Fråga : Certifikatmyndighet 2003, 2008 företag rotar CA

Currentky spring en serverskog 2003 med en rota och ett barnområde.  Vi har för närvarande ett ensamt företag för stativ att rota CA i barnområdet som kör på en emulator för server 2003 PDC.  Vi använder det för att utfärda användarecerts för två legitimation för tierSSL VPN.  Jag övertog denna design och realiserar att den flaweds i flera ways.

som jag skulle något liknande för att genomföra två, tieren Offline rotar/utfärda direktanslutet infrastruktur för CA-server 2008 R2 PKI. Strömmen rotar CA-cert förfaller i 2011.  Jag behöver det nya certifikat servar lösningen ASAP.    Jag önskar inte företaget rotar CA för att köra på en områdeskontrollant, mig önskar att hon ska vara offline-.  Områdeskontrollanten, som är strömföretaget, rotar CA krävs för LDAP-legitimation och behöver att återstå en områdeskontrollant.  

Can I:
1) Komma med ett serverföretag 2008 rotar CA direktanslutet i den samen domain som tagen för existing
2) håller den existerande CAEN förlägger in, tillfälligt för legatapplciations, och then
3) arrangerar gradvis - ut den gammala CAEN, som användare startar att få deras användarecerts från den nya CA.
Thanks för din suggestions.


" klar "

Svar : Certifikatmyndighet 2003, 2008 företag rotar CA

Du kan, men vanligt, när du talar om överflöd som du gör det på det underordnade jämnt och utfärdar precis de samma mallarna till båda on-line CAs - de ska flipen-flop för issuance, och, om en inte är tillgänglig, ska annat är, om även förnya en autoenrollmentcert från det utfärdades ursprungligen från den annan Ca.en

De offline- rotar är för säkerhet resonerar där, inte för kicktillgänglighet.  Det är lätt nog att göra fönster som är reserv- med det statliga systemet riktigt att återställa rota, om behov är, eller om du installerar den i en VM till precis reserven avbilda till ett yttre hårt drev att du uppehället låste up/offsited.

När du skapar reserver, du bör reserven det privat stämma av CAEN och uppehället som den toppen-säkrade låst upp någonstans.  I ett katastrofläge du kan därefter återställandet de privata missade CA'SNA stämma på produktionen CA och använda certutilen - underteckna befaller för att re-sign CRLsen, Etc.-stunder som du återställer CAEN.  Detta är också varför det är en bra idé att utfärda din CRLs via skrivar (certutil - crl) via skrivar på det halveringstit av CRLEN för att låta för överlappning, så du har tid att återställa från utfärdar.  Mer info här:

http://www.pki101.com/BackupCA.html