เรากำลังทำความสะอาดสภาพแวดล้อม Windows PKI/CA และแทนที่รูท CA ด้วยเซิร์ฟเวอร์ใหม่ CA รูทปัจจุบันได้ออกเทมเพลตใบรับรองต่อไปนี้เป็นเวลาหลายปีแล้ว (นอกเหนือจากเทมเพลตใบรับรองย่อย):
CA รองยังมีเทมเพลต "ออก"
เราทราบดีว่าสิ่งนี้ไม่เหมาะ และ CA รูทใหม่จะถูกตั้งค่าให้ออกเฉพาะเทมเพลตใบรับรองรองเท่านั้น
คำถาม:
หลังจากลบเทมเพลตด้านบนออกจาก CA รูท (ไม่ลบเทมเพลตเอง เพียงแค่ลบเทมเพลตออกจาก CA รูทนั้น) เมื่อตัวควบคุมโดเมนต่ออายุใบรับรองข้างต้นโดยอัตโนมัติ พวกเขาจะรู้หรือไม่ว่าต้องดูที่ CA รองสำหรับการต่ออายุ/ออกใบรับรองใหม่ตามเทมเพลตที่จำเป็นสำหรับตัวควบคุมโดเมน หรือมีอย่างอื่นที่เราต้องทำเพื่อออกใบรับรองใหม่ให้กับ DC ในสภาพแวดล้อมในเชิงรุกหรือไม่ ใบรับรองที่มีอยู่จะไม่ถูกเพิกถอน ดังนั้นจึงใช้ได้จนกว่าจะมีการลงทะเบียนใหม่ แต่เราสงสัยว่าการลงทะเบียนซ้ำจะล้มเหลวหรือไม่ หากใบรับรองเดิมออกโดย root CA เก่า เราไม่แน่ใจว่า DC จะ "ตัดสินใจ" อย่างไรว่าจะเลือก CA ใด หาก CA มากกว่าหนึ่งรายได้รับอนุญาตให้ออกเทมเพลต DC เหล่านี้
คำถามเสริมเพิ่มเติม:
คุณทราบหรือไม่ว่าใบรับรองที่มีอยู่จะมีผลอะไรบ้างที่ออกให้จาก SubCA ที่มีอยู่หลังจากที่เราแทนที่ rootCA เรากำลังย้าย rootCA เป็นชื่อใหม่สำหรับ: ขั้นตอนการย้าย CA ไปยังเซิร์ฟเวอร์ใหม่ทีละขั้นตอน - คนอื่น ๆ ในความคิดเห็นถามคำถามเดียวกันกับที่ฉันถามเกี่ยวกับใบรับรองที่มีอยู่ แต่ไม่มีการตอบกลับ ฉันเดาว่าตราบใดที่ลูกค้ายังคงมี RootCA เก่าใน Trusted Root Store และ SubCA ใน Intermediate Store พวกเขาควรจะยังมีห่วงโซ่ใบรับรองที่ดีจนกว่าใบรับรองจะหมดอายุ แต่ฉันต้องการทราบให้แน่ชัดล่วงหน้า ของเวลา
เมื่อตัวควบคุมโดเมนต่ออายุใบรับรองข้างต้นโดยอัตโนมัติ พวกเขาจะรู้หรือไม่ว่าต้องดูที่ CA รองสำหรับการต่ออายุ/ออกใบรับรองใหม่ตามเทมเพลตที่จำเป็นสำหรับตัวควบคุมโดเมน
ใช่. ไคลเอนต์การลงทะเบียนจะระบุ CA ทั้งหมดที่รองรับเทมเพลตที่ร้องขอจาก AD ก่อน จากนั้นลูกค้าจะเลือก CA แบบสุ่มจากรายการนี้เพื่อส่งคำขอต่ออายุ นั่นคือ การลบเทมเพลตทั้งหมดออกจากรูท CA นั้นเป็นเรื่องปกติ ไคลเอนต์จะลองใช้ CA อื่นที่มีอยู่ซึ่งรองรับเทมเพลตนี้
ปล.แม้ว่าฉันจะพิจารณาแปลง Enterprise Root CA (เข้าร่วมโดเมน) เป็น Standalone Root CA (สมาชิกเวิร์กกรุ๊ป) เพื่อให้คุณสามารถปิด root CA ได้เกือบตลอดเวลาเพราะไม่มีอะไรให้ทำออนไลน์ คุณจะเปิดใช้งานปีละครั้งหรือสองครั้งเพื่อเผยแพร่ CRL หรือเมื่อคุณต้องการลงนามในใบรับรอง CA รอง แต่เป็นอีกคำถามหนึ่ง ซึ่งเป็นวิธีที่ดีในการปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุด
อัปเดต 1 (21.01.2022)
หน้า Microsoft Docs ไม่แสดงอะไรเกี่ยวกับวิธีระบุ CA เป็นต้น
ลูกค้าลงทะเบียนเรียกทั่วไป IX509การลงทะเบียน::ลงทะเบียน ซึ่งทำการเรียกเป็นชุด (ขั้นตอนที่ง่ายมาก):
การค้นพบ CA โดยใช้ [MS-XCEP]
การค้นพบ CA โดยใช้ [MS-WCCE]
ICertRequest2::GetCAProperty โทรด้วย CR_PROP_TEMPLATES เป็น โพรไอดี พารามิเตอร์. กำจัด CA ออฟไลน์อีกครั้ง เป็นลำดับงานที่เรียบง่ายสำหรับลูกค้าการลงทะเบียนเพื่อค้นหา CA และส่งคำขอใบรับรอง
อัปเดต 2
คุณทราบหรือไม่ว่าใบรับรองที่มีอยู่จะมีผลอะไรบ้างที่ออกให้จาก SubCA ที่มีอยู่หลังจากที่เราแทนที่ rootCA
ไม่มีอะไรแท้จริงตราบใดที่ root CA ได้รับความไว้วางใจจากลูกค้า
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
