W2K3 PKI für 2 AD´s verwenden

[-alfred- 10]

Hallo miteinander,

 

ich habe eine Frage zur Verwendung der Microsoft CAs. Wenn ich eine Offline RootCA installiere muss ich ja die CDP/AIA-Extensions für die SubCAs angeben. Wenn nun zwei SubCAs entstehen sollen von denen jede eine Enterprise-Online-CA in einem anderen AD werden soll, kann ich dann einfach jeweils 2 LDAP-Punkte für AIA und CDP angeben?

Bei der Abfrage nach den Zertifikaten/CRLs wird in einem Fall dann zuerst der nicht funktionierende (weil im anderen AD) abgefragt (Fehler beim Abrufen des URL: Die Umgebung stimmt nicht. 0x8007000a), danach scheint aber die Abfrage weiterzugehen und den funktionierenden zu finden.

Kann das zu irgendwelchen Problemen führen oder ist das normale Vorgehensweise?

 

Ich bekomme in der Konstellation bei der Prüfung eines Userzertifikats mit "certutil -verify -urlfetch <zertifikat.cer>" folgende Fehlermeldung:

------------------------------------------------------------------------

Eine Zertifikatskette wurde zwar ordnungsgemäß verarbeitet, endete jedoch mit einem Stammzertifikat, das beim Vertrauensanbieter nicht als vertrauenswürdig gilt. 0x800b0109 (-2146762487)

Die Verifizierung wird mit einem nicht vertrauenswürdigen Stamm durchgeführt.

Sperrstatussüberprüfung des untergeordneten Zertifikats erfolgreich abgeschlossen.

------------------------------------------------------------------------

 

Hat jemand Erfahrung in dem Gebiet? :)

Danke im Vorraus,

alfred