积极答复者
windows server 2008 证书服务器-证书续订的问题

问题
答案
-
您好!
如果您需要续订根证书颁发机构 (CA) 的证书,请按以下步骤进行操作:
1. 以本地 Administrators 组成员的身份登录到根 CA 上。
2. 如果要更改密钥大小,需要编辑存储在 %systemroot% 目录下的 CAPolicy.inf 文件。将 RenewalKeyLength 的值更改为所需大小(位)。在下面的示例中,此值为 8,192。
警告:上面显示的密钥大小为 8,192 位,这只是为了说明如何更改密钥大小。使用此密钥大小时要尤其小心。虽然证书服务最高支持 16,384 位的密钥大小,但有些应用程序和系统对根 CA 证书链中的任何证书都不支持大于 2,048 位的密钥大小。如果要更改 CA 证书的有效期限或证书策略,必须在在开始此过程之前,在 CAPolicy.inf 文件(位于 %systemroot%)中进行指定。
3. 打开证书颁发机构管理控制台,在 CA 对象的“任务”菜单中单击“续订 CA 证书”。证书服务警告您必须先停止 CA 才可以进行此操作。
4. 选择新密钥选项。此时将重新启动证书服务。
5. 从 CA 属性中查看证书,并验证最新 CA 证书的“有效期自”日期为当前日期。
6. 使用以下脚本命令颁发 CRL,并将该 CRL 和新的 CA 证书复制到磁盘上:
Cscript //job:getcacerts c:\MSSScripts\ca_operations.wsf
Cscript //job:getcrls c:\MSSScripts\ca_operations.wsf
7. 将该磁盘插入颁发 CA 中。(严格来讲,该服务器只需是安装了随此解决方案提供的 certutil.exe 和脚本的域成员—而不必是颁发 CA。)
8. 以 Enterprise PKI Admins 组成员的身份登录,然后运行下列脚本:
Cscript //job: PublishCertstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishCRLstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCertstoIIS c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCRLstoIIS c:\MSSScripts\ca_operations.wsf
注意:尽管您不必同时执行此操作,但同时续订所有从属 CA 却是一个好主意。有关详细信息,请参阅如何续订颁发 CA 的证书。
9. 备份根 CA 的证书和密钥。
10.备份根 CA 的证书数据库和系统状态。
更多的信息您可以参考以下文章:
续订根证书颁发机构
希望我的回答对您有所帮助,如果有不清楚的地方,请告诉我。
如果您对我们的论坛在线支持服务有任何的意见或建议,请通过邮件告诉我们。
立刻免费下载 TechNet 论坛好帮手
- 已标记为答案 Tom Zhang – MSFTModerator 2012年8月31日 6:12
-
您好!
根据我的研究,你也可以参考以下文章来执行操作:
续订根证书颁发机构
http://technet.microsoft.com/zh-cn/library/cc780374(v=WS.10)
希望我的回答对您有所帮助,如果您还有什么问题,请您再和我们联系。如果您对我们的论坛在线支持服务有任何的意见或建议,请通过邮件告诉我们。
立刻免费下载 TechNet 论坛好帮手
- 已标记为答案 Tom Zhang – MSFTModerator 2012年8月31日 6:12
全部回复
-
您好!
如果您需要续订根证书颁发机构 (CA) 的证书,请按以下步骤进行操作:
1. 以本地 Administrators 组成员的身份登录到根 CA 上。
2. 如果要更改密钥大小,需要编辑存储在 %systemroot% 目录下的 CAPolicy.inf 文件。将 RenewalKeyLength 的值更改为所需大小(位)。在下面的示例中,此值为 8,192。
警告:上面显示的密钥大小为 8,192 位,这只是为了说明如何更改密钥大小。使用此密钥大小时要尤其小心。虽然证书服务最高支持 16,384 位的密钥大小,但有些应用程序和系统对根 CA 证书链中的任何证书都不支持大于 2,048 位的密钥大小。如果要更改 CA 证书的有效期限或证书策略,必须在在开始此过程之前,在 CAPolicy.inf 文件(位于 %systemroot%)中进行指定。
3. 打开证书颁发机构管理控制台,在 CA 对象的“任务”菜单中单击“续订 CA 证书”。证书服务警告您必须先停止 CA 才可以进行此操作。
4. 选择新密钥选项。此时将重新启动证书服务。
5. 从 CA 属性中查看证书,并验证最新 CA 证书的“有效期自”日期为当前日期。
6. 使用以下脚本命令颁发 CRL,并将该 CRL 和新的 CA 证书复制到磁盘上:
Cscript //job:getcacerts c:\MSSScripts\ca_operations.wsf
Cscript //job:getcrls c:\MSSScripts\ca_operations.wsf
7. 将该磁盘插入颁发 CA 中。(严格来讲,该服务器只需是安装了随此解决方案提供的 certutil.exe 和脚本的域成员—而不必是颁发 CA。)
8. 以 Enterprise PKI Admins 组成员的身份登录,然后运行下列脚本:
Cscript //job: PublishCertstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishCRLstoAD c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCertstoIIS c:\MSSScripts\ca_operations.wsf
Cscript //job: PublishRootCRLstoIIS c:\MSSScripts\ca_operations.wsf
注意:尽管您不必同时执行此操作,但同时续订所有从属 CA 却是一个好主意。有关详细信息,请参阅如何续订颁发 CA 的证书。
9. 备份根 CA 的证书和密钥。
10.备份根 CA 的证书数据库和系统状态。
更多的信息您可以参考以下文章:
续订根证书颁发机构
希望我的回答对您有所帮助,如果有不清楚的地方,请告诉我。
如果您对我们的论坛在线支持服务有任何的意见或建议,请通过邮件告诉我们。
立刻免费下载 TechNet 论坛好帮手
- 已标记为答案 Tom Zhang – MSFTModerator 2012年8月31日 6:12
-
您好!
根据我的研究,你也可以参考以下文章来执行操作:
续订根证书颁发机构
http://technet.microsoft.com/zh-cn/library/cc780374(v=WS.10)
希望我的回答对您有所帮助,如果您还有什么问题,请您再和我们联系。如果您对我们的论坛在线支持服务有任何的意见或建议,请通过邮件告诉我们。
立刻免费下载 TechNet 论坛好帮手
- 已标记为答案 Tom Zhang – MSFTModerator 2012年8月31日 6:12