5.8.5. 使用从属 CA
在路由器可以向 CA 验证前，CA 的证书链中的每个 CA 证书都必须导入到路由器中，从 root 开始。例如，以下命令序列将链中两个 CA 证书导入到路由器中：
scep(config)# crypto ca trusted-root1 scep(ca-root)# root CEP http://server.example.com:8080/ca/cgi-bin/pkiclient.exe scep(ca-root)# crl optional scep(ca-root)# exit scep(config)# cry ca authenticate 1 scep(config)# crypto ca trusted-root0 scep(ca-root)# root CEP http://server.example.com:8080/ca/cgi-bin/pkiclient.exe scep(ca-root)# crl optional scep(ca-root)# exit scep(config)# cry ca authenticate 0
如果 CA 证书没有设置 CRL 分布点扩展，请通过将它设置为 可选 来关闭 CRL 要求：
scep(ca-root)# crl optional
之后，按照 第 5.8.4 节 “为路由器生成 SCEP 证书” 所述设置 CA 身份。
