您计划使用 SCEP 将证书分发到 500 台 Windows 10 设备。NDES 从从属 CA 颁发证书。根据所示的服务器拓扑，所需的根 CA 证书位于哪台服务器上？

正确的答案是 Server2。在 SCEP 证书分发过程中，NDES 服务器（Server3）需要信任颁发证书的 CA 链。NDES 从从属 CA（Server2）颁发证书，因此 NDES 必须信任此从属 CA。而从属 CA 的信任链最终会追溯到根 CA。因此，根 CA 证书必须安装在从属 CA（Server2）上，以便从属 CA 能够正确地颁发和验证其自身的证书，并构建完整的证书信任链。Server1 是根 CA 本身，它颁发证书给从属 CA，但其证书不需要在从属 CA 上。Server4 是运行 Intune 连接器的服务器，它不直接参与证书链的构建。