这种情况下，公司设置一个或多个证书颁发机构 (CA)，用来为整个公司中的计算机和用户创建数字证书。与 Active Directory 目录服务 (AD DS) 合并后，公司可以创建完整 PKI 解决方案，以便组织或公司管理的所有计算机都装有组织或公司 CA 证书链，且自动向用户和计算机分配数字证书以进行文档签名和加密。这使得公司中的所有员工自动信任同一公司中其他员工发来的数字证书（因而信任有效数字签名）。

有关详细信息，请参阅 Active Directory 证书服务。

您可以从主营数字证书销售的公司购买商业证书。使用商业证书的主要优点是，商业证书供应商的根 CA 证书自动安装在组织的 Windows 操作系统中。这使这些计算机能够自动相信 CA。与组织或公司 PKI 解决方案不同，商业证书允许您将已签名文档与不属于您的组织的用户共享。

有三种类型的商业证书：

• 1 类   1 类证书颁发给具有有效电子邮件地址的人员。1 类证书适用于无需身份证明的非商业事务的数字签名、加密和电子访问控制。

• 2 类   2 类证书颁发给人员和设备。2 类个人证书适用于根据验证数据库中的信息已足够证实身份的事务中的数字签名、加密和电子访问控制。2 类设备证书适用于设备身份验证；消息、软件和内容完整性；以及机密加密。

• 3 类   3 类证书颁发给人员、组织、服务器、设备、CA 管理员和根机构 (RA)。3 类证书适用于必须确保证实身份的事务中的数字签名、加密和访问控制。3 类服务器证书适用于服务器身份验证；消息、软件和内容完整性；以及机密加密。

有关商业证书的详细信息，请参阅数字标识。

用户将时间戳添加到数字签名后，它们可延长该数字签名的寿命。例如，如果吊销的证书以前用于创建数字签名，该数字签名包含来自可信时间戳服务器的时间戳，且时间戳发生在证书吊销之前，则仍将该数字签名视为有效。要将时间戳功能与数字签名一同使用，必须完成下列任务：

• 设置符合 RFC 3161 的时间戳服务器

• 使用组策略设置“指定服务器名称”输入时间戳服务器在网络中的位置。

还可以通过配置一个或多个下列组策略设置，配置其他时间戳参数：

• 配置时间戳哈希算法

• 设置时间戳服务器超时

如果未配置并启用“配置时间戳哈希算法”，则将使用 SHA1 的默认值。如果未配置并启用“设置时间戳服务器超时”，则 Office 2013 将等待 5 秒，让时间戳服务器响应请求。

除了用于配置时间戳相关设置的组策略设置，还有其他用来配置在组织中如何配置和控制数字签名的组策略设置。下表列出了设置名称和说明。它们位于 software\policies\microsoft\office\15.0\common\signatures! 中

数字签名组策略配置设置

下列附加组策略设置与数字签名相关，它们也位于 \software\policies\microsoft\office\15.0\common\signatures! 中：

• 设置默认图像目录

• 增强型密钥用法筛选

• 旧式格式签名

• 禁止 Office 签名提供程序

• 禁用外部签名服务命令

有关每个组策略设置的详细信息，请参阅 Office 2013 管理模板文件附带的帮助文件。

注意：
有关策略设置的最新信息，请参阅 Office 2013 管理模板文件和 (ADMX/ADML) 和 Office 自定义工具下载页中“此下载中的文件”部分提供的 Excel 工作簿 Office2013GroupPolicyAndOCTSettings_Reference.xls。

下表显示特定于数字签名的 Windows 注册表设置和用于对它们进行加密的证书。这些注册表设置位于 HKEY_CURRENT_USER\software\policies\Microsoft\Office\15.0\common\signatures 中。没有相应的组策略。

数字签名注册表设置