Frage zur Zertifikatsstelle

[wilgin 11]

Hallo,

wir haben derzeit eine zweistufige, A/D Integrierte, CA im Einsatz, die wir, aufgrund von neuen Anforderungen, durch eine neue (auch zweistufig, A/D integriert und auf W2K8R2) ersetzen möchten. Nun möchte ich erreichen, das die aktuelle CA noch einige Zeit gültig ist, jedoch keine neuen Zertifikate mehr ausstellt.

 

Nun war meine Überlegung, das ich die Rechte von den Vorlagen der jetzigen CA auf ReadOnly setzte. Somit sollten keine neuen Zertifikate mehr rausgehen. Und über das A/D verteile ich die öffentlichen Zertifikate der neuen CAs, damit die Vertrauensstellung hergestellt ist. (bzw. erfolgt dies denke ich automatisch)

 

Wäre dieser Weg so korrekt? Muss ich bei diesem Weg etwas speziell berücksichtigen?

Danke für Eure Infos und Tips.

[dmetzger 10]

Deine Überlegung entspricht weder üblichen noch bewährten Methoden der PKI-Migration.

 

Wenn die bestehende CA keine Zertifikate mehr ausstellen soll, entfernst Du die auszustellenden Zertifikatvorlagen unter dem Knoten "Zertifikatvorlagen".

 

Eine zweistufige PKI besteht aus einer Offline Root CA, die Standalone und wirklich offline ist. D.h. sie hat keinen Netzwerkadapter, das OS wird telefonisch aktiviert, es werden keine Patches eingespielt etc. In der zweiten Stufe existiert mindestens eine ausstellende Enterprise-CA als Domänenmitglied. Die CRL der RootCA und das Stammzertifikat publizierst Du per certutil.exe in Active Directory und ggf. per http.

 

Das alles ist ausreichend bei Microsoft Technet dokumentiert und auch hier im Board mehrfach besprochen. Google und die Boardsuche helfen gerne.

[wilgin 11]

Hallo,

 

danke für die Info. Mein Problem bei der RootCa ist, das die ausgestellten Zertifikate eine Gültigkeit von drei Jahren haben (hat einer meiner Vorgänger so konfiguriert ... mit welchen Gründen auch immer) und das wollen wir wegbringen.

 

Also möchten wir sowohl die ausstellende als auch die RootCA tauschen, weil man die Laufzeiten der RootCa meiner Info nach ja nicht mehr ändern kann.

 

ich werd mal weiter bingen ...